กลุ่มแฮกเกอร์จีนที่เชื่อมโยงกับ China-nexus ชื่อ Armory Castle ใช้ช่องโหว่ 0-day ของ BeyondTrust Remote Support (CVE-2026-102764 คะแนน CVSS 9.3) โจมตีเซิร์ฟเวอร์ระยะไกลในวันที่ 29 สิงหาคม 2569 ด้วยการติดตั้งไฟล์เชิงเสี่ยง SAWFLY และโปรกซี่ SOCKS5 แบบมัลแวร์ BARECLAW เพื่อควบคุมระบบลับๆ ผู้ใช้ SaaS ได้รับแพตช์ตั้งแต่วันที่ 9 ตุลาคม 2569 ส่วนผู้ใช้ที่ติดตั้งเองต้องอัปเดตเป็นเวอร์ชัน BT26-05-RS หรือใหม่กว่า กลุ่มดังกล่าวมีประวัติการโจมตีหลายครั้งในช่วงปี 2566-2568 โดยใช้ช่องโหว่ใน Citrix NetScaler และ Ivanti Connect Secure ขโมยข้อมูลจากระบบต่างๆ รวมถึงภาคธุรกิจ เช่น บริษัท SaaS บริษัทให้บริการภายนอก และหน่วยงานรัฐ ใช้ AI พัฒนาเครื่องมือโจมตีและเลือกเป้าหมายที่มีค่าทางธุรกิจอย่างมีระบบ การโจมตีเริ่มต้นด้วยการเข้าถึงระบบและติดตั้งไฟล์เชิงเสี่ยง SAWFLY ซึ่งเป็นเว็บเชลล์ที่ช่วยให้ควบคุมระบบระยะไกลได้อย่างลับๆ พร้อมใช้ BARECLAW ซึ่งเป็นโปรกซี่ SOCKS5 แบบมัลแวร์เพื่อส่งข้อมูลผ่านเครือข่าย พวกเขาได้แก้ไขไฟล์คอนฟิกเพื่อให้ BARECLAW ใช้งานได้จากภายนอกและลบไฟล์ลอกรายการทั้งระบบเพื่อหลบการตรวจจับ การโจมตีถูกเปิดเผยหลังจากผู้ใช้รายงานปัญหาในวันที่ 27 กันยายน 2569 ซึ่งทำให้กลุ่มแฮกเกอร์เร่งตรวจสอบกิจกรรมที่คล้ายคลึงกัน
สรุปด้วย MAF Local AI · เนื้อหาต้นฉบับเป็นของแหล่งข่าว