Backdoor

บริษัท Rapid7 พบแบ็กดอร์ลินุกซ์ที่เจาะอุปกรณ์โทรคมนาคมและเครือข่ายในเกาหลีใต้และไต้หวัน โดยปลอมตัวเป็นซอฟต์แวร์ความปลอดภัยอีเมลที่ใช้แพร่หลายในสองประเทศ BPFDoor รุ่นใหม่และ Rekoobe ที่เล็งเกาหลีใต้ปลอมชื่อไฟล์และโปรเซสของ SpamSniper ส่วนไต้หวันพบ AVERAT มัลแวร์ตัวใหม่ซ่อนในไดเรกทอรีของ ShareTech และสั่งงานผ่าน SMTP พอร์ต 25 BPFDoor รุ่นใหม่ห่อ magic packet ใน HTTPS POST เพื่อหลบการตรวจแบบ DPI Rapid7 แนะนำให้ตรวจ BPF filter ที่ไม่จำเป็นและการเชื่อมต่อพอร์ต 25 จากโปรเซสที่ไม่ใช่บริการอีเมล

นักวิจัยบริษัท Sucuri เปิดโปงแบ็กดอร์ WordPress ชื่อ SC ที่ออกแบบเป็น ‘โครงข่ายซ่อมแซมตัวเอง’ ฝังเพย์โหลดไว้อย่างน้อย 8 จุดพร้อมกันทั้งในไฟล์ ฐานข้อมูล และหน่วยความจำร่วม โดยแต่ละจุดสามารถสร้างจุดอื่นขึ้นใหม่ได้ ลบปลั๊กอินก็ถูก drop-in เขียนกลับ ล้างไฟล์ทั้งดิสก์ก็ถูกกู้จากฐานข้อมูลในการโหลดหน้าถัดไป มัลแวร์สั่งงานผ่านบล็อกเชน Ethereum สร้างบัญชีแอดมินซ่อน และฉีดสคริปต์ใส่ผู้เข้าชม พร้อมกันนี้ช่องโหว่ SQL injection ใน wpForo (CVE-2026-1581) ก็ถูกใช้โจมตีจริงแล้ว

SentinelOne เผยกลุ่มเกาหลีเหนือ Jade Sleet เจาะผู้ให้บริการไอทีขนาดเล็กในอินเดียผ่านเครื่อง MacBook ของวิศวกร DevOps ปล่อยแบ็กดอร์ macOS สองตัวคือ FLATROOF และ ROOFDECK ที่เคยพบในการโจมตี KelpDAO บน LayerZero กลุ่มนี้ใช้อุบายหลอกสัมภาษณ์งานและไฟล์ Terraform ที่ฝังโดเมนอันตราย มุ่งเป้านักพัฒนาในสาย DevOps คริปโต และฟินเทค ตอกย้ำว่าจุดอ่อนได้ย้ายมาอยู่ที่เครื่องของนักพัฒนาและซัพพลายเชนซอฟต์แวร์

นักวิจัย Securonix เปิดโปงแคมเปญใหม่ชื่อ TASK#STOMP ที่ปล่อยแบ็กดอร์ PowerShell เพื่อขโมยเอกสารธุรกิจ รหัส Wi-Fi และข้อมูลคลิปบอร์ดจากเครื่องเหยื่อ การติดเชื้อเริ่มจากไฟล์ VBScript บนเดสก์ท็อปที่สร้าง scheduled task ปลอมเป็นบริการระบบ แล้วรันโมดูล PowerShell สองตัวที่คอยเฝ้าไฟล์ จับภาพหน้าจอ และรับคำสั่งจากเซิร์ฟเวอร์ C2 สองแห่งแบบสำรอง มัลแวร์อาศัยเครื่องมือ Windows ในตัวเพื่อกลมกลืนกับกิจกรรมปกติและหลบการตรวจจับ

บริษัท Zscaler ThreatLabz เปิดโปงปฏิบัติการใหม่ของกลุ่ม APT36 (Transparent Tribe) กลุ่มภัยคุกคามฝั่งปากีสถาน ในชื่อ Operation RapidRust ที่พุ่งเป้าหน่วยงานรัฐและกลาโหมในอินเดียและอัฟกานิสถาน โดยใช้มัลแวร์ใหม่สี่ตระกูล ได้แก่ RUSTYSHADE, RUSTYMOVE, PSNATCH และ BASHNATCH จุดเด่นคือแบ็กดอร์ RUSTYSHADE ที่เขียนด้วย Rust และใช้ private GitHub repository เป็นช่องทางสั่งการ (C2) ผ่าน GitHub REST API พร้อมจดโดเมนเลียนแบบสำนักข่าวอินเดียเพื่อโฮสต์สคริปต์อันตราย

