Arctic-Wolf

บริษัท Arctic Wolf เปิดเผยมัลแวร์ Go ที่ไม่เคยมีเอกสารมาก่อนชื่อ GoCaracal พบในเหตุเจาะองค์กรสื่อสารแห่งหนึ่งในเวเนซุเอลาเมื่อมิถุนายน 2569 มัลแวร์มาสองโปรไฟล์ ตัวเบาให้เชลล์และรันเพย์โหลด ตัวเต็มเพิ่มขโมยข้อมูลเบราว์เซอร์ คีย์ล็อก รีโมตเดสก์ท็อป WebRTC และพร็อกซี SOCKS5 จุดที่แปลกที่สุดคือเมื่อติดต่อเซิร์ฟเวอร์ควบคุมหลักไม่ได้ซ้ำ ๆ มันจะยิง eth_getStorageAt ไปยังโหนด Ethereum สาธารณะเพื่ออ่านที่อยู่สำรอง บริษัทเชื่อมโยงกับกลุ่ม Dark Caracal ด้วยความมั่นใจระดับปานกลาง

บริษัท Arctic Wolf เปิดเผยว่าอาชญากรกำลังใช้หน้าจอกระเป๋าเงินคริปโต (Crypto Wallet) ปลอมและส่วนขยายเบราว์เซอร์อันตราย เพื่อขโมย recovery phrase ข้อมูลล็อกอิน และเซสชันเบราว์เซอร์ที่ใช้งานอยู่ กิจกรรมนี้เชื่อมโยงกับแคมเปญ CastleLoader ที่เริ่มจากตัวติดตั้งซอฟต์แวร์ปลอมและพรอมป์ต์แบบ ClickFix หลอกให้เหยื่อรันคำสั่ง PowerShell อันตราย เครื่องมือเด่นคือ NeedleStealer wallet spoofer ที่เขียนด้วยภาษา Rust เลียนแบบแอปกระเป๋า Ledger, Trezor และ Exodus เพื่อล่อให้เหยื่อกรอก recovery seed phrase

นักวิจัยจากบริษัท Arctic Wolf Labs พบการบุกรุกหลายกรณีในเดือนมิถุนายน 2569 ที่ผู้โจมตีใช้ช่องโหว่ CVE-2026-0257 ในซอฟต์แวร์ PAN-OS ของ Palo Alto Networks เป็นทางเข้า เพื่อตั้งเซสชัน SSL VPN โดยไม่ต้องมีข้อมูลรับรองที่ถูกต้อง ก่อนขโมยข้อมูลรับรองภายในและปล่อยแรนซัมแวร์ Qilin พฤติกรรมหลังเจาะระบบแตกต่างกันไปในแต่ละกรณี บ่งชี้ว่ามีพันธมิตรหลายรายทำงานใต้ร่มบริการ RaaS เดียวกัน