Backdoor

บริษัท ANY.RUN เปิดเผยแคมเปญ PhantomEnigma ที่ยึดเว็บไซต์รัฐบาลบราซิลกว่า 20 แห่ง (.gov.br) ทำเป็นช่องทางส่งมัลแวร์ เริ่มจากอีเมลปลอมเป็นเอกสารตำรวจที่ผ่าน SPF/DKIM/DMARC แล้วเปลี่ยนเส้นทางผ่านโฮสต์รัฐที่ถูกเจาะไปยังตัวติดตั้ง มัลแวร์เป็นแบ็กดอร์ index.js แบบโมดูลฝังในแอป Electron ที่ถูกแก้ไข สั่งรัน JavaScript และดึงเพย์โหลดเพิ่มได้ เสี่ยงต่อธนาคารและหน่วยงานรัฐ

บริษัท Upwind เปิดเผยผลสอบสวนแคมเปญโจมตีห่วงโซ่อุปทานซอฟต์แวร์ที่เจาะแพ็กเกจ npm อย่างเป็นทางการของ AsyncAPI หลายตัว ผู้โจมตีเจาะ GitHub repository อย่างน้อย 3 แห่ง และใช้ตัวตน OIDC หลายชุดในการเผยแพร่แพ็กเกจ โค้ดอันตรายถูกฝังให้ทำงานตอน import ปกติแทน preinstall/postinstall ทำให้ตรวจจับยากขึ้น ทั้งเครื่องนักพัฒนาและระบบ CI/CD ที่ดึงแพ็กเกจไปใช้เสี่ยงถูกฝังโค้ด บริษัทแนะให้ตรวจสอบเวอร์ชัน หมุนเปลี่ยน credential และเฝ้าระวังพฤติกรรมตอนรัน

บริษัท Jscrambler เปิดเผยว่าผู้โจมตีเผยแพร่แพ็กเกจ npm เวอร์ชันอันตรายของบริษัท ครอบคลุมรุ่น 8.14, 8.16, 8.17 และ 8.20 โดยฝังมัลแวร์ขโมยข้อมูล (Infostealer) ที่ทำงานตอน preinstall hook แพ็กเกจนี้เปิดอยู่ราว 2 ชั่วโมงและถูกดาวน์โหลด 1,479 ครั้ง มัลแวร์ล้วงซอร์สโค้ด ข้อมูลรับรองนักพัฒนา คีย์คลาวด์ ค่าคอนฟิกเครื่องมือ AI และกระเป๋าคริปโต ต้นเหตุมาจากข้อมูลรับรองการเผยแพร่ npm ที่ถูกขโมย

นักวิจัยจาก Doctor Web เปิดเผยแบ็กดอร์ตัวใหม่ชื่อ Siggen (BackDoor.Siggen2.5906) ที่เจาะจงเป้าหมายไปที่นักพัฒนาซอฟต์แวร์ โดยแก้ไขโปรเจกต์ C++ และ C# เพื่อแพร่โค้ดอันตรายผ่านซอร์สโค้ดและแอปที่คอมไพล์แล้ว มัลแวร์ขโมยรหัสผ่าน คุกกี้เบราว์เซอร์ โทเคน Discord/Telegram และข้อมูลกระเป๋าคริปโต พร้อมติดตั้งโปรแกรมขุดเหรียญและเปิดรีโมตให้แฮ็กเกอร์ ซ่อนที่อยู่ C2 ไว้ในโปรไฟล์ Steam และไฟล์ GitHub สาธารณะ

นักวิจัยจากบริษัท LevelBlue เปิดโปงแคมเปญที่ใช้ไฟล์ช็อตคัต (LNK) อันตรายบน Windows เปลี่ยนการดาวน์โหลดธรรมดาให้กลายเป็นช่องทางรันโค้ดระยะไกล เริ่มจากอีเมลสแปมธีมจองที่พักหลอกให้เปิด ZIP ที่ซ่อน LNK ปลอมเป็นรูปภาพ เมื่อคลิกจะรัน PowerShell ที่ติดตั้ง Node.js ของแท้มาใช้เป็นสภาพแวดล้อมรันแบ็กดอร์แบบ fileless ผู้โจมตีดึงที่อยู่เซิร์ฟเวอร์ควบคุมผ่าน smart contract บนบล็อกเชน TON ด้วยเทคนิค EtherHiding เพื่อเลี่ยงการบล็อก นักวิจัยพบตัวอย่างใหม่ทุกวันและเชื่อมโยงกว่า 400 ตัวอย่างเข้ากับเครื่องเดียวกัน

บริษัท Microsoft แกะมัลแวร์ทำลายล้างบน Windows ชื่อ GigaWiper ที่รวมเครื่องมือทำลายเก่า 3 ตัวไว้เป็นแพลตฟอร์มเดียวให้ผู้โจมตีเลือกสั่งได้ ทั้งล้างดิสก์ทั้งลูก เขียนทับไดรฟ์ Windows และแรนซัมแวร์ปลอมที่ไม่เคยเก็บกุญแจ นอกจากนี้ยังแอบดูจอ อัดหน้าจอ และเปิด VNC ซ่อน โดยปลอมตัวเป็น OneDrive และส่งข้อมูลผ่าน RabbitMQ/Redis/MinIO ไฟล์ชุดเดียวกันถูก Binary Defense เรียกว่า BLUERABBIT และโยงกับกลุ่มอิหร่าน CyberAv3ngers ที่เชื่อมโยงกับ IRGC

กลุ่มแฮ็กเกอร์ APT-C-20 หรือที่รู้จักในชื่อ APT28 (Fancy Bear) ซ่อนเชลล์โค้ดไว้ในไฟล์ภาพ PNG เพื่อปล่อยแบ็กดอร์ที่เขียนด้วยภาษา C# แบบไร้ไฟล์ (fileless) โดยเริ่มจากเอกสาร Word ที่ฝังมาโคร ปลอมเป็นไฟล์ด้านกลาโหมของรัฐบาลยุโรปตะวันออก อาศัยเทคนิค COM hijacking และ steganography ซ่อนโค้ด ทำให้แอนติไวรัสตรวจจับได้ยาก และสื่อสารกับผู้โจมตีผ่านบริการคลาวด์ Filen.io

ศูนย์ CERT/CC เตือนพบแบ็กดอร์ยืนยันตัวตนที่ไม่มีการบันทึกในเฟิร์มแวร์เราเตอร์ของบริษัท Tenda ผู้ผลิตอุปกรณ์เครือข่ายจีน ช่องโหว่ CVE-2026-11405 เปิดให้ผู้โจมตีข้ามการตรวจรหัสผ่านและยึดหน้าจัดการเว็บระดับผู้ดูแลได้เต็มรูปแบบโดยไม่ต้องมีบัญชีที่ถูกต้อง ฟังก์ชัน login() ใน /bin/httpd จะดึงรหัสผ่านสำรอง sys.rzadmin.password มาเทียบแบบข้อความล้วน กระทบเฟิร์มแวร์หลายรุ่นทั้ง AC10, AC5, AC6, W15E และ FH1201 และยังไม่มีแพตช์

นักวิจัยจาก Seqrite เปิดเผยแคมเปญฟิชชิงที่เปลี่ยนเครื่องมือรีโมตยอดนิยม AnyDesk ให้กลายเป็นแบ็กดอร์จารกรรมระยะยาว โจมตีองค์กรอุตสาหกรรมการบินและอวกาศในรัสเซีย ผู้โจมตีใช้อีเมลปลอมเป็นใบแจ้งหนี้แนบไฟล์ ZIP ใส่รหัสผ่านเลี่ยงการสแกน เมื่อเปิดจะติดตั้ง AnyDesk แบบไร้การควบคุมพร้อมรหัสผ่านที่ตั้งไว้ล่วงหน้า สร้าง scheduled task ปลอมเป็นงานอัปเดตเพื่อฝังตัว แล้วลบไฟล์และล็อกทั้งหมดเพื่อกลบร่องรอย พฤติกรรมเข้ากับกลุ่ม Rare Werewolf หรือ Librarian Ghouls

มีรายงานว่า Alibaba เตรียมแบน Claude Code ของ Anthropic ในสภาพแวดล้อมทำงานภายในตั้งแต่ 10 กรกฎาคม 2569 อ้างความเสี่ยงแบ็กดอร์ที่ฝังอยู่ ต้นเรื่องมาจากโพสต์ Reddit ที่อ้างว่า reverse-engineer พบ Claude Code ตั้งแต่เวอร์ชัน 2.1.91 แอบเช็ก proxy และไทม์โซนเทียบกับรายชื่อองค์กรจีน ทีม Claude Code ระบุว่ากลไกนี้ป้องกันการ distillation และการใช้งานมิชอบ และจะถูกถอดออกในเวอร์ชันถัดไป ท่ามกลางความตึงเครียดที่เพิ่มขึ้นระหว่างสองบริษัท