PoeLLM ยึดเซิร์ฟเวอร์ AI ขุดเหรียญ แถมใช้เครื่องเราโจมตีคนอื่น

PoeLLM ยึดเซิร์ฟเวอร์มากกว่า 3,400 เครื่องตามข้อมูลของ Black Lotus Labs แปลว่าเครื่องที่เจ้าของตั้งไว้ทำงานกลับถูกคนอื่นนำไปใช้ขุดเหรียญและหาเหยื่อเพิ่มครับ (Lumen) รายงานที่สื่อเผยแพร่วันที่ 7 ตุลาคม 2026 ระบุว่าปฏิบัติการนี้เริ่มอย่างน้อยตั้งแต่เดือนเมษายน และมุ่งเล่นงานบริการ AI ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต (BleepingComputer)

สำหรับบริษัทไทยที่เพิ่งตั้ง AI ใช้เอง เรื่องนี้เกี่ยวกับงบเครื่องและข้อมูลที่ทีมฝากไว้ มากกว่าชื่อมัลแวร์แปลก ๆ เพราะ Lumen เตือนว่าโครงสร้างพื้นฐาน AI ดึงดูดผู้โจมตีทั้งจากกำลังประมวลผลและข้อมูลที่มีคุณค่า (Lumen) ประเด็นที่ควรตรวจวันนี้จึงเป็นเรื่องง่าย ๆ ว่าเครื่องที่เราเรียกว่า “ของภายใน” มีใครจากข้างนอกเข้าถึงได้บ้าง

สรุป 30 วินาที: เกิดอะไรขึ้น

มัลแวร์ คือโปรแกรมที่เข้ามาทำสิ่งไม่พึงประสงค์บนเครื่องเรา ในกรณีนี้ PoeLLM ติดตั้งเครื่องมือขุดเงินดิจิทัล และเปลี่ยนเซิร์ฟเวอร์บางส่วนเป็นเครื่องค้นหาเป้าหมายใหม่ ตามรายงานของ Lumen ที่ The Hacker News นำเสนอ ชื่อปฏิบัติการคือ Canto Incognito ส่วน PoeLLM เป็นชื่อมัลแวร์ที่ใช้ในปฏิบัติการนั้น

กลุ่มบริการที่พบในเครื่องเหยื่อมี LiteLLM และ Ollama ซึ่งอยู่ในกลุ่มเครื่องมือ AI รวมถึง Gotenberg สำหรับแปลงเอกสาร PDF และ Gitea สำหรับงานพัฒนาซอฟต์แวร์ (Lumen) จึงไม่ควรตรวจเฉพาะเครื่องที่ทีมติดป้ายว่า AI แต่ควรตรวจบริการประกอบที่เปิดออกสู่อินเทอร์เน็ตด้วย

ช่วงที่คึกคักที่สุดมีเครื่องทำงานในเครือข่ายมากกว่า 800 เครื่องต่อวันตามส่วนสรุปของ Lumen แปลว่าไม่ได้เป็นเพียงรายชื่อเครื่องที่เคยติดเชื้อสะสม แต่มีเครื่องจำนวนมากถูกใช้งานพร้อมกันในแต่ละวัน (Lumen) ตัวเลขทั้งหมดนี้มาจากการติดตามของผู้วิจัยชุดเดียว ไม่ใช่ผลนับแยกจากสื่อแต่ละสำนัก

แล้วเครื่องที่เราตั้งให้เพื่อนร่วมงานใช้ กลายเป็นเครื่องของคนอื่นได้อย่างไร? เส้นทางที่ Lumen รายงานคือการใช้ช่องโหว่ของบริการที่เข้าถึงได้จากภายนอก ก่อนนำเครื่องที่ยึดได้ไปขยายเครือข่ายต่อ (Lumen)

ทำไมเรื่องนี้เกี่ยวกับคุณ

คำว่า บริการที่เปิดสู่อินเทอร์เน็ต หมายถึงระบบที่คนจากภายนอกเชื่อมต่อถึงได้ ไม่ได้หมายความว่าคนนั้นได้รับอนุญาตจากบริษัทแล้ว Lumen ระบุว่าเหยื่อส่วนใหญ่ดูเหมือนใช้บริการโอเพนซอร์สรุ่นที่มีช่องโหว่ โดยโอเพนซอร์สหมายถึงซอฟต์แวร์ที่เปิดเผยโค้ดให้ศึกษาและพัฒนาต่อได้ (Lumen) การติดตั้งสำเร็จจึงควรตามด้วยการตรวจสิทธิ์เข้าถึงและการอัปเดต

