Android

Group-IB เปิดโปง CyberDakait แคมเปญมัลแวร์แอนดรอยด์ที่เล็งลูกค้าธนาคารอินเดียตั้งแต่ ก.ค. 2568 พบเครื่องถูกยึดอย่างน้อย 17,960 เครื่องและ SMS ถูกดัก 7,611,443 ข้อความ ผู้โจมตีโทรแอบอ้างเป็นธนาคารให้ยกเลิกแผนคุ้มครองบัตรเครดิต แล้วพาไปติดตั้ง APK จาก GitHub ที่ขโมยข้อมูลบัตร รหัส OTP และแอบขุด Monero มัลแวร์ 7 ตระกูลสวมรอยธนาคาร 11 แห่งกับโครงการรัฐ 2 โครงการ และเก็บข้อมูล PAN กับ Aadhaar ด้วย ผู้ใช้ควรติดตั้งแอปธนาคารจากช่องทางทางการเท่านั้นและตรวจแอปที่ขอสิทธิ์ SMS

Google เปิดให้ร้านแอป Android ภายนอกสมัครเข้าโปรแกรม Registered App Stores เพื่อติดตั้งแอปได้แตะเดียวโดยไม่ต้องผ่านหน้ายืนยันของระบบ และอัปเดตแอปเบื้องหลังได้ เริ่ม 1 ธันวาคม 2569 บนอุปกรณ์ Android 17 QPR2 ขึ้นไปในประเทศที่รองรับ ซึ่งไม่รวมสหรัฐฯ ร้านต้องยืนยันตัวตน ส่งแอปทุกตัวให้ Google สแกนมัลแวร์ และจ่ายค่าธรรมเนียม 10,000 ดอลลาร์ต่อปี Google ไม่เปิดเผยว่าสแกนอย่างไรและเร็วแค่ไหน ผู้ดูแลระบบควรตรวจนโยบาย MDM ว่าจะอนุญาตร้านกลุ่มนี้บนเครื่ององค์กรหรือไม่

NebuSec เปิดเผยช่องโหว่ใน Telegram สำหรับแอนดรอยด์เวอร์ชัน 8.6.2 ถึง 12.10.3 ที่ผู้โจมตีใช้บัญชีธรรมดาโทรหาเหยื่อแล้วรันโค้ดได้ทันทีที่เหยื่อรับสาย บั๊กอยู่ในโค้ดอ่านข้อความ MediaState ระหว่างสาย และเมื่อร้อยกับบั๊กรั่วข้อมูลและ exploit root ของแอนดรอยด์จะยึดเครื่องได้ทั้งหมด Telegram แก้ในเวอร์ชัน 12.10.4 แต่ไม่ออก CVE และไม่จ่ายค่าหาบั๊กเพราะไม่เชื่อว่ารันโค้ดได้ ยังไม่พบการโจมตีจริงและยังไม่มีรายงานเทคนิคเต็ม ผู้ใช้ควรอัปเดตแอปและตั้งค่าการโทรเป็น Nobody

นาย Saifeldeen Aziz นักวิจัยความปลอดภัย อ้างว่าพบช่องโหว่ zero-click ใหม่ในสติกเกอร์ Telegram และนำไปบรรยายที่งาน OffensiveCon โตเกียว 28 ตุลาคม เขาใช้ LLM ช่วย fuzz ไลบรารี rlottie จนพบบั๊กหน่วยความจำ แล้วร้อยกับช่องโหว่เชิงตรรกะจนรันโค้ดบน iOS ได้ คำอ้างนี้ค้านจุดยืนของ Telegram ที่ว่าเซิร์ฟเวอร์กรองสติกเกอร์ไว้หมดแล้ว ขณะที่ ZDI เผยแพร่ CVE-2026-111105 ใน rlottie ที่ยังไม่มีแพตช์ บทคัดย่อยังไม่มีหลักฐานเทคนิค จึงยังไม่ยืนยัน ผู้ใช้ควรอัปเดตแอปและจำกัดคนที่ส่งข้อความหรือเพิ่มเข้ากลุ่มได้

Frontier Red Team ของ Anthropic เผยว่าโมเดล AI ภายในที่ยังไม่เปิดตัวพบช่องโหว่ใน Chrome, Safari, Android, Windows และ Linux แล้วร้อยเป็น exploit ใช้งานได้จริง 5 ชุด ชุดที่ร้ายแรงสุดรันคำสั่งระดับ root บนเซิร์ฟเวอร์ Linux ผ่านเครือข่ายโดยไม่ต้องล็อกอิน ส่วนชุด Chrome หลุดแซนด์บ็อกซ์ได้จากการเปิดหน้าเว็บครั้งเดียว ทุกช่องโหว่แจ้งผู้ผลิตและแพตช์แล้ว แต่บทบาทของคนในแต่ละขั้นยังตรวจสอบไม่ได้ และ CVE บางตัวมีคำอธิบายไม่ตรงกับที่ Anthropic เล่า ควรอัปเดต Chrome 156 และเคอร์เนล Linux

TeamViewer ออกประกาศ TV-2026-1011 แก้ 3 ช่องโหว่ระดับสูงใน Full Client, Host และแอป Android ที่ใช้กับ TeamViewer Remote, Tensor และ ONE ช่องโหว่ 2 ตัวคะแนน 8.8 อยู่ในส่วนประมวลผลภาพหน้าจอ เครื่องปลายทางที่ประสงค์ร้ายหรือไฟล์บันทึกเซสชันที่สร้างมาเฉพาะจึงอาจทำให้แอปฝั่งผู้ควบคุมแครชหรือถูกรันโค้ด อีกตัวคะแนน 7.8 เปิดให้ผู้ใช้ในเครื่อง macOS ยกสิทธิ์เป็น root ผ่านตัวช่วยติดตั้ง TeamViewer ระบุว่ายังไม่พบการโจมตีจริง ผู้ดูแลควรอัปเดตเป็น 15.83 หรือรุ่น legacy ที่แก้แล้วทุกเครื่อง

บริษัท Microsoft แก้ช่องโหว่ CVE-2026-80097 ใน Microsoft Authenticator บน Android ที่ทำให้แอปอันตรายซึ่งไม่ขอสิทธิ์ใดเลยสวมเป็นแอปที่เชื่อถือได้อย่าง Teams แล้วขอโทเค็นบัญชีงานของเหยื่อได้ ต้นเหตุ คือ การตรวจลายเซ็นดูลายเซ็นของแอปที่ถูกอ้างชื่อ ไม่ใช่แอปที่ส่งคำขอจริง ในการทดสอบของ Enclave โทเค็นที่ได้อ่านและส่งอีเมล อ่านเขียนไฟล์และปฏิทินได้ Microsoft ให้ CVSS 8.6 และระบุว่ายังไม่ถูกใช้โจมตี ผู้ใช้ควรอัปเดต Authenticator เป็น 6.2606.4246 ขึ้นไป

นักวิจัย Ovi เปิดโปง uCreator ชุดสปายแวร์แอนดรอยด์ให้เช่าที่ซ่อนโค้ดในสำเนาแอป Telegram และ WeChat ที่ถูกดัดแปลงซึ่งแจกนอก Google Play โค้ดรันด้วยสิทธิ์ของแอปจริง จึงอ่านแชตและเก็บรหัส 2FA ของ Telegram ไปยึดบัญชีและซ่อนเซสชันของผู้โจมตีได้ ส่วน Telegram ตรงกับ Baohuo ที่ Doctor Web พบติดกว่า 58,000 เครื่องในปี 2568 รวมถึงในอินโดนีเซีย ยังยืนยันจำนวนเหยื่อไม่ได้และพบโค้ดรองรับราว 20 แอป รวมถึง LINE, Zalo, GCash และ MoMo ผู้ใช้ควรติดตั้งแอปจากสโตร์ทางการเท่านั้นและตรวจลายเซ็นแอป

Eye Security เปิดเผยปฏิบัติการ Operation IXIM ที่ส่งอัปเดตกว่า 2 ล้านครั้งไปยังเครื่องที่ไม่ใช่ของตัวเอง เพื่อปิด updater ของ Time4Popcorn ซึ่งเป็น Popcorn Time ฉบับที่ถูกทิ้ง updater นี้ติดต่อโดเมนที่หมดอายุผ่านช่องทางไม่เข้ารหัส และติดตั้งทุกอย่างที่ได้รับด้วยสิทธิ์สูงสุดโดยไม่ตรวจผู้ส่ง ช่องโหว่ CVE-2026-30612 คะแนน 9.8 กระทบ Windows ราว 2.5-3 ล้านเครื่องและ Mac 2.5-3.5 แสนเครื่อง ใครจดโดเมนเก่าได้ก็สร้างบอตเน็ตได้ทันที บริษัทแนะนำให้ถอนการติดตั้งแอป

ThreatFabric พบ Hirudo โทรจันธนาคารแอนดรอยด์ที่ถอนแอปธนาคารของจริงออกแล้วติดตั้งฉบับดัดแปลงชื่อและเวอร์ชันเดียวกันแทน แอปปลอมฝังเอนจิน hook ที่ส่งใบรับรองของธนาคารจริงกลับ ซ่อนบริการ Accessibility ของมัลแวร์ ปิด FLAG_SECURE และส่งต่อคำขอ Play Integrity ให้เซิร์ฟเวอร์ผู้โจมตีตอบ มัลแวร์เตรียมแอปปลอมไว้ 8 แอปของธนาคารอินโดนีเซีย 7 แห่ง และโค้ดมีเป้าขโมยรหัสในจีน อินเดีย เม็กซิโก โมร็อกโก และไทย Hirudo ยังดูหน้าจอสดและเปิดกล้องของเหยื่อได้