Byovd

SOCRadar พบเซิร์ฟเวอร์ 7 เครื่องของพันธมิตรแรนซัมแวร์ INC และ The Gentlemen ที่เปิดเข้าถึงได้สาธารณะ ภายในมีบทสนทนากับ AI 8,257 ข้อความใน 133 เซสชัน ซอร์สโค้ด ข้อมูลรับรองที่ขโมยมา และตัวเข้ารหัส INC ที่ปรับแต่งเฉพาะเหยื่อ 46 ตัว ผู้โจมตีใช้ OpenCode กับโมเดลผ่าน OpenRouter วางแผนสอดแนม สร้างคำสั่ง และร่างข้อความขู่กรรโชก โดยมนุษย์ยังอนุมัติทุกขั้น บันทึกระบุการเจาะ FortiClient EMS, SimpleHelp และ cPanel พบองค์กรเกี่ยวข้อง 62 แห่ง

Morphisec พบแคมเปญส่งไฟล์ ZIP ผ่าน WhatsApp ปลอมเป็นเอกสารการเงินและภาษี ซึ่งติดตั้งมัลแวร์ VulcanRAT207.A จนได้สิทธิ์ SYSTEM บน Windows มัลแวร์ใช้เทคนิค PoolParty Variant 7 inject โค้ดเข้า process ของ Task Scheduler แล้วโหลด RAT ผ่าน DLL sideloading กับโปรแกรม VulkanInfo ที่มีลายเซ็นถูกต้อง ไดรเวอร์ GoFly64.sys ที่มีลายเซ็นถูกใช้ปิดโปรแกรมความปลอดภัยของ Baidu และ RAT คงอยู่ผ่าน scheduled task ชื่อ USOPrivate Kit ผู้ควบคุมบันทึกคีย์ จับภาพหน้าจอ และสร้างบัญชีแอดมินได้

บริษัท Huntress พบผู้โจมตีใช้ช่องโหว่ 2 รายการในซอฟต์แวร์สำรองข้อมูล AhsayCBS ร่วมกัน คือ CVE-2026-105133 ข้ามการยืนยันตัวตน และ CVE-2026-105134 command injection (CVSS 9.3) เพื่อรันคำสั่งระยะไกล การโจมตีเริ่ม 7 ต.ค. และกระทบแล้ว 5 องค์กร ผู้โจมตีฝังเว็บเชลล์และตัวขุด XMRig ที่ปลอมชื่อเป็น edge.exe แม้ NVD ระบุว่าแก้แล้วในเวอร์ชัน 10.3.4 แต่ Huntress ยืนยันว่าเวอร์ชันนี้ยังโดน ช่องโหว่ทั้งคู่จึงเป็นซีโรเดย์ที่ยังไม่มีแพตช์

CERT-UA พบเว็บไซต์กว่า 100 แห่งถูกฝังจาวาสคริปต์แสดงหน้ายืนยัน Cloudflare ปลอม หลอกให้รันคำสั่งติดตั้ง MSI ที่ปล่อย LunexStealer หรือ Psychedelic Stealer กิจกรรมนี้ถูกโยงกับกลุ่ม UAC-0277 สคริปต์ดึงโดเมนและโหมดทำงานจากสัญญาอัจฉริยะบน Polygon หรือ Ethereum ตัวติดตั้งมี 3 แบบ รวมถึงแบบใช้ไดรเวอร์ AMD ที่มีช่องโหว่ปิดตาซอฟต์แวร์ความปลอดภัย มัลแวร์ยังฝังส่วนขยาย LUNARAXE ที่ขโมยคุกกี้ ลอก CSP และให้ผู้โจมตีคุมเบราว์เซอร์ได้

บริษัท Symantec เปิดเผยว่ากลุ่มแรนซัมแวร์สัญชาติจีน Warlock (Longlegs/Storm-2603) หันมาโจมตีองค์กรในประเทศที่ใช้ภาษาสเปนและโปรตุเกส โดยสองเดือนที่ผ่านมาเจาะเหยื่ออย่างน้อย 4 รายทั้งการประปา โทรคมนาคม หน่วยงานรัฐส่วนภูมิภาค และมหาวิทยาลัย กลุ่มนี้ใช้ช่องโหว่ SharePoint ชุด ToolShell เป็นทางเข้า แล้วปลูก webshell ขโมย machine key ปลอม __VIEWSTATE และใช้ไดรเวอร์ที่มีช่องโหว่ปิดระบบความปลอดภัย ก่อนวางเพย์โหลดบน SYSVOL ให้ Active Directory จำลองกระจายไปทุกโดเมนคอนโทรลเลอร์เอง

บริษัท Ontinue เผยว่าอินโฟสตีลเลอร์ Psychedelic ที่แพร่ผ่านกล ClickFix เป็นส่วนหนึ่งของแพลตฟอร์มมัลแวร์ให้เช่า (MaaS) ชื่อ Lunex ห่วงโซ่โจมตี 4 ขั้นเริ่มจาก CAPTCHA ปลอมสู่การวาง C2 agent เต็มรูปแบบ จุดเด่นคือใช้ BYOVD ผ่านไดรเวอร์ AMD Radeon ที่มีช่องโหว่ CVE-2023-20598 เพื่อยกสิทธิ์และปิดตาเครื่องมือความปลอดภัยโดยไม่ปิดโปรเซส มัลแวร์ดูดรหัสผ่านจากเบราว์เซอร์ 7 ตัวและกระเป๋าคริปโต พร้อมตั้ง Native Messaging Host เข้าถึงไฟล์ระบบ ปัจจุบันพบแผงควบคุม 28 จุดใน 13 ประเทศ

นักวิจัยของ LastPass และ Delphos Labs เปิดโปงตัวติดตั้ง LastPass Authenticator ปลอมบน GitHub ที่วางไดรเวอร์เคอร์เนล Windows เพื่อปิดแอนตี้ไวรัสและ EDR ก่อนรันโปรแกรมขโมยรหัสผ่าน ไดรเวอร์ถูกเซ็นผ่านโครงการ Microsoft Hardware Compatibility และไม่อยู่ในบัญชีบล็อก มันมีรายชื่อโปรเซสความปลอดภัย 145 รายการที่จะสั่งปิดจากระดับเคอร์เนล เทคนิคนี้เรียกว่า BYOVD จากนั้นตัวขโมยดูดรหัสผ่านจากเบราว์เซอร์ กระเป๋าคริปโต และเซสชัน LastPass ยืนยันว่าระบบและ vault ของบริษัทไม่ถูกแตะ

หน่วยวิจัยภัยคุกคามของบริษัท Acronis เปิดเผยแคมเปญที่เล็งบุคคลและองค์กรในกัมพูชา ปล่อยโทรจันเข้าถึงระยะไกลโอเพนซอร์ส Spark RAT ผ่านตัวติดตั้ง Inno Setup ในไฟล์บีบอัดที่แนบมากับอีเมลฟิชชิง เหยื่อล่อถูกทำให้เข้ากับท้องถิ่นทั้งหนังสือแจ้งของราชการ ประกาศสาธารณสุข บันทึกตรวจฟัน และเอกสารอสังหาริมทรัพย์ ห่วงโซ่การโจมตีอาศัยเทคนิค BYOVD ติดตั้งไดรเวอร์ ardrv.sys ที่มีช่องโหว่ CVE-2026-36425 เพื่อยกสิทธิ์และปิดซอฟต์แวร์ความปลอดภัย

นักวิจัยจากบริษัท Check Point เปิดเผยเทคนิคที่ใช้ไดรเวอร์ BTR.sys ของ Microsoft Defender เอง ซึ่งมีลายเซ็นถูกต้องและเป็นคอมโพเนนต์บังคับของวินโดวส์ มาสั่งลบไฟล์และคีย์รีจิสทรีระดับเคอร์เนลได้ตามอำเภอใจ ตั้งแต่ Windows 7 ถึง Windows 11 25H2 โดยไม่ต้องอาศัยช่องโหว่ใด การสาธิตบนเวที Black Hat ลบชุด Defender ออกจากเครื่องที่เปิด Tamper Protection ได้ทั้งหมด เงื่อนไขคือผู้โจมตีต้องมีสิทธิ์ผู้ดูแลระบบพร้อม SeLoadDriverPrivilege อยู่ก่อน ไมโครซอฟท์ระบุว่ายังไม่เข้าเกณฑ์ต้องแก้ไขทันที

บริษัท Cato Networks พบกลุ่มอาชญากรไซเบอร์จีน Silver Fox โจมตีองค์กรผลิตในภาคอุตสาหกรรมของญี่ปุ่น ด้วยการฝังไดรเวอร์ที่มีช่องโหว่ถึง 3 ตัวเข้าเป็นเฟรมเวิร์ก BYOVD แบบถอดเปลี่ยนได้ ห่วงโซ่เริ่มจากอีเมลฟิชชิงธีมใบแจ้งหนี้ที่โฮสต์เนื้อหาบน QQ และ Tencent Cloud แล้วต่อด้วย DLL side-loading เพื่อวางมัลแวร์ ValleyRAT ซึ่งเป็นสายพันธุ์หนึ่งของ Gh0st RAT จุดเด่นคือกลไก watchdog สองชั้นที่ปลุกกันเองขึ้นมาใหม่ ทำให้การฆ่าโปรเซสเพียงตัวเดียวไม่พอกำจัด