Backdoor

อัปเดตปลอมของส่วนขยาย Claude Code เวอร์ชัน 2.1.313 ถูกปล่อยบน Cursor Marketplace ภายใต้ ID ทางการ anthropic.claude-code เมื่อ 29 ตุลาคม 2569 กระทบผู้ใช้สูงสุด 5,000 ราย โค้ดอันตราย 66 บรรทัดเพิ่มกุญแจ SSH ของผู้โจมตี เปิดอุโมงค์ย้อนกลับไปยัง 134.209.82[.]225 ตั้งกลไกคงอยู่ และส่งข้อมูลเครื่องรวมชื่อตัวแปรที่เก็บความลับออกไป ยังไม่ทราบว่าผู้โจมตีปล่อยอัปเดตได้อย่างไร และไม่พบใน Open VSX หรือ VS Code Marketplace ผู้ที่ติดตั้งช่วงนั้นควรแยกเครื่อง ลบกุญแจและกลไกคงอยู่ แล้วหมุนเวียนความลับทั้งหมด

บริษัท Trellix พบแคมเปญฟิชชิงภาษาเกาหลีที่ปลอมเป็นใบกำกับภาษีของ FedEx เล็งพนักงานฝ่ายบัญชี เพื่อติดตั้ง Sirius Backdoor สายพันธุ์ใหม่ ไฟล์แนบเป็น PDF หน้าเปล่าที่สั่ง PowerShell ถอดรหัสโค้ดหลายชั้นแล้วรันในหน่วยความจำ แทบไม่ทิ้งไฟล์บนดิสก์ มัลแวร์ปิด ETW เพื่อทำให้ EDR มองไม่เห็น ฉีดตัวเองเข้าโปรเซสที่เชื่อถือได้ และฝังกลไกให้อยู่รอดแม้รีเซ็ต Windows ผู้ดูแลระบบควรบล็อก Adobe Reader ไม่ให้สร้าง child process และเปิด Script Block Logging

LiteLLM เวอร์ชัน 1.107.0 บน PyPI และอิมเมจ Docker ถูกวางยา ฝังมัลแวร์ขโมยข้อมูลรับรอง privcollect และแบ็กดอร์ที่ดึงโค้ดมารันทุกชั่วโมง ผู้โจมตีใช้บัญชี GitHub ของวิศวกร 3 คนผ่านโทเคน OAuth ของ GitHub CLI ที่น่าจะถูกขโมย สั่งรันและอนุมัติการปล่อยรุ่นเอง มัลแวร์ทำงานทันทีที่ Python เริ่มผ่านไฟล์ cook.pth และส่งคีย์คลาวด์ กุญแจส่วนตัว และคีย์ใน proxy ไปที่ litellm[.]dev ผู้ติดตั้งรุ่นนี้ควรเปลี่ยนข้อมูลรับรองจากเครื่องที่สะอาดและยึดเวอร์ชัน 1.106.2 ด้วย digest

Sophos เปิดโปง Bronze Sandcastle กลุ่มภัยคุกคามสายจีนที่ไม่เคยมีการบันทึกมาก่อน โจมตีองค์กรในเอเชียและแอฟริกาตั้งแต่กลางปี 2568 เหยื่อที่ยืนยันอยู่ในฟิลิปปินส์ ไต้หวัน อัฟกานิสถาน นามิเบีย และน่าจะรวมเกาหลีใต้ จุดเด่นคือวาง sbiedll.dll ปลอมให้ SandboxieWUAU.exe โหลด และใช้คู่ DLL sideloading อีก 7 แบบ เช่น LINE, Krita และ Sysinternals DLL ถอดรหัส config.ini แล้วรันแบ็กดอร์ในหน่วยความจำที่เก็บข้อมูลเครือข่าย คีย์ที่กด และภาพหน้าจอ Sophos แนะนำให้ตรวจจับจากพฤติกรรมแทนลายเซ็นไฟล์

บริษัท TeamUpdraft ผู้พัฒนา UpdraftPlus ปลั๊กอินแบ็กอัป WordPress ที่ติดตั้งกว่า 4 ล้านเว็บ ยืนยันว่าเว็บไซต์ teamupdraft.com ถูกเจาะช่วง 17–18 ตุลาคม 2569 ผู้โจมตีอาจได้ฐานข้อมูลลูกค้า รวมถึงคีย์เชื่อมต่อ UpdraftCentral, UpdraftVault และ UpdraftClone Patchstack พบผู้โจมตีใช้คีย์ UpdraftCentral ที่ถูกต้องสั่งติดตั้งปลั๊กอินแบ็กดอร์ต่อเนื่อง 18 ชั่วโมงในวันที่ 18–19 ตุลาคม แบ็กดอร์สร้างบัญชีสิทธิ์สูงที่ยังอยู่แม้ลบปลั๊กอินแล้ว เจ้าของเว็บควรอัปเดตและตรวจบัญชีกับปลั๊กอินแปลกปลอม

นักวิจัยเปิดเผยเมื่อ 20 ตุลาคม 2569 ว่าผู้โจมตียึด Tor exit node 333 ตัว หรือราว 10% ของ exit relay ทั้งเครือข่าย แล้วเริ่มดักการเชื่อมต่อ SSH พร้อมกันเมื่อ 2 ตุลาคม ทราฟฟิกพอร์ต 22 ถูกส่งไปเซิร์ฟเวอร์ดักกลาง 12 เครื่อง ผู้ใช้ที่ไม่สนใจคำเตือน host key เปลี่ยนจะเสียรหัสผ่าน และถูกพยายามฝังแบ็กดอร์ Ebury 1.8.3 บนเซิร์ฟเวอร์ปลายทาง ทีม Tor ติดธง BadExit ภายใน 4 ตุลาคม และเซิร์ฟเวอร์ที่ติดเชื้อถูกปิดในวันที่ 5 ตุลาคม ยังไม่ทราบช่องทางเจาะและผู้อยู่เบื้องหลัง

Rank Math PRO ปลั๊กอิน SEO แบบเสียเงินของ WordPress ที่ดาวน์โหลดหรืออัปเดตจาก rankmath.com ช่วง 20:02 UTC 15 ต.ค. ถึง 07:12 UTC 16 ต.ค. 2569 ถูกฝังมัลแวร์ เว็บที่ติดตั้งและเปิดใช้ต้องถือว่าถูกบุกรุก เพราะมัลแวร์สร้างแบ็กดอร์คืนได้ทุกครั้งที่มีผู้เข้าเว็บ เวอร์ชัน 3.0.124 ที่สะอาดไม่ลบไฟล์ บัญชีแอดมิน และงานตั้งเวลาที่มัลแวร์วางไว้ Wordfence ให้รหัส CVE-2026-111862 คะแนน 9.8 นับเป็นอย่างน้อยครั้งที่สามของปีที่ช่องทางอัปเดตของปลั๊กอินพรีเมียมถูกยึด

Google Threat Intelligence Group, Mandiant และ ManageEngine เปิดเผยว่ากลุ่ม UNC7017 แก้ไฟล์ที่ AOMEI Backupper ดึงจากเซิร์ฟเวอร์อัปเดตของผู้ผลิตเอง เป็นช่วงสั้น ๆ 5-10 นาทีระหว่างพฤษภาคมถึงกรกฎาคม 2569 เครื่องที่เช็กอัปเดตตรงช่วงนั้นจะดาวน์โหลดตัวโหลด CROSSROAD และแบ็กดอร์ SHINYROAD โดยไม่ต้องใช้ช่องโหว่ พบองค์กรเหยื่อใน 11 ประเทศ รวมสิงคโปร์ AOMEI แจ้งว่าแก้เซิร์ฟเวอร์แล้ว แต่เครื่องที่ติดไปแล้วยังไม่สะอาด

Dream พบกลุ่มจารกรรม DarkBlinders ใช้แอปประชุมปลอม StarkMeet และหน้าเว็บเมลรัฐบาลปลอม เล็งอิสราเอลและเขตปกครองเคอร์ดิสถานของอิรักระหว่าง ส.ค.-ต.ค. 2569 ยืนยันเหยื่อ 2 ราย คือคลาวด์รัฐบาลเคอร์ดิสถานที่ถูกดูดข้อมูลกว่า 1 GB และบุคคลสายความมั่นคงของอิสราเอล แบ็กดอร์ลงทะเบียนเครื่องและรับคำสั่งผ่าน repo บน GitHub และกู้โทเคนใหม่จากคอมเมนต์ใน issue ของ Microsoft/vscode ผู้โจมตีเลือกเปิดขั้นที่สองเฉพาะเป้าที่ต้องการ Dream เชื่อมโยงกับ UNC5795 และ Dust Specter ระดับปานกลางถึงสูง

ทีม FortiGuard Labs ของบริษัท Fortinet พบมัลแวร์ลินุกซ์ตัวใหม่ชื่อ ClingSTUN ที่ใช้ช่องโหว่ที่รู้จักแล้วอย่างน้อย 24 รายการเจาะเราเตอร์ กล้อง และอุปกรณ์ IoT จาก D-Link, Realtek, Ivanti, TP-Link และอื่น ๆ มัลแวร์ใช้เซิร์ฟเวอร์ STUN สาธารณะที่ถูกกฎหมายหาว่าเครื่องเหยื่อมองเห็นจากอินเทอร์เน็ตอย่างไร โดยไม่พบเซิร์ฟเวอร์ C2 แบบดั้งเดิม ตัวมัลแวร์ยังฝัง exploit อีก 7 รายการไว้แพร่ต่อไปยังอุปกรณ์อื่น เครื่องที่ติดเชื้อถูกใช้เป็นทางผ่านทราฟฟิกอันตราย ทำให้ IP องค์กรเสี่ยงถูกขึ้นบัญชีดำ