Credential-Theft

Unit 42 ของ Palo Alto Networks รายงานกลุ่ม CL-UNK-1211 ที่ใช้สคริปต์ซึ่ง AI ช่วยเขียนเจาะเซิร์ฟเวอร์ Linux ของหน่วยงานรัฐระหว่างตุลาคม 2568 ถึงเมษายน 2569 ผู้โจมตีฝังเว็บเชลล์ แก้ auto_prepend_file ของ PHP เพื่อคงอยู่ ดักรหัสผ่าน sudo ผ่าน alias ใน .bashrc ติดตั้ง SysGoRAT เขียนด้วย Go และพยายามดูดอีเมลกับฐานข้อมูล สคริปต์มีคำอธิบายแบบบทสนทนาของ LLM ติดมา แต่บางตัวเขียนผิดจนรันไม่ได้ กลุ่มนี้ยังไม่ถูกระบุผู้อยู่เบื้องหลัง

นักวิจัย STAR Labs วิเคราะห์ YuanKong มัลแวร์ RAT บนแอนดรอยด์ที่ใช้ Accessibility ดูและควบคุมหน้าจอเหยื่อแทนการขอสิทธิ์ SMS หรือรายชื่อติดต่อ มัลแวร์ดักรหัสผ่านและ PIN ได้ทั้งจากช่องกรอก แป้นตัวเลขปลอม และหน้าเว็บที่วางทับแอปชำระเงิน มันยังเปิด Wireless Debugging แล้วจับคู่กับ ADB ในเครื่องเพื่อได้ shell ไว้ให้สิทธิ์และคงอยู่ ตัวอย่าง 110 dropper กับ payload 57 ตัวเซ็นด้วยใบรับรองเดียวกันและโยงกับบัญชีผู้ควบคุม 42 บัญชี บ่งชี้ว่าเป็นบริการที่ผู้ควบคุมหลายรายใช้ร่วมกัน

Proofpoint เปิดเผยเครือข่ายฟิชชิงภาษาจีนที่ใช้ชุดเครื่องมือ 3 ตัว คือ CoGUI, CoAceV และ CoFish_Ws รวมราว 17,000 โดเมน ปลอมเป็น 66 แบรนด์ ส่วนใหญ่เป็นธนาคาร บริการชำระเงิน และร้านค้าญี่ปุ่น เพื่อขโมยข้อมูลล็อกอินและบัตร Microsoft และ Health-ISAC ยื่นฟ้องทางแพ่งและยึดโดเมนที่เกี่ยวกับ YAM Store, CoGUI และ Iron Man ซึ่งข้อมูลของ Microsoft ระบุว่าส่งข้อความอันตรายกว่า 1,000 ล้านฉบับถึงองค์กรกว่า 75,000 แห่งตั้งแต่ ม.ค. 2569 ชุดเครื่องมือยังส่งผู้เข้าชมที่ไม่ตรงเงื่อนไขไปเว็บล่อเพื่อหลบการวิเคราะห์

Huntress พบเว็บปลอม watchguard-vpn[.]net เลียนแบบหน้าดาวน์โหลด WatchGuard Mobile VPN with SSL ที่ขึ้นในผลค้นหา Bing เว็บขอที่อยู่เซิร์ฟเวอร์ VPN ชื่อผู้ใช้ และรหัสผ่าน แล้วส่งไปเซิร์ฟเวอร์ผู้โจมตี โดยแจ้งว่ากรอกผิดรอบแรกเพื่อให้เหยื่อกรอกซ้ำ จากนั้นจึงดาวน์โหลดตัวติดตั้งของแท้จาก CDN ของ WatchGuard ให้ เหยื่อจึงได้ซอฟต์แวร์ของจริงขณะที่ผู้โจมตีได้ข้อมูลพอจะลองเข้า VPN ลายเซ็นที่ถูกต้องบนตัวติดตั้งจึงไม่ได้พิสูจน์ว่าเส้นทางดาวน์โหลดปลอดภัย

แคมเปญ GhostAction ใช้บัญชี GitHub ของผู้ดูแลโอเพนซอร์ส 2 ราย คือผู้สร้าง pyxel และผู้สร้าง athenadriver ของ Uber ฝังเวิร์กโฟลว์ security-audit.yml ปลอมลงใน 346 repo เมื่อ 8 ต.ค. เวิร์กโฟลว์ส่ง secret ของ GitHub Actions และกุญแจคลาวด์/AI ที่ค้นได้จากไฟล์ปัจจุบันและประวัติ git ทั้งหมดไปยัง 193.32.204[.]199 Socket พบบัญชีกว่า 500 บัญชีที่ commit เวิร์กโฟลว์นี้ไปยัง repo หลายหมื่นแห่งตั้งแต่ 7 ต.ค. แต่ยังไม่พบแพ็กเกจอันตรายที่ถูกเผยแพร่

บริษัท Socket พบเอ็กซ์เทนชัน Firefox อันตราย 16 ตัวที่ปลอมเป็นพอร์ทัลกระเป๋าคริปโต ยูทิลิตี และเครื่องมือเบราว์เซอร์ 4 ตัวเป็นร่างโคลนของ Rabby Wallet อีก 12 ตัวเลียนแบบ OKX Wallet โค้ดดักจับ recovery phrase และ private key ระหว่างขั้นตอนนำเข้ากระเป๋า แล้วส่งไปยัง Cloudflare Workers ของผู้โจมตี Socket ประเมินว่าเป็นแคมเปญต่อเนื่องจากระลอกเดือนสิงหาคม 2569 Mozilla ถอดเอ็กซ์เทนชันทั้งหมดแล้วเมื่อ 5 ต.ค. ผู้ที่กรอก seed phrase จริงต้องย้ายทรัพย์สินไปกระเป๋าใหม่

แพ็กเกจ npm tensorlake 0.5.144 ซึ่งเป็น SDK แซนด์บ็อกซ์เอเจนต์ AI ถูกฝัง worm ตระกูล ChainDrop/Shai-Hulud หลังคอมมิตอันตรายเข้า main branch ภายใต้ชื่อผู้ดูแลเมื่อ 7 ต.ค. 2569 มัลแวร์รันผ่าน preinstall hook ขโมย token npm, GitHub, คีย์คลาวด์, Kubernetes, Vault, SSH และคอนฟิกเครื่องมือ AI แล้วแพร่ต่อด้วยการ republish แพ็กเกจของเหยื่อ ยังวางไฟล์ .claude และ .vscode ให้รันซ้ำเมื่อเปิดโปรเจกต์ และล้างโฮมไดเรกทอรีหากเหยื่อเพิกถอน token ต้องถอดตัวเฝ้า token ก่อนเปลี่ยน credential

บริษัท CloudSEK พบแอฟฟิลิเอตแรนซัมแวร์ชื่อ Azazel ที่ทำงานร่วมกับกลุ่ม The Gentlemen ลงทะเบียน reverse shell เป็นเครื่องมือในผู้ช่วยเขียนโค้ด AI ผ่าน MCP แล้วใช้สั่งงานในเครือข่ายเหยื่อจริง แคมเปญกระทบกว่า 20 องค์กรใน 6 ประเทศ ส่วนใหญ่เริ่มจากความลับที่ขโมยจาก GitLab pipeline และประวัติ repository เหยื่อรายหนึ่งเสียข้อมูลทะเบียนการเงินกว่า 120,000 รายการ ส่วนแพลตฟอร์ม AI การแพทย์ถูกเจาะผ่าน SSRF และถูกดูดข้อมูลเกิน 6 TB

ศาลมอนเตเนโกรอนุมัติส่งตัวนาย Amir Barati ชาวอิหร่าน-ตุรกีวัย 40 ปีให้สหรัฐฯ หลังถูกจับขณะพักร้อนที่เมือง Kotor เมื่อ 25 มิถุนายน ตามหมายของ FBI เขาเป็นหนึ่งใน 17 จำเลยของคดีที่กระทรวงยุติธรรมสหรัฐฯ ฟ้องเมื่อสิงหาคม ฐานร่วมปฏิบัติการผ่าน Mabna Institute ในนาม IRGC อัยการกล่าวหาว่าเขาติดตามแคมเปญสเปียร์ฟิชชิง แจกจ่ายรหัสผ่านที่ขโมยมา และเขียนอีเมลฟิชชิงเอง แคมเปญนี้เจาะบัญชีอาจารย์ราว 8,000 บัญชี ดูดข้อมูลอย่างน้อย 31 TB สร้างความเสียหายประมาณ 3.4 พันล้านดอลลาร์

นักวิจัย Qrator เปิดโปงบอตเน็ต Windows ตัวใหม่ชื่อ x47.c ที่ผู้โจมตีชื่อ WraithTools ขายเป็นบริการ ตั้งราคาแพ็กเกจเต็ม 950 ดอลลาร์ จุดเด่นคือใช้ xAI Grok เลือกวิธีคงการฝังตัวบนเครื่องเหยื่อ และมีโหมด AI API drain ที่ใช้คีย์ API ของเหยื่อยิงตรงไปยัง OpenAI/xAI เพื่อผลาญเครดิตที่จ่ายเงินไปแล้ว ตัวบอตยังทำ DDoS 18 วิธี ขโมย credential คุกกี้ โทเคน Discord และข้อมูลกระเป๋าเงินคริปโต