Backdoor

นักวิจัยจากบริษัท Checkmarx เปิดโปงแคมเปญ Operation Navy Ghost ที่พุ่งเป้านักพัฒนา Python ซึ่งสร้างบอต Telegram โดยปล่อยแพ็กเกจ Pyrogram ปลอมอย่างน้อย 8 ตัวบน PyPI ตั้งแต่พฤศจิกายน 2025 ถึงมิถุนายน 2026 แพ็กเกจฝังไฟล์แบ็กดอร์ชื่อ secret.py ที่เปิดให้ผู้โจมตีรันโค้ด Python หรือคำสั่งเชลล์บนเซิร์ฟเวอร์เหยื่อ อ่านไฟล์ใด ๆ ดึงข้อมูลลับ ฐานข้อมูล และแชท Telegram แบ็กดอร์ทำงานเฉพาะบนบัญชีบอตที่มักรันในระบบ production นักพัฒนาที่ติดตั้งควรลบและหมุนเวียนข้อมูลรับรองทันที

กลุ่มภัยคุกคามที่เชื่อมโยงกับรัสเซีย Turla ขยายคลังเครื่องมือจารกรรมด้วยแบ็กดอร์ตัวใหม่ชื่อ STOCKSTAY โจมตีหน่วยงานรัฐและทหารในยูเครนตั้งแต่ปลายปี 2022 มัลแวร์เขียนด้วย .NET สื่อสารผ่าน WebSocket ที่เข้ารหัส ทำให้ตรวจจับยากในทราฟฟิกปกติ Turla ใช้โครงสร้างพื้นฐานของยูเครนที่ถูกยึด เช่น เว็บหน่วยงานรัฐและเซิร์ฟเวอร์บริษัทไอที เพื่อ stage และส่งเพย์โหลด นักวิจัย Google ระบุว่ามันมีความเชื่อมโยงกับชุดเครื่องมือ KAZUAR ของกลุ่มเดียวกัน

Palo Alto Networks Unit 42 เผยกลุ่ม APT พูดภาษาจีน CL-STA-1062 ใช้แบ็กดอร์ใหม่ TinyRCT โจมตีหน่วยงานรัฐและโครงสร้างพื้นฐานสำคัญในเอเชียตะวันออกเฉียงใต้ เน้นรัฐวิสาหกิจด้านพลังงานและภาครัฐ พบเจาะอย่างน้อย 10 องค์กรในภูมิภาคช่วงปลายปี 2025 ขโมยซอร์สโค้ดเว็บเซิร์ฟเวอร์ทั้งไดเรกทอรี TinyRCT รันคำสั่ง ขโมยไฟล์ จับภาพหน้าจอ และลบตัวเองได้

Zscaler เปิดเผยส่วนขยาย Microsoft Edge อันตรายชื่อ Edgecution ที่ถูกใช้ในการโจมตี ransomware เพื่อหลุดออกจาก sandbox ของเบราว์เซอร์และวาง backdoor ที่เขียนด้วย Python มัลแวร์อาศัยโปรโตคอล Chrome Native Messaging เป็นสะพานเชื่อมส่วนขยายกับแอปบนเครื่อง การโจมตีเริ่มจากผู้โจมตีปลอมเป็นทีม IT บน Microsoft Teams เชื่อว่าเป็นฝีมือ initial access broker ที่เชื่อมโยงกับกลุ่ม Payouts Kings

Microsoft DART เปิดเผยการโจมตีเซิร์ฟเวอร์ SharePoint on-premises ที่ไม่แพตช์ โดยกลุ่ม Storm-2603 ใช้ช่องโหว่ CVE-2025-49706 และ CVE-2025-49704 เจาะเข้าระบบตั้งแต่กลางปี 2025 ติดตั้ง ransomware พร้อม backdoor และใช้เทคนิค BYOVD ปิดระบบป้องกัน ที่ซับซ้อนคือพบกลุ่มที่สองทำงานคู่ขนานในเครือข่ายเดียวกันพร้อมขโมยไฟล์ NTDS.dit องค์กรที่ใช้ SharePoint รุ่นเก่าเสี่ยงสูง

กลุ่ม DragonForce ransomware ใช้มัลแวร์ชื่อ Backdoor.Turn ซ่อนการสื่อสาร C2 ในโครงสร้าง TURN relay ของ Microsoft Teams เป็นครั้งแรกที่พบในโลกจริง ทำให้ defender เห็นเป็นทราฟฟิก Teams ปกติ พร้อมใช้เทคนิค BYOVD ผ่าน driver หลายตัวเพื่อปิดเครื่องมือรักษาความปลอดภัย

ESET เปิดเผยมัลแวร์ SprySOCKS เวอร์ชัน Windows สองรุ่นที่กลุ่ม Earth Lusca (FishMonger) จากจีนใช้โจมตีหน่วยงานรัฐใน 4 ประเทศ รวมถึงไทย ระหว่างปี 2023-2024 โดยรุ่น WIN_DRV มี kernel driver ซ่อนตัวระดับ rootkit

บริษัท Sygnia เปิดปฏิบัติการ Operation Highland พบกลุ่ม Velvet Ant ที่เชื่อมโยงจีนแก้ไขโมดูล PAM และ OpenSSH บนเซิร์ฟเวอร์ Linux เพื่อขโมย credential และเปิดช่องทางเข้าถึงลับตั้งแต่ปี 2016. ผู้โจมตีสร้าง backdoor ถึง 9 เวอร์ชัน ซ่อนในระบบล็อกอินที่ผู้ดูแลไม่เคยตรวจสอบ. ก่อนหน้านี้กลุ่มเดียวกันเคยฝังตัวในอุปกรณ์ F5 BIG-IP และ Cisco NX-OS. เทคนิคนี้ทำให้การรีเซ็ตรหัสผ่านไม่ช่วยอะไร เพราะตัวตรวจสอบ credential ถูกควบคุมโดยผู้โจมตี.

นักวิจัยจาก Socket และ Aikido เปิดเผยการโจมตี supply chain ต่อระบบนิเวศ Laravel-Lang ที่ฝัง backdoor สำหรับขโมย credential ลงใน 233 เวอร์ชันของแพ็กเกจผ่าน GitHub repository 700 แห่ง ผู้โจมตีใช้เทคนิคปลอม Git tag ชี้ไปยัง fork ที่มีมัลแวร์ ทำให้นักพัฒนาที่ติดตั้งผ่าน Composer ได้รับ payload ที่ขโมย AWS keys, SSH keys, database credentials และอื่นๆ

SentinelLABS ค้นพบมัลแวร์ Reaper ซึ่งเป็นสายพันธุ์ใหม่ของ SHub Infostealer ที่สามารถหลบเลี่ยงการอัปเดตความปลอดภัยของ macOS Tahoe 26.4 ได้ มัลแวร์แพร่กระจายผ่านเว็บไซต์ดาวน์โหลดปลอมของ WeChat และ Miro โดยใช้โดเมน Typosquatting ของ Microsoft ขโมยรหัสผ่าน ข้อมูลเบราว์เซอร์ และคริปโตวอลเล็ต พร้อมฝัง Backdoor ถาวร