สำหรับพนักงานทั่วไป สิ่งที่ต้องรู้ไม่ใช่หมายเลขช่องโหว่ แต่คือข้อมูลที่กำลังส่งให้ AI ไปอยู่บนเครื่องที่ใครดูแล Lumen เตือนว่าบริการใหม่มักไม่ได้รับการติดตามช่องโหว่อย่างเหมาะสม แม้จะเข้าถึงข้อมูลขององค์กรและกำลังประมวลผลสูง (Lumen) ถ้าทีมยังตอบไม่ได้ว่าใครรับผิดชอบเครื่อง ควรถามก่อนนำข้อมูลลูกค้าหรือเอกสารภายในไปใช้

สำหรับเจ้าของกิจการเล็ก ผลกระทบอาจเริ่มจากทรัพยากรที่จ่ายเงินซื้อไว้ถูกใช้งานผิดวัตถุประสงค์ ผู้วิจัยพบเครื่องมือขุดเหรียญ XMRig และ Iron ในมัลแวร์ และพบการเชื่อมต่อไปยังบริการขุดเหรียญ Kryptex (BleepingComputer) ยังไม่มีตัวเลขค่าเสียหายเป็นเงินบาทให้คำนวณ แต่เหตุผลที่ควรตรวจไม่ได้ต้องรอให้บิลแพงขึ้นก่อน

คนที่เรียนหรือทดลอง AI ก็ใช้ข่าวนี้เป็นรายการตรวจเครื่องของตัวเองได้ โดยไม่ต้องสรุปว่าตนติดเชื้อแล้ว การมีชื่อเครื่องมือเหมือนเหยื่อยังไม่ใช่หลักฐานว่าถูกยึด เพราะรายงานผูกความเสี่ยงกับบริการที่เปิดภายนอกและมีช่องโหว่ (Lumen) สิ่งที่ควรทำคือให้ผู้ดูแลตรวจการตั้งค่า มากกว่าลบทุกอย่างเพราะเห็นชื่อซอฟต์แวร์ในข่าว

ทำงานยังไง

การขุดเหรียญ หรือ cryptomining คือการใช้กำลังคำนวณเพื่อทำงานในระบบเงินดิจิทัล กรณีนี้เครื่องเจ้าของถูกนำไปทำงานดังกล่าวโดยผู้โจมตี ตามหลักฐานเครื่องมือขุดและการเชื่อมต่อที่ Lumen พบ (Lumen) ผลต่อเจ้าของคือทรัพยากรที่ควรใช้กับงานของทีมถูกแบ่งไปทำงานให้คนอื่น

ลองนึกถึงการเอาเครื่องเวิร์กสเตชันของออฟฟิศที่มี GPU หรือชิปช่วยประมวลผลงานหนัก ไปเสียบไฟไว้ริมถนนโดยไม่ล็อก คนแปลกหน้าเข้ามาใช้เครื่องขุดเหรียญด้วยไฟของเรา แล้วยังใช้เครื่องนั้นไปเคาะประตูออฟฟิศข้าง ๆ ต่อ นี่เป็นอุปมาเพื่อให้เห็นบทบาทของเครื่องเหยื่อ ไม่ใช่คำอธิบายว่าทุกเครื่องในรายงานถูกเข้าถึงแบบเดียวกัน

เครื่องที่ถูกยึดหลายเครื่องรวมกันเรียกว่า บอตเน็ต หรือเครือข่ายเครื่องที่ผู้โจมตีควบคุม PoeLLM ใช้เครื่องเหยื่อบางส่วนสแกนหาบริการที่มีช่องโหว่ และใช้เป็นจุดปล่อยการโจมตีต่อ ตาม The Hacker News ยิ่งมีเหยื่อเพิ่ม ผู้โจมตีก็มีเครื่องช่วยขยายวงเพิ่ม โดยไม่ต้องเป็นเจ้าของเครื่องเหล่านั้นเอง

ส่วนที่แปลกคือ C2 หรือเซิร์ฟเวอร์ที่ใช้สั่งการเครื่องติดเชื้อ ไม่ได้ถูกระบุเป็นที่อยู่ตายตัวอย่างเดียว มัลแวร์อ่านคำสำคัญจากบทกวีบน GitHub ซึ่งเป็นพื้นที่เก็บและร่วมพัฒนาโค้ด แล้วคำนวณว่าต้องติดต่อเครื่องสั่งการที่ไหน (Lumen) เมื่อผู้โจมตีแก้คำในบทกวี เครื่องติดเชื้อก็หาที่อยู่ใหม่ได้โดยไม่ต้องเปลี่ยนตัวมัลแวร์

Ryan English วิศวกรความปลอดภัยของ Black Lotus Labs อธิบายกับ CyberScoop ว่าคนที่เห็นบทกวีอย่างเดียวจะไม่เห็นลิงก์หรือไฟล์ดาวน์โหลดที่บอกความร้ายกาจ ต้องมีตัวมัลแวร์ที่อ้างถึงบทกวีจึงเข้าใจความหมายที่ซ่อนไว้ (CyberScoop) เรื่องนี้ไม่ได้แปลว่า GitHub หรือบทกวีทั่วไปเป็นอันตราย แต่ทำให้การดูข้อความอย่างเดียวไม่พอจะเข้าใจการสั่งการ

จุดหักมุม: เครื่องเราไม่ได้แค่ทำงานหนักขึ้น

แต่ความเสียหายไม่ได้จบที่ “กิน CPU นิดหน่อย” โดย CPU คือชิปประมวลผลหลักของเครื่อง เพราะ Lumen พบว่าเครื่องเหยื่อถูกใช้โจมตีเป้าหมายอื่นด้วย (Lumen) ต่อให้ทีมรับค่าใช้จ่ายไหว เครื่องนั้นก็ยังอาจกำลังทำงานที่เจ้าของไม่เคยอนุญาต

Ryan English เตือนถึงความเป็นไปได้ด้านการขโมยข้อมูลรับรองและการใช้สิทธิ์บริการ AI โดยมิชอบ แต่ย้ำว่าความสำเร็จของผู้โจมตีที่เกินกว่าการสแกนและขุดเหรียญยังอยู่ระหว่างสืบสวน (CyberScoop) จึงต้องแยก “มีทางทำได้และควรระวัง” ออกจาก “ยืนยันว่าเกิดกับเหยื่อแล้ว” ให้ชัด

เรื่องเงิน / ผลกระทบ

Lumen ประเมินว่าปฏิบัติการนี้มีแรงจูงใจทางการเงิน และมองว่าฮาร์ดแวร์ที่รองรับงาน AI อาจดึงดูดการขุดเหรียญ (Lumen) สำหรับทีมไทย ให้มองเป็นต้นทุนกำลังประมวลผลที่ถูกใช้โดยไม่ได้อนุมัติ ก่อนจะเดาเป็นยอดค่าไฟหรือค่าบริการ เพราะแหล่งข่าวไม่ได้ให้ตัวเลขค่าเสียหายต่อเครื่อง

ถ้าเครื่องซื้อไว้ใช้เอง สิ่งที่ควรตรวจคือการใช้ทรัพยากรกับงานจริงของทีม หากเช่าเครื่องหรือจ่ายตามการใช้งาน ก็ควรให้ผู้รับผิดชอบงบตรวจยอดควบคู่กับผู้ดูแลระบบ ทั้งสองข้อเป็นแนวทางจัดการความเสี่ยงจากการขุดเหรียญที่รายงานพบ ไม่ใช่ข้อยืนยันว่าเหยื่อทุกแห่งเจอค่าใช้จ่ายรูปแบบเดียวกัน (Lumen)

อีกส่วนคือข้อมูลและสิทธิ์ที่ผูกไว้กับเครื่อง API key คือข้อมูลลับที่โปรแกรมใช้ยืนยันสิทธิ์เรียกบริการ หากสงสัยว่าเครื่องถูกยึด ควรให้ทีมตรวจว่ามีคีย์ใดอยู่บนเครื่อง และพิจารณาเปลี่ยนคีย์เหล่านั้น เพราะ Ryan English ระบุความเสี่ยงด้านข้อมูลรับรองและการใช้สิทธิ์บริการต่อเนื่องไว้ (CyberScoop) การเปลี่ยนคีย์เป็นข้อเสนอป้องกันของบทความนี้ ไม่ใช่หลักฐานว่ามีคีย์ของบริษัทไทยถูกขโมย

การฟื้นฟูจึงควรตรวจทั้งงานที่เครื่องทำและสิทธิ์ที่เครื่องถือไว้ Lumen แนะนำให้นำเครื่องมือ AI เข้าไปอยู่ในรอบตรวจพื้นที่ที่ผู้โจมตีเข้าถึงได้ และรอบอัปเดตขององค์กร (Lumen) การซื้อเครื่องใหม่หรือหยุดโปรแกรมขุดอย่างเดียวจึงไม่ตอบคำถามว่าเส้นทางที่คนอื่นเข้ามาถูกปิดแล้วหรือยัง

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

จำนวนเหยื่อมีการแก้ไขจริง: BleepingComputer ระบุว่าได้รับตัวเลขเดิม 2,100 เครื่อง แปลว่านั่นเป็นยอดที่ใช้ก่อนผู้วิจัยปรับข้อมูล (BleepingComputer) ต่อมาสื่อแก้เป็น 3,400 เครื่องตามรายงานสด แปลว่าเป็นยอดที่อัปเดตภายหลัง ไม่ใช่การค้นพบคนละปฏิบัติการ (BleepingComputer)

แต่เนื้อหารายงานของ Lumen บางช่วงยังมีตัวเลขเก่าว่าเกือบ 2,200 เครื่อง แปลว่ายอดในเนื้อหาบางช่วงไม่ตรงกับส่วนสรุปล่าสุด (Lumen) บทความนี้ใช้ยอดมากกว่า 3,400 เครื่องจากส่วนสรุปและข่าวที่แก้แล้ว แปลว่าเป็นยอดตามการประเมินล่าสุดที่แหล่งเหล่านี้นำเสนอ ไม่ใช่ยอดที่ผมตรวจนับเอง (Lumen, BleepingComputer)

เสียงที่สนับสนุนความกังวล: Lumen ชี้ว่าเครื่อง AI มีทั้งข้อมูลและกำลังคำนวณที่น่าสนใจสำหรับผู้โจมตี ส่วน Ryan English อธิบายกับ CyberScoop ว่าเครื่องเหยื่อช่วยให้ผู้โจมตีเปลี่ยนจุดปล่อยการโจมตีได้ (Lumen, CyberScoop) ทั้งสองประเด็นรองรับการตรวจมากกว่าค่าใช้จ่ายจากการขุดเหรียญ

เสียงที่จำกัดข้อสรุป: Ryan English คนเดียวกันย้ำว่าผลลัพธ์นอกเหนือการสแกนและขุดเหรียญยังต้องสืบสวน จึงค้านการเหมารวมว่าทุกเครื่องถูกขโมยข้อมูลแล้ว (CyberScoop) แหล่งข่าวที่มีไม่ได้เสนอองค์กรซึ่งปฏิเสธการค้นพบของ Lumen และสื่อเหล่านี้รายงานจากงานวิจัยเดียวกัน จึงไม่ควรแต่งภาพว่ามีผลตรวจอิสระหลายชุดยืนยันครบทุกข้อ

ตัวผู้โจมตียังไม่ยืนยัน: Lumen เชื่อมโยงกับผู้ปฏิบัติการที่ใช้ภาษาอิตาลี ส่วน The Hacker News รายงานการประเมินด้วยความเชื่อมั่นระดับปานกลางจากร่องรอยภาษาและข้อมูลเครือข่าย (Lumen, The Hacker News) นี่ไม่ใช่หลักฐานยืนยันสัญชาติ และ CyberScoop ระบุว่ายังไม่ทราบจำนวนคนที่เกี่ยวข้องหรือความเชื่อมโยงกับกลุ่มอื่น (CyberScoop)

ช่องโหว่และไทย: Lumen ระบุเส้นทางที่น่าจะเกี่ยวข้องกับ LiteLLM CVE-2026-42271 โดย CVE คือรหัสอ้างอิงช่องโหว่ ไม่ใช่ชื่อรุ่นโปรแกรม (Lumen) แหล่งที่ให้มาไม่ได้ระบุรุ่นแก้ไข LiteLLM ที่ควรใช้ และไม่ได้ระบุจำนวนเหยื่อในไทย จึงยังตอบไม่ได้ว่าบริษัทไทยถูกกระทบมากแค่ไหน

แล้วเราควรทำอะไร

ข้อปฏิบัติต่อไปนี้เรียงจากการลดการเข้าถึง ไปสู่การตรวจสิ่งที่อาจเกิดขึ้นแล้ว โดยยึดคำแนะนำของ Lumen และ BleepingComputer ที่ให้จำกัดการเปิดบริการภายนอก อัปเดต และตรวจบันทึกเครือข่าย (Lumen, BleepingComputer) ส่วนขั้นตอนจัดการข้อมูลของทีมเป็นข้อเสนอเพื่อให้นำความเสี่ยงไปตรวจต่อได้

คนทั่วไปและเจ้าของกิจการ

1. ถามผู้ตั้งระบบว่าเครื่อง AI เข้าถึงจากอินเทอร์เน็ตได้หรือไม่ และใครเป็นเจ้าของงานอัปเดต ขอคำตอบที่ตรวจได้ ไม่ใช่เพียงคำว่า “ใช้กันภายใน”
2. ให้ผู้ดูแลทบทวนข้อมูลที่ส่งเข้าเครื่อง ก่อนเพิ่มเอกสารลูกค้าหรือข้อมูลภายใน หากยังไม่ทราบสถานะความปลอดภัย ให้พักการใช้งานข้อมูลอ่อนไหวไว้ก่อน
3. หากพบเครื่องทำงานหนักผิดปกติทั้งที่ไม่มีงาน ให้แจ้งทีม IT พร้อมช่วงเวลาที่สังเกต อย่าสรุปจากอาการเดียวว่าเป็น PoeLLM และอย่าลบสิ่งที่ไม่รู้จักเอง

ทีม IT และผู้ดูแลเซิร์ฟเวอร์

1. ตรวจว่าบริการ Ollama, LiteLLM และบริการประกอบใดเปิดให้คนภายนอกเชื่อมต่อ ปิดช่องทางที่ไม่จำเป็น เพราะ Lumen แนะนำให้ตรวจการเปิดภายนอกหลังติดตั้งเครื่องมือใหม่ (Lumen)
2. ให้บริการที่ทีมต้องใช้ผ่าน VPN ซึ่งเป็นการเชื่อมต่อเข้าระบบส่วนตัว หรือระบบยืนยันตัวตน พร้อมจำกัดผู้เข้าถึง ข้อนี้เป็นวิธีนำหลักการลดการเปิดภายนอกจากรายงานไปใช้ ไม่ใช่คำรับรองว่าการมี VPN เพียงอย่างเดียวจะป้องกันทุกกรณี (BleepingComputer)
3. อัปเดตบริการและอุปกรณ์เครือข่ายตามคำแนะนำผู้พัฒนา ตรวจบันทึกเครือข่ายร่วมกับการใช้ CPU/GPU และโปรแกรมที่ทำงานแต่ไม่รู้จัก อย่าใช้ความร้อนหรือการใช้ทรัพยากรอย่างเดียวเป็นคำวินิจฉัย (Lumen)
4. ถ้าสงสัยว่าเครื่องถูกยึด ให้ทบทวนข้อมูลรับรองและเปลี่ยน API key ที่เกี่ยวข้องโดยวางแผนให้บริการทำงานต่อได้ พร้อมตรวจว่าปิดทางเข้าถึงเดิมแล้ว ข้อนี้เป็นการรับมือความเสี่ยงที่ Ryan English เตือนไว้ ไม่ใช่ข้อยืนยันว่าคีย์ถูกขโมย (CyberScoop)

นักพัฒนาและทีมที่เพิ่งทดลอง AI

1. ก่อนส่งระบบให้คนอื่นใช้ ให้ระบุผู้ดูแล วิธีอัปเดต และรายชื่อบริการที่เปิดออกภายนอก รวมเครื่องแปลงเอกสารและเครื่องมือพัฒนาในรายการด้วย เพราะรายงานพบเหยื่อในบริการเหล่านี้ (Lumen)
2. อย่าคัดลอกวิธีติดตั้งแล้วถือว่าปลอดภัยทันที Lumen ระบุว่าเอกสารติดตั้ง Gotenberg มีคำเตือนไม่ให้เปิดบริการสู่อินเทอร์เน็ตอยู่แล้ว (Lumen)
3. อ่านต่อเรื่องการตรวจสิทธิ์ใน บทความ LiteLLM กับช่องโหว่ข้ามการยืนยันตัวตน MCP เพื่อประกอบการทบทวนระบบ แต่อย่านำรหัสช่องโหว่ในบทความนั้นมาสรุปว่าเป็นเส้นทางเดียวกับข่าว PoeLLM นี้

ผมมองว่า…

ผมมองว่า เรื่องนี้ไม่ใช่การแข่งขันว่าใครตั้ง AI ได้เร็วกว่า แต่คือการรับผิดชอบเครื่องที่ทีมกำลังไว้ใจ การติดตั้งจบควรหมายถึงมีเจ้าของระบบ มีขอบเขตคนเข้าถึง และมีรอบตรวจต่อเนื่องด้วย ไม่อย่างนั้นความสะดวกในวันเปิดใช้จะกลายเป็นงานตามแก้ที่ไม่มีใครรับไว้ตั้งแต่ต้น

ผมมองว่า การบอกว่ายังไม่รู้ก็สำคัญเท่ากับการเตือน เรามีเหตุผลพอให้ตรวจเครื่อง แต่ยังไม่มีหลักฐานจากแหล่งเหล่านี้ว่าบริษัทไทยแห่งใดติดเชื้อหรือข้อมูลใดรั่วแล้ว การตัดสินใจที่ดีจึงควรเริ่มจากตรวจสิ่งที่ควบคุมได้ และให้หลักฐานของเครื่องจริงเป็นตัวกำหนดขั้นต่อไป

ปิดท้าย: สิ่งที่ต้องจับตา

ความปลอดภัยของ AI ใช้เองเริ่มจากการรู้ว่าใครเข้าถึงเครื่อง ไม่ได้จบเมื่อหน้าแชตตอบได้แล้ว สิ่งที่ควรติดตามคือข้อมูลเหยื่อที่ Lumen ปรับปรุงต่อ และผลสืบสวนเรื่องการใช้เครื่องนอกเหนือจากขุดเหรียญกับสแกนที่ Ryan English ระบุว่ายังไม่จบ (Lumen, CyberScoop) แหล่งข่าวไม่ได้ให้วันประกาศผลถัดไป จึงไม่ควรตั้งเส้นตายขึ้นเอง

ในทีมของคุณ ตอนนี้ใครเป็นคนตรวจว่าเซิร์ฟเวอร์ AI ที่เพิ่งตั้งไว้เปิดให้คนภายนอกเข้าถึงหรือไม่?

Recap

• เกิดอะไรขึ้น: PoeLLM ใช้บริการที่เปิดภายนอกและมีช่องโหว่ เพื่อขุดเหรียญและขยายเครือข่าย ตาม Lumen [1]
• ตัวเลขที่ต้องจำ: มากกว่า 3,400 เครื่องตามการนับของ Lumen แปลว่าเป็นยอดเหยื่อสะสมที่รายงาน ไม่ใช่ยอดบริษัทไทย [1]
• จุดที่ไม่ตรงกัน: BleepingComputer แก้ยอดเดิม และเนื้อหา Lumen บางช่วงยังมียอดเก่า ขณะที่ Ryan English จำกัดข้อสรุปเรื่องผลกระทบด้านอื่น [1] [2] [3]
• ยังไม่รู้: จำนวนเหยื่อไทย รุ่นแก้ไข LiteLLM จากแหล่งชุดนี้ และผลสืบสวนความเสียหายนอกเหนือการสแกนกับขุดเหรียญ
• กระทบคุณอย่างไร: ตรวจว่าเครื่องที่จ่ายเงินไว้ทำงานให้ใคร และทบทวนข้อมูลกับสิทธิ์บริการที่ฝากไว้บนเครื่อง
• ทำต่อได้เลย: จำกัดการเข้าถึง อัปเดต ตรวจความผิดปกติ และทบทวนคีย์เมื่อสงสัยว่าเครื่องถูกยึด
• สิ่งที่ต้องจับตา: ข้อมูลเหยื่อที่ปรับปรุงและผลสืบสวนเพิ่มเติม โดยยังไม่มีกำหนดประกาศถัดไปในแหล่งข่าว
• แหล่งอ้างอิง: 1: Lumen Black Lotus Labs · 2: BleepingComputer · 3: CyberScoop · 4: The Hacker News