Backdoor

บริษัท Sansec เปิดเผยช่องโหว่ zero-day ชื่อ StyleSmuggler ใน Magento Open Source และ Adobe Commerce ที่ยังไม่มีแพตช์และถูกใช้โจมตีจริงตั้งแต่วันที่ 4 กันยายน 2569 ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ร้านค้าได้โดยไม่ต้องล็อกอิน แล้วฝังแบ็กดอร์ที่ปลอมชื่อเป็นเธรดของเคอร์เนลลินุกซ์ Adobe ยังไม่ออกประกาศเตือน ไม่มีเลข CVE และไม่มีวิธีแก้อย่างเป็นทางการ คำแนะนำชั่วคราวคือปิด GraphQL ไว้ก่อน

บริษัท Rapid7 เปิดเผยชุดเครื่องมือ Linux ที่ไม่เคยมีการบันทึกมาก่อน ซึ่งถูกคอมไพล์ฝังลงในโหลดบาลานเซอร์ HAProxy ขององค์กรเกาหลีใต้สองแห่งโดยตรง ตัวแบ็กดอร์ชื่อ ted ดักการรับส่งข้อมูลเว็บและส่งหน้าเว็บที่ถูกแก้ไขให้เฉพาะผู้เข้าชมที่ผ่านเงื่อนไขที่กำหนดไว้ คำสั่งควบคุมถูกลบออกจากตัวนับการเชื่อมต่อของ HAProxy เอง ทำให้ทั้งบันทึกฝั่งแบ็กเอนด์และสถิติของโหลดบาลานเซอร์ไม่บันทึกอะไรไว้เลย Rapid7 ระบุว่าต้องมีหลักฐานเพิ่มเติมจึงจะประเมินตัวผู้ก่อเหตุได้ชัดกว่านี้

บริษัท Virtualizor เปิดเผยว่าผู้โจมตีไฮแจ็กเส้นทาง BGP เบี่ยงทราฟฟิกอัปเดตของ Softaculous ไปยังเซิร์ฟเวอร์ของตนระหว่างวันที่ 28-30 สิงหาคม 2569 แล้วส่งแพ็กเกจที่ถูกดัดแปลงไปยังการติดตั้งบางส่วน โค้ดที่ฝังมาเพิ่มกุญแจ SSH ในบัญชี root แล้วรันเพย์โหลด Java พร้อมสร้างเซอร์วิส systemd และบัญชีแปลกปลอมไว้ฝังตัว ผู้ให้บริการรายหนึ่งรายงานว่าโหนดไฮเปอร์ไวเซอร์ 5 จาก 34 เครื่องถูกแก้ไข บริษัทออก Patch 9 พร้อมเครื่องมือสแกน แต่ยังไม่ระบุช่วงเวอร์ชันที่ได้รับผลกระทบและยังไม่บังคับลงลายมือชื่อแพ็กเกจ

บริษัท Kaspersky เปิดเผยว่ากลุ่ม Silver Fox แจกจ่ายแบ็กดอร์ ValleyRAT โดยปลอมเป็นแอดแวร์จีนที่เซ็นรับรองดิจิทัลชื่อ QN Wallpaper แล้วรันมัลแวร์ภายใต้โปรเซสที่น่าเชื่อถือเพื่อเลี่ยงผู้ใช้ที่มักเพิ่มซอฟต์แวร์ประเภทนี้ลงในข้อยกเว้นแอนตี้ไวรัส เทคนิคหลักคือ DLL sideloading ผ่านไฟล์ที่เซ็นถูกต้อง มัลแวร์ปิด Windows Defender ตั้ง autorun และยกระดับสิทธิ์เอง เมื่อฝังตัวแล้ว ValleyRAT (หรือ Winos 4.0) มอบสิทธิ์ควบคุมเครื่องเหยื่อทั้งหมดให้ผู้โจมตี

บริษัท Microsoft เปิดเผย TerminalFix ซึ่งเป็นสายพันธุ์ใหม่ของเทคนิค ClickFix ที่หลอกเหยื่อให้รันคำสั่ง PowerShell ผ่าน Windows Terminal แทนกล่อง Run เพื่อให้สคริปต์หลายบรรทัดทำงานได้ครบ จุดเริ่มต้นคือ CAPTCHA ปลอมเลียนแบบ Cloudflare บนเว็บไซต์ที่ถูกเจาะ ห่วงโซ่การโจมตีใช้ DLL sideloading ซ่อนเพย์โหลดในภาพ PNG และสำรวจ Active Directory ปลายทางคืออิมแพลนต์ reverse-tunnel ที่เปิดทางเข้าถึงเครือข่ายภายในอย่างถาวร

บริษัท Recorded Future เปิดเผยแคมเปญจารกรรมที่เล็งหน่วยงานรัฐและการทูตในโรมาเนีย สเปน และตุรกี ระหว่างปลายกันยายน 2568 ถึงต้นเมษายน 2569 ปล่อยแบ็กดอร์ตัวใหม่ชื่อ HOOKEDGE ผ่านเอกสาร Word ที่ฝังมาโคร นักวิจัยเชื่อมโยงกับกลุ่ม APT28 ของรัสเซียด้วยความมั่นใจระดับปานกลาง จากโค้ดและวิธีการที่ทับซ้อนกับแบ็กดอร์ HEADLACE ตัวเดิม จุดเด่นคือใช้บริการ webhook สาธารณะแทนการตั้งเซิร์ฟเวอร์ของตัวเอง และเรียก Microsoft Edge โหมดไร้หน้าจอเป็นตัวรับส่งข้อมูล

นาย Jacob Baines จาก VulnCheck เปิดเผยว่าเราเตอร์ของบริษัทจีน ZBT ที่ขายแบบไวท์เลเบลทั่วโลกมีแบ็กดอร์เพิ่มอีก 2 ตัวชื่อ SpeakingStone และ DarkLantern ซึ่งเป็นรุ่นก่อนหน้าของ EndlessDoors และถูกฝังในเฟิร์มแวร์มาตั้งแต่ราวปี 2562 DarkLantern เปิดพอร์ต UDP รอรับการเชื่อมต่อเข้ามา ส่วน SpeakingStone ส่งพิกัด GPS ออกไปและรับคำสั่งรวมถึงการปลอมแปลง DNS ได้ VulnCheck พบ DarkLantern ที่เปิดสู่อินเทอร์เน็ต 203 เครื่องใน 3 วัน และดักการเชื่อมต่อของ SpeakingStone ได้ 392 ครั้ง

บริษัท Group-IB เผยผลวิเคราะห์ใหม่ของกลุ่ม Nimbus Manticore ที่เชื่อมโยงกับกองกำลังพิทักษ์การปฏิวัติอิสลามของอิหร่าน พบโครงสร้างพื้นฐานของ Tortoiseshell กระจายทั้งยุโรปและตะวันออกกลาง พร้อมมัลแวร์ที่ยังไม่เคยมีการบันทึกไว้สองตัว ทั้งเครื่องมือทำ reverse SSH tunnel และแบ็กดอร์ภาษา C++ ที่ทับซ้อนกับ TWOSTROKE ทั้งคู่ปลอมตัวเป็นไฟล์ของ Windows Terminal Server SDK เพื่อกลมกลืนกับระบบ

นักวิจัยจาก Securelist พบว่ากลุ่ม HoneyMyte อัปเกรดแบ็กดอร์ CoolClient ด้วยไดรเวอร์รูตคิตระดับเคอร์เนลบนวินโดวส์ที่ซ่อนโปรเซส ไฟล์ คีย์รีจิสทรี และการเชื่อมต่อ C2 ได้พร้อมกัน เป้าหมายคือองค์กรในปากีสถาน มองโกเลีย เมียนมา และรัสเซีย รวมถึงหน่วยงานรัฐ ห่วงโซ่การติดเชื้อเริ่มจาก PlugX แล้วต่อด้วยการ sideload ไฟล์ DLL ผ่านโปรแกรมจริงของ Sangfor ที่เปลี่ยนชื่อเป็น defender.exe ไดรเวอร์มีลายเซ็นของบริษัทจีนที่หมดอายุไปหลายปีแล้ว ซึ่งไม่ใช่หลักฐานความปลอดภัยแต่อย่างใด

นักวิจัยพบแพ็กเกจ npm ที่ถูกฝังโทรจัน 14 รายการ ปลอมตัวเป็นเครื่องมือคำนวณปฏิทินและสถิติต่อเนื่องที่ใช้งานได้จริง แต่แอบวางไบนารีที่อ้างว่าเป็นตัวเร่งการคำนวณ ซึ่งแท้จริงคือบีคอน RedShell ของเฟรมเวิร์ก RedC2 4.0 การรันเกิดขึ้นทันทีที่โมดูลถูก import โดยไม่ต้องอาศัย install hook และแม้จะเป็น dependency ทางอ้อมก็ทำงานได้ RedC2 ขายบนเว็บบอร์ดอาชญากรรมไซเบอร์ในราคา 99.99 ดอลลาร์ และมาพร้อมผู้ช่วย AI ที่แปลงคำสั่งภาษาคนเป็นคำสั่งบีคอน