Cloudsek

บริษัท Checkmarx รายงานแคมเปญ MALFEX ที่เผยแพร่แพ็กเกจอันตรายบน npm มาตั้งแต่สิงหาคม 2566 มียอดดาวน์โหลดรวมกว่า 40,000 ครั้ง ผู้โจมตีปล่อยแพ็กเกจ 12 ตัว เป็นอันตราย 8 ตัว และยังติดตั้งได้อยู่ 3 ตัว ได้แก่ function-flag, function-color และ cdn-img-fetch แพ็กเกจ function-flag อันตรายมาตั้งแต่กรกฎาคม 2568 มียอดดาวน์โหลดกว่า 37,000 ครั้ง แต่ยังไม่มี advisory แจ้งเตือน แคมเปญส่ง Overlord RAT และตัวขโมยข้อมูล movinlike ผ่าน 3 เส้นทาง โดย payload ทำงานได้จริงเฉพาะบน Windows

บริษัท CloudSEK พบแอฟฟิลิเอตแรนซัมแวร์ชื่อ Azazel ที่ทำงานร่วมกับกลุ่ม The Gentlemen ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP แล้วใช้สั่งงานในเครือข่ายเหยื่อจริง แคมเปญกระทบกว่า 20 องค์กรใน 6 ประเทศ ส่วนใหญ่เริ่มจากความลับที่ขโมยจาก GitLab pipeline และประวัติ repository เหยื่อรายหนึ่งเสียข้อมูลทะเบียนการเงินกว่า 120,000 รายการ ส่วนแพลตฟอร์ม AI การแพทย์ถูกเจาะผ่าน SSRF และถูกดูดข้อมูลเกิน 6 TB

บริษัท CloudSEK พบเซิร์ฟเวอร์ของแอฟฟิลิเอตแรนซัมแวร์ Aurora ที่ถูกเปิดทิ้งไว้โดยผิดพลาด ทำให้เห็นกิจกรรมตั้งแต่การบุกรุกจนถึงการรับเงินค่าไถ่ระหว่างเดือนเมษายนถึงกรกฎาคม 2569 ครอบคลุมกว่า 20 องค์กรใน 9 ประเทศ ในไดเรกทอรีมีทั้งเครื่องมือ ประวัติคำสั่ง ข้อมูลรับรอง ตัวเข้ารหัส และบันทึกแชทกับ Cursor ที่ผู้โจมตีใช้ร่างและขัดเกลาลำดับการโจมตี Active Directory Certificate Services เป็นภาษารัสเซีย