ESET พบกลุ่มจารกรรมโยงจีน FamousSparrow ใช้แบ็กดอร์ตัวใหม่ชื่อ SparroWocky โจมตีหลายประเทศในลาตินอเมริกาตั้งแต่สิงหาคม 2568 แบ็กดอร์เขียนด้วย C++ แบบโมดูลาร์ แทนที่ SparrowDoor เดิม รันไฟล์ ทำ TCP proxy จับภาพหน้าจอ และดูดไฟล์ได้ มีลูกเล่นต้านการวิเคราะห์ระดับสูงและผสานโค้ดโอเพนซอร์สอย่าง Mbed TLS, MinHook และ COFF Loader เข้ากับตัวมัลแวร์ 90% ของเป้าหมายอยู่ในลาตินอเมริกา ทั้งหน่วยงานรัฐในอาร์เจนตินา เอกวาดอร์ ปานามา เปรู และเวเนซุเอลา

บริษัท Hunt.io เปิดเผยว่าพบผู้โจมตีฝังตัวในเครือข่ายของ 3BB ผู้ให้บริการบรอดแบนด์รายใหญ่ของไทย โดยใช้เครื่องมือจัดการระยะไกล MeshCentral เป็นแบ็กดอร์ลับคุมเครื่องภายในด้วยสิทธิ์ root นักวิจัยพบเบาะแสจากเซิร์ฟเวอร์ผู้โจมตีที่เปิดทิ้งบนอินเทอร์เน็ตเมื่อ 3 มิถุนายน 2569 ซึ่งเก็บชุดเครื่องมือและรายชื่อเครื่องที่ถูกยึด สคริปต์บนเซิร์ฟเวอร์ถูกสร้างมาเพื่อคัดลอกฐานข้อมูล RADIUS ที่เก็บรหัสผ่านลูกค้า และมีชุดโจมตี FortiGate SSL-VPN ผ่าน CVE-2024-21762 ครบชุด แต่ยังไม่มีหลักฐานยืนยันว่าข้อมูลถูกขโมยจริง

บริษัท Wiz เปิดเผยการโจมตีจริงช่วง 15 สิงหาคม–8 กันยายน 2569 ที่ต่อช่องโหว่สองตัวใน JFrog Artifactory ยึดสิทธิ์แอดมินบนเซิร์ฟเวอร์ที่ติดตั้งเอง CVE-2026-42018 ปล่อยโทเคนผู้ใช้นิรนามให้ผู้ที่ยังไม่ล็อกอิน แล้ว CVE-2026-42016 ใช้แลกเป็นโทเคนสิทธิ์แอดมิน ผู้โจมตีสร้างบัญชีแอดมิน ฝังปลั๊กอิน Groovy และวางแบ็กดอร์ Rust ส่วน CVE-2026-82329 ถูกใช้แยกและกระทบเวอร์ชันใหม่กว่า

Adobe ออกแพตช์ฉุกเฉินปิดช่องโหว่ CVE-2026-75650 คะแนน CVSS 10.0 ใน Adobe Commerce และ Magento Open Source ที่ถูกใช้โจมตีจริงมาตั้งแต่วันที่ 4 กันยายน 2569 ช่องโหว่ที่ชื่อ StyleSmuggler ฉวยระบบเทมเพลตของ Magento inject โค้ด PHP ผ่านอีเมลแจ้งเตือนการชำระเงินล้มเหลวจนรันโค้ดได้โดยไม่ต้องล็อกอิน ผู้โจมตีใช้ช่องนี้ฝังแบ็กดอร์ที่เขียนด้วย Rust และเว็บเชลล์ PHP CISA เพิ่มช่องโหว่เข้าแคตตาล็อก KEV พร้อมกำหนดเส้นตายให้หน่วยงานกลางสหรัฐแก้ไข

นักวิจัยจาก SOCRadar เปิดเผยชุดเครื่องมือหลังเจาะระบบชื่อ PEEP ที่ปลอมตัวเป็นส่วนขยายจัดการบุ๊กมาร์กชื่อ Smart Bookmarks ตัวติดตั้งฝังส่วนขยายลงโปรไฟล์ Chrome และ Edge โดยตรง พร้อมปลอมค่าตรวจสอบความถูกต้องในไฟล์ Secure Preferences เพื่อข้ามการตรวจของ Web Store ตัวส่วนขยายเรียกไฟล์ native messaging host เพื่อขยายอำนาจจากในเบราว์เซอร์ไปสั่งคำสั่งระดับระบบปฏิบัติการ PEEP ต้องอาศัยการเจาะเครื่องมาก่อนแล้วจึงติดตั้ง และยังไม่มีการระบุตัวผู้อยู่เบื้องหลัง