Cryptominer

ผู้โจมตีเริ่มใช้ห่วงโซ่ช่องโหว่ Plex2Shell ใน Plex Media Server โจมตีจริงเพียงวันเดียวหลังรายละเอียดทางเทคนิคและ PoC เผยแพร่เมื่อ 16 ตุลาคม 2569 ห่วงโซ่นี้รวม 4 CVE จนได้ RCE โดยไม่ต้องยืนยันตัวตน honeypot ของนักวิจัย boredhackerblog จับได้ว่าผู้โจมตีวางตัวขุด XMRig และ backdoor พร็อกซี myawesomeproxy โดเมนขุดคริปโตเชื่อมกับโครงสร้างที่ Bitsight เคยโยงกับบอตเน็ต AISURU Plex แก้แล้วในเวอร์ชัน 1.43.3.10861 ตั้งแต่ 3 สิงหาคม 2569

บริษัท Huntress พบผู้โจมตีใช้ช่องโหว่ 2 รายการในซอฟต์แวร์สำรองข้อมูล AhsayCBS ร่วมกัน คือ CVE-2026-105133 ข้ามการยืนยันตัวตน และ CVE-2026-105134 command injection (CVSS 9.3) เพื่อรันคำสั่งระยะไกล การโจมตีเริ่ม 7 ต.ค. และกระทบแล้ว 5 องค์กร ผู้โจมตีฝังเว็บเชลล์และตัวขุด XMRig ที่ปลอมชื่อเป็น edge.exe แม้ NVD ระบุว่าแก้แล้วในเวอร์ชัน 10.3.4 แต่ Huntress ยืนยันว่าเวอร์ชันนี้ยังโดน ช่องโหว่ทั้งคู่จึงเป็นซีโรเดย์ที่ยังไม่มีแพตช์

นักวิจัย ThreatDown เปิดโปงบอตเน็ต CARBONATO ที่เจาะ Docker เปิดสาธารณะโดยไม่มีการยืนยันตัวตน แล้วฝัง AI agent ไว้ในเครื่องเหยื่อเพื่อรับคำสั่งผ่าน Telegram AI จะแปลงคำสั่งเป็นคำสั่งเทอร์มินัลและดูดคีย์ AI API กับ SSH ออกไป บอตเน็ตยังแพร่กระจายเองด้วยการสแกนหา Docker เปิดในเครือข่ายข้างเคียง งานนี้ชี้ว่าการตั้งค่าผิดจุดเดียวขยายเป็นปัญหาทั้งเครือข่ายได้

นักวิจัย Huntress พบการโจมตีที่เจาะ Windows ผ่านช่องโหว่ CVE-2025-4632 ใน Samsung MagicINFO แล้วคอมไพล์ตัวขุด Monero ขึ้นในเครื่องเหยื่อเอง ผู้โจมตีติดตั้ง AnyDesk สร้างบัญชีแอดมิน และปิด Microsoft Defender ก่อนเริ่มขุด การประกอบตัวขุดในเครื่องทำให้เกิดสัญญาณผิดปกติจาก compiler ที่ตรวจจับได้ เคสนี้เป็นเครื่องเดียว ไม่ใช่แคมเปญขนาดใหญ่ แต่ชี้ว่าช่องโหว่ที่เปิดทิ้งไว้นำไปสู่การยึดเครื่องระยะยาว

บริษัท Huntress เปิดเผยกิจกรรมที่มีพฤติกรรมคล้าย worm ซึ่งอาศัย ConnectWise ScreenConnect กระจายห่วงโซ่ VBScript สี่ขั้นไปยังเครื่องที่เชื่อมต่อเข้ามาใหม่ พบสามเหตุการณ์ที่ไม่เกี่ยวข้องกันในเดือนสิงหาคม 2569 ใช้ช่องทางเข้าถึงต่างกันทั้งสแกมหลอกให้เปิด Quick Assist ตัวติดตั้ง MSI จากฟิชชิง และแบบฟอร์มคืนเงิน Geek Squad ปลอม สคริปต์จะสำรวจเครื่องแล้วเลือกเพย์โหลดตามค่าสถานะสามบิต ตั้งแต่แบ็กดอร์ระดับผู้ใช้ไปจนถึงการยกสิทธิ์และโปรแกรมขุดเหรียญ

บริษัท Elastic เผยแพร่รายงานเมื่อวันที่ 2 กันยายน 2569 ระบุพบโปรแกรม 4 ตัวที่โยงกับ REVSTEALER ซึ่งยังฝังอยู่ในเครื่องหลังตัวขโมยข้อมูลลบตัวเองทิ้ง โมดูลชื่อ LockAppHost ยกระดับสิทธิ์ผ่าน CMSTP แล้วปิดบริการ Windows Update 5 ตัวและใส่ข้อยกเว้นให้ Microsoft Defender ก่อนรันเครื่องขุดคริปโต อีกสามตัวขโมยกระเป๋าคริปโต สลับที่อยู่ในคลิปบอร์ด และเปลี่ยนเครื่องเหยื่อเป็นพร็อกซี มัลแวร์แพร่ผ่านโปรแกรมโกงเกมและซอฟต์แวร์ AI ปลอม