Apt

นักวิจัยจากบริษัท Checkmarx เปิดเผยแพ็กเกจ npm อันตรายชื่อ indexed-btree ที่ซ่อนพฤติกรรมอันตรายไว้ในโค้ดรันไทม์แทนการใช้ lifecycle script เพื่อเลี่ยงมาตรการใหม่ของ npm v12 แพ็กเกจถูกอัปโหลดตั้งแต่ 18 มิถุนายน 2569 มียอดดาวน์โหลดหลักล้านในเวลาสั้น และอาจทำกำไรผิดกฎหมายให้ผู้โจมตีราว 230,933 ยูโร (109 ETH) มัลแวร์ใช้เทคนิค EtherHiding ดึง payload ขั้นถัดไปจาก smart contract บน Sepolia testnet ขณะที่แคมเปญ PolinRider ที่โยงเกาหลีเหนือก็กลับมาโผล่บน Packagist อีกครั้ง

คำแนะนำร่วมด้านความมั่นคงไซเบอร์จากญี่ปุ่น สหรัฐฯ ออสเตรเลีย และเยอรมนี เตือนว่าผู้ก่อภัยเกาหลีเหนือเบื้องหลังแคมเปญ Contagious Interview เจาะอุปกรณ์อย่างน้อย 30,000 เครื่องในกว่า 100 ประเทศ และดูดเงินหรือข้อมูลจากกระเป๋าคริปโตกว่า 7,000 ใบ รวมมูลค่าอย่างน้อย 10.71 ล้านดอลลาร์ เป้าหมายคือนักพัฒนาและผู้เชี่ยวชาญคริปโต บล็อกเชน และ Web3 โดยหลอกผ่านการสัมภาษณ์งานปลอมและแบบทดสอบเขียนโค้ด

Group-IB เปิดโปง HEAVYGRAM แบ็กดอร์สอดแนม Windows ที่เปลี่ยน Telegram ให้เป็นศูนย์บัญชาการ ใช้บอต บัญชี และกลุ่มรับคำสั่ง ส่งข้อมูลที่ขโมย และควบคุมเครื่องที่ติด แทนการพึ่งเซิร์ฟเวอร์เฉพาะ มัลแวร์ถูกใช้มาตั้งแต่ปลายปี 2566 เล่นงานนักข่าว ผู้เห็นต่างอิหร่าน และผู้ที่มีจุดยืนต่อต้านรัฐบาลอิหร่าน นักวิจัยพบตัวอย่างเพิ่มอีก 29 ชิ้นและเชื่อมโยงปฏิบัติการกับกลุ่ม Handala Hack ด้วยความมั่นใจปานกลาง ความสามารถครอบคลุมการจับภาพหน้าจอ อัดเสียง และขโมยข้อมูล Telegram Desktop

บริษัท Hunt.io และนักวิจัย Guy Yasur ติดตามคลัสเตอร์เซิร์ฟเวอร์ C2 ของ SpiceRAT ที่มีมาก่อนและต่อยอดจากรายงาน SilkParasite ของ Bitdefender เมื่อสิงหาคม 2569 โดยเน้นวิเคราะห์ฝั่งโครงสร้างพื้นฐานแทนตัวมัลแวร์ จนเชื่อม 3 ใน 7 ตระกูล RAT ของ SilkParasite เข้าด้วยกันผ่านใบรับรอง โดเมน และรูปแบบโฮสติงร่วมกัน จุดเด่นคือใบรับรองปลอมเป็นการรถไฟรัฐอุซเบกิสถานที่ออกโดย CA ซึ่งได้ทุนจากสถาบันวิจัยรัฐจีน และโดเมนจำนวนมากปลอมเป็นกระทรวงและรัฐวิสาหกิจในเอเชียกลาง ปฏิบัติการนี้สืบย้อนได้ถึงกลางปี 2565

ESET พบกลุ่มจารกรรมโยงจีน FamousSparrow ใช้แบ็กดอร์ตัวใหม่ชื่อ SparroWocky โจมตีหลายประเทศในลาตินอเมริกาตั้งแต่สิงหาคม 2568 แบ็กดอร์เขียนด้วย C++ แบบโมดูลาร์ แทนที่ SparrowDoor เดิม รันไฟล์ ทำ TCP proxy จับภาพหน้าจอ และดูดไฟล์ได้ มีลูกเล่นต้านการวิเคราะห์ระดับสูงและผสานโค้ดโอเพนซอร์สอย่าง Mbed TLS, MinHook และ COFF Loader เข้ากับตัวมัลแวร์ 90% ของเป้าหมายอยู่ในลาตินอเมริกา ทั้งหน่วยงานรัฐในอาร์เจนตินา เอกวาดอร์ ปานามา เปรู และเวเนซุเอลา

บริษัท Rapid7 เปิดเผยว่ากลุ่ม APT ที่น่าจะเป็นเกาหลีเหนือใช้ชุดเครื่องมือสอดแนม Linux ที่ไม่เคยมีบันทึกมาก่อนชื่อ TED เจาะโหลดบาลานเซอร์โอเพนซอร์ส HAProxy เพื่อเข้าถึงการสื่อสารที่ถอดรหัสแล้ว เล็งบริษัทสื่อและยานยนต์ในเกาหลีใต้มาตั้งแต่ต้นปี 2568 Rapid7 เชื่อมโยงด้วยความมั่นใจปานกลางกับ APT37 (ScarCruft) จากรายการเซิร์ฟเวอร์ C2 ที่ตรงกัน แบ็กดอร์นี้ตรวจจับได้ยากมากเพราะฝังในโครงสร้างพื้นฐานและลบร่องรอยในล็อก

บริษัท Kaspersky รายงานว่าองค์กรในรัสเซียกำลังถูกโจมตีโดยสามกลุ่มภัยคุกคาม ได้แก่ NightEagle, Hacking Cat และ Toy Ghouls ด้วยแบ็กดอร์ แรนซัมแวร์ และมัลแวร์ล้างข้อมูล NightEagle ใช้แบ็กดอร์ GhostContainer เจาะ Microsoft Exchange และเจาะ Active Directory ด้วย BlueKeep และ DCSync ส่วน Hacking Cat กลุ่มแฮ็กทิวิสต์หนุนยูเครนปล่อย Gorilla RAT และแรนซัมแวร์ Monkey ที่บางรุ่นกลายเป็น wiper ขณะที่ Toy Ghouls หันมาใช้แบ็กดอร์ Bird Agent ที่สั่งการผ่าน MQTT และ Matrix

หน่วยงานความมั่นคงไซเบอร์ของสหรัฐ อังกฤษ และเนเธอร์แลนด์ ออกประกาศร่วมเมื่อ 15 กันยายน เปิดโปงมัลแวร์ Windows ที่หน่วยข่าวกรองอิหร่านใช้สอดแนมผู้เห็นต่าง นักข่าว และนักเคลื่อนไหวทั่วโลก มัลแวร์นี้ FBI เรียก HEAVYGRAM ส่วน NCSC เรียก CHOSEN BRICK ควบคุมผ่านแอป Telegram คัดลอกอีเมลและแชท จับภาพหน้าจอ และเปิดไมโครโฟนอัดเสียงได้ FBI ชี้ว่าเป็นฝีมือกระทรวงข่าวกรองอิหร่าน (MOIS)

บริษัท Sophos และบริษัท Cisco พบกลุ่ม Sandworm ที่เชื่อมโยงกับหน่วยข่าวกรอง GRU ของรัสเซีย นำ CVE-2026-20079 (auth bypass ระดับสูงสุด) มาต่อกับ CVE-2026-20316 เพื่อเจาะ Cisco Secure Firewall Management Center แล้วติดตั้ง Cyclops Blink รุ่นใหม่ ตัวใหม่รันบน Linux x86-64 เพิ่มการสแกนเครือข่ายและดักจับทราฟฟิก Cisco ออกฮอตฟิกซ์แล้วและเร่งให้อัปเดตทันที ยังมีอีกสองกลุ่มใช้ช่องโหว่คู่นี้ปล่อยเว็บเชลล์และแรนซัมแวร์ Qilin

บริษัท Acronis Threat Research Unit เปิดเผยว่ากลุ่มผู้ต้องสงสัยเชื่อมโยงกับจีนชื่อ Red Heron นำช่องโหว่รันโค้ดทางไกล CVE-2026-60004 ใน Gitea มาใช้โจมตีอย่างรวดเร็ว โดยสแกน Gitea ที่เปิดสู่อินเทอร์เน็ต 1,386 เครื่องใน 7 ประเทศ และยืนยันเจาะสำเร็จ 13 องค์กรใน 6 ประเทศ ปฏิบัติการลุกลามจากการขโมยซอร์สโค้ดสู่การฝังตัวถาวร เก็บ credential และเคลื่อนตัวด้านข้าง รวมถึงยึดสิทธิ์ root บนคลัสเตอร์ Proxmox 3 โหนด นักวิจัยยังพบแบ็กดอร์ Linux ชื่อ JITTERLY และ rootkit ตัวใหม่ SIXZUT ที่ซ่อนไฟล์ โปรเซส และการเชื่อมต่อเครือข่าย