Android

นักวิจัย STAR Labs วิเคราะห์ YuanKong มัลแวร์ RAT บนแอนดรอยด์ที่ใช้ Accessibility ดูและควบคุมหน้าจอเหยื่อแทนการขอสิทธิ์ SMS หรือรายชื่อติดต่อ มัลแวร์ดักรหัสผ่านและ PIN ได้ทั้งจากช่องกรอก แป้นตัวเลขปลอม และหน้าเว็บที่วางทับแอปชำระเงิน มันยังเปิด Wireless Debugging แล้วจับคู่กับ ADB ในเครื่องเพื่อได้ shell ไว้ให้สิทธิ์และคงอยู่ ตัวอย่าง 110 dropper กับ payload 57 ตัวเซ็นด้วยใบรับรองเดียวกันและโยงกับบัญชีผู้ควบคุม 42 บัญชี บ่งชี้ว่าเป็นบริการที่ผู้ควบคุมหลายรายใช้ร่วมกัน

บริษัท ThreatFabric เปิดเผยโทรจันธนาคารแอนดรอยด์ตัวใหม่ชื่อ Hirudo ที่ถอนแอปธนาคารของจริงแล้วติดตั้งแอปที่ถูกดัดแปลงแทน แอปปลอมฝัง hooking engine หลอกการตรวจลายเซ็น การตรวจ accessibility การบันทึกหน้าจอ และ Play Integrity จากภายในแอป พบแอปแทนที่สำหรับธนาคารอินโดนีเซีย 8 แอป ส่วนการขโมยข้อมูลล็อกอินครอบคลุมอินโดนีเซีย จีน อินเดีย เม็กซิโก โมร็อกโก และไทย มัลแวร์แพร่ผ่านแอปช้อปปิ้ง ดูวิดีโอ และละครสั้นที่โฆษณาบนแพลตฟอร์มของ Meta

บริษัท Bitdefender เปิดโปง Midnight Mimosa มัลแวร์ที่ฝังมาในเฟิร์มแวร์มือถือ Android ราคาถูกที่ใช้ชิป MediaTek ตัวมัลแวร์เป็นแอประบบที่ลงนามด้วย platform key ผู้ใช้ถอนไม่ได้ และติดตั้ง/ลบแอปพร้อมให้สิทธิ์ได้เงียบ ๆ ช่วง 2 ปีพบเครื่องติดเชื้อหลายพันเครื่องในกว่า 150 ประเทศ เป้าหมายหลักคือโกงคลิกโฆษณาและขายเครื่องเป็น residential proxy นอกจากนี้ยังพบแอป 13 ตัวบน Google Play ที่มีโค้ดตระกูลเดียวกัน

การแข่งขัน Pwn2Own Ireland 2026 ที่เมืองคอร์ก มี 3 ทีมเจาะ Google Pixel 10 ที่แพตช์ครบจากระยะไกลได้สำเร็จเมื่อ 8 ตุลาคม 2569 รวมเงินรางวัล 562,500 ดอลลาร์ Ikotas Labs ได้รางวัลสูงสุด 300,000 ดอลลาร์และตำแหน่ง Master of Pwn อย่างน้อย 2 ใน 3 ผลงานใช้บั๊กที่เคยมีผู้รายงานมาก่อน ZDI ยังไม่เปิดเผยวิธีเจาะ และ Google ยังไม่มีแพตช์ Galaxy S26 ถูกเจาะครบ 7 ครั้ง ส่วนทั้งงานสำเร็จ 51 จาก 63 ครั้ง รางวัลรวมกว่า 1.2 ล้านดอลลาร์

บริษัท Google ประกาศว่าใน Android 17 เมื่อเปิดโหมด Advanced Protection ระบบจะจำกัดสิทธิ์ AccessibilityService ให้เฉพาะแอปที่ผ่านการรับรองในหมวด Accessibility Tools เท่านั้น API นี้เป็นช่องทางหลักที่โทรจันธนาคารและสปายแวร์ใช้อ่านหน้าจอ ดักการพิมพ์ ครอบหน้าล็อกอินปลอม และสั่งโอนเงินแทนผู้ใช้ Android 17 ยังเพิ่ม Intrusion Logging สำหรับงานพิสูจน์หลักฐาน การป้องกันผ่าน USB การปิด WebGPU และการล็อกเครื่องเมื่อยืนยันตัวตนผิดซ้ำ ฟีเจอร์ทั้งหมดทำงานเฉพาะผู้ที่เปิด Advanced Protection

นักวิจัยเชื่อมช่องโหว่ 2 จุดในซอฟต์แวร์ของ OnePlus ทำให้แอปที่ผู้ใช้ติดตั้งเองยกระดับสิทธิ์เป็น root ได้โดยไม่ต้องขอ permission ใด ๆ และไม่มีการแจ้งเตือน ทดสอบสำเร็จบน OnePlus 15 ที่รัน OxygenOS รุ่นล่าสุดและ OnePlus 12 Pro โดย OnePlus ระบุว่ากระทบอุปกรณ์ของตนอีกหลายรุ่นรวมถึงเครื่อง OPPO ที่ใช้โค้ดร่วมกัน บริษัทยืนยันช่องโหว่ตั้งแต่พฤษภาคม 2569 แต่ยังไม่ออกแพตช์และไม่กำหนด CVE เป็นการโจมตีเฉพาะเครื่องที่ต้องมีแอปมุ่งร้ายทำงานอยู่ก่อน

บริษัท Group-IB เปิดโปง RemControl โทรจันธนาคารบนแอนดรอยด์ที่ซ่อนหลังหน้าดาวน์โหลดแอปดูทีวีปลอมเลียนแบบ Google Play เมื่อเหยื่อเปิดแอปธนาคาร มัลแวร์จะครอบหน้าจอปลอมทับเพื่อหลอกเอา PIN รหัสธนาคารและวันหมดอายุบัตร พบหน้าฟิชชิงตรงกับสถาบันการเงินกว่า 30 แห่งในยุโรป ตะวันออกกลางและแคนาดา จุดเด่นคือหลักฐานว่ามีการใช้ผู้ช่วย AI ช่วยพัฒนาแพลตฟอร์มอาชญากรรมภายใต้คำอธิบายที่บิดเบือน

บริษัท Have I Been Squatted เปิดโปงสปายแวร์แอนดรอยด์ชื่อ Corp MDM ที่เจาะบริษัทในภาคโลจิสติกส์ ผ่านหน้า Google Play ปลอมที่สวมแบรนด์ CEVA และ TKW Logistics เพื่อแจกไฟล์ APK ที่ปลอมเป็นบริการระบบ มัลแวร์ดักข้อความ SMS ที่เข้ามาใหม่ เปิดการโอนสายอัตโนมัติ และคงบริการเบื้องหลังแบบซ่อน ส่งข้อมูลออกผ่าน HTTP แบบไม่เข้ารหัส คาดว่าเชื่อมโยงกับกลุ่มอาชญากรรมสาย Diesel Vortex ที่มีเบาะแสอาร์เมเนีย-รัสเซีย

หน่วยงานคุ้มครองข้อมูลของไอร์แลนด์ (DPC) สั่งปรับ Google เป็นเงิน 403 ล้านยูโร ฐานละเมิดกฎหมาย GDPR ในการจัดการข้อมูลตำแหน่งที่ตั้งของผู้ใช้ผ่าน 3 ฟีเจอร์ระหว่างปี 2018-2020 คือ Web & App Activity, Location History และ Location Accuracy DPC พบว่า Google ละเมิดหลักการประมวลผลที่ชอบด้วยกฎหมายและโปร่งใส และเก็บข้อมูลนานเกินจำเป็น นับเป็นค่าปรับที่ใหญ่เป็นอันดับ 4 ที่ DPC เคยออก โดย Google มีสิทธิ์อุทธรณ์ต่อศาลสูงภายใน 28 วัน

บริษัท Google ออกแพตช์เดือนกันยายน 2569 แก้ช่องโหว่ยกระดับสิทธิ์ในโมเด็มมือถือของ Pixel รหัส CVE-2026-58704 คะแนน CVSS 8.0 พร้อมระบุว่าพบสัญญาณการโจมตีแบบจำกัดวงและเจาะจงเป้าหมาย ช่องโหว่เกิดจากข้อผิดพลาดเชิงตรรกะที่ทำให้ข้ามการตรวจสิทธิ์ได้จากระยะประชิดโดยไม่ต้องให้เหยื่อกดอะไรเลย (zero-click) ต่อมา CISA เพิ่มช่องโหว่นี้เข้าแคตตาล็อก KEV เมื่อ 16 กันยายน สั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 19 กันยายน ผู้ใช้ควรอัปเดตให้ถึงระดับแพตช์ 5 กันยายน 2569 หรือใหม่กว่า