Dll-Hijacking

บริษัท Solar ของรัสเซียรายงานว่ากลุ่มแฮ็กทิวิสต์ฝ่ายเบลารุส Cyber Partisans หรือ Partisan Zmiy แฝงอยู่ในเครือข่ายองค์กรสาธารณสุขรัสเซียตั้งแต่ต้นปี 2567 จนถูกพบในธันวาคม 2568 ผู้โจมตีซ่อนบริการ vmauad และ DLL อันตรายในโฟลเดอร์ VMware Tