Wiz เปิดโปงกลุ่ม JINX-0164 ที่มีแรงจูงใจทางการเงิน ใช้โปรไฟล์ LinkedIn ปลอมหลอกนักพัฒนาคริปโตด้วยข้อเสนองาน แล้วส่งลิงก์ประชุมปลอมเพื่อปล่อยมัลแวร์ macOS สองตระกูลคือ AUDIOFIX และ MINIRAT ขโมย credential เบราว์เซอร์ กระเป๋าคริปโต SSH key และ token คลาวด์ จากนั้นลามผ่าน supply chain ด้วยการฝังโค้ดในแพ็กเกจ npm @velora-dex/sdk และ push โค้ดร้ายเข้า repo ภายใน เปลี่ยนโครงสร้างพัฒนาขององค์กรให้กลายเป็นช่องแพร่เชื้อ

นักวิจัย Socket พบแพ็กเกจ NuGet ประสงค์ร้ายชื่อ Sicoob.Sdk ปลอมเป็น SDK ทางการของธนาคาร Sicoob ในบราซิล ลอบขโมยใบรับรอง PFX พร้อมรหัสผ่านและ client ID ของนักพัฒนาแล้วส่งออกไปยัง Sentry ซึ่งเป็นแพลตฟอร์มมอนิเตอร์ที่น่าเชื่อถือ เพื่อให้กลมกลืนกับ telemetry ปกติและหลบการตรวจจับ แพ็กเกจปล่อยหลายเวอร์ชัน 2.0.0–2.0.4 มียอดดาวน์โหลด 484 ครั้งก่อนถูกถอด เป็นการโจมตี supply chain ที่ repo GitHub ดูสะอาดแต่ binary ถูกฝังโค้ดร้าย

Kimsuky กลุ่ม APT เกาหลีเหนือ ถูกระบุว่าโจมตีหน่วยงานทหารและองค์กรเกาหลีใต้ช่วงมีนาคม–เมษายน 2569 ด้วยการปลอมหน้าติดตั้งซอฟต์แวร์ความปลอดภัยและหน้า Webex ปลอม เพื่อหลอกติดตั้งมัลแวร์ HTTPSpy ที่เป็น RAT เต็มรูปแบบ พร้อมเทคนิคใหม่ JSONPing ยืนยันการติดมัลแวร์แบบเรียลไทม์ Kaspersky ยังพบการใช้ VS Code tunnel, Cloudflare Quick Tunnels และ LLM ช่วยพัฒนามัลแวร์ใหม่อย่าง HelloDoor และ HttpMalice

นักวิจัยเปิดเผยช่องโหว่ใน extension Remote-SSH ของ Visual Studio Code ที่เปิดทางให้ผู้โจมตีซึ่งยึดเครื่องนักพัฒนาได้แล้ว เด้งต่อเข้าสู่สภาพแวดล้อมคลาวด์และ production VS Code สร้างสคริปต์ bootstrap ไว้ในไดเรกทอรีชั่วคราวที่ผู้ใช้เขียนได้ โดยไม่มีการตรวจสอบความถูกต้องหรือลายเซ็น เกิดเป็น race condition แบบ TOCTOU ผู้โจมตีแทรกเพย์โหลดก่อนสคริปต์ถูกรันบนเซิร์ฟเวอร์ปลายทาง การโจมตีเกิดหลังล็อกอินสำเร็จจึงทำให้ MFA ไม่ช่วย กระทบ extension รวมกว่า 76 ล้านการติดตั้ง

เกิดคลื่นการโจมตี vishing ที่แฮ็กเกอร์ใช้ฟีเจอร์ collaboration ข้ามองค์กรของ Microsoft Teams ปลอมเป็นเจ้าหน้าที่ IT helpdesk โทรหรือส่งข้อความหาพนักงาน หลอกให้รันคำสั่งหรือติดตั้งเครื่องมือ remote access อย่าง Quick Assist เพราะเกิดในแพลตฟอร์มที่ดูน่าเชื่อถือ ระบบป้องกันฟิชชิงทางอีเมลจึงตรวจไม่เจอ ทีมสืบสวนหันมาใช้ Microsoft 365 Unified Audit Log โดยเฉพาะ event CallParticipantDetail เพื่อปะติดปะต่อไทม์ไลน์การโจมตี

WithSecure เปิดโปงกลุ่มแฮ็กเกอร์ GreyVibe ที่คาดว่าเชื่อมโยงรัสเซีย ใช้ AI หลายตัวอย่าง ChatGPT, Gemini และ Ideogram สร้างเหยื่อล่อคุณภาพสูงและช่วยพัฒนามัลแวร์ พุ่งเป้าหน่วยงานทหาร รัฐบาล และธุรกิจที่เกี่ยวข้องกับยูเครน ปฏิบัติการนี้เริ่มตั้งแต่สิงหาคม 2568 ใช้หลายห่วงโซ่การโจมตีทั้งฟิชชิง ClickFix และ Android spyware FallSpy แต่ขาดความแนบเนียนแบบรัฐชาติเต็มตัว คาดมีอดีตอาชญากรไซเบอร์ร่วมทีม

Rapid7 เปิดเผยช่องโหว่ RCE ระดับวิกฤต CVSS 9.4 ใน Gogs ระบบ Git โอเพนซอร์สแบบ self-hosted ยอดนิยม ผู้ใช้ที่ล็อกอินคนใดก็ได้สามารถสั่งรันโค้ดบนเซิร์ฟเวอร์ผ่านการ inject แฟลก –exec เข้าไปในคำสั่ง git rebase ตอน merge ช่องโหว่นี้ยังไม่มีแพตช์แม้แจ้งผู้พัฒนาตั้งแต่มีนาคม 2569 มีเซิร์ฟเวอร์เปิดสู่อินเทอร์เน็ตอย่างน้อย 1,141 เครื่องที่เสี่ยง

ESET เปิดเผย BTMOB โทรจัน Android ที่เปิดให้เช่าแบบ malware-as-a-service พร้อม builder สร้างเพย์โหลดตามลูกฟิชชิงได้โดยไม่ต้องเขียนโค้ด มัลแวร์ขโมยข้อมูล ดักธุรกรรมการเงิน จับภาพหน้าจอ และควบคุมเครื่องระยะไกล ขายในช่อง Telegram ราคา 700 ดอลลาร์ต่อเดือนหรือ 5,000 ดอลลาร์ตลอดชีพ แพร่ผ่านเว็บปลอมเลียนแบบบริการสตรีมมิงและเหมืองคริปโต และใช้ Accessibility Services ยกระดับสิทธิ์ ปัจจุบันเคลื่อนไหวมากในบราซิลและละตินอเมริกา

Sysdig Threat Research Team บันทึกการบุกรุกที่ขับเคลื่อนด้วย AI agent เป็นครั้งแรก เมื่อ 10 พฤษภาคม 2569 ผู้โจมตีใช้ LLM agent สั่งการ post-exploitation ทั้งหมดเริ่มจาก marimo notebook ที่เปิดสู่อินเทอร์เน็ตผ่าน CVE-2026-39987 จนดึงฐานข้อมูล PostgreSQL ภายในออกได้ในไม่ถึง 2 นาที คำสั่งถูกแต่งขึ้นแบบเรียลไทม์ปรับตัวทุกขั้น กระจาย API call ผ่าน Cloudflare Workers หลาย IP เพื่อหลบการตรวจจับ Sysdig แนะนำอัปเดต marimo เป็น 0.23.0 ทันที

Splunk Threat Research Team เปิดเผยแคมเปญ VIP Keylogger ที่แพร่ผ่านอีเมลฟิชชิงปลอมเป็นใบแจ้งชำระเงิน ใบสั่งซื้อ และข้อมูลขนส่ง มัลแวร์ใช้ script loader หลายชั้น (.vbs .js .bat) ที่ obfuscate หนัก แล้วซ่อนเพย์โหลดในไฟล์ภาพ .png ด้วย steganography ก่อนฉีดเข้าโพรเซส Windows ที่ถูกต้อง ความสามารถรวมถึงบันทึกคีย์ จับภาพหน้าจอ ขโมยรหัสผ่าน และสลับที่อยู่กระเป๋าคริปโตในคลิปบอร์ด ส่งข้อมูลออกผ่าน Telegram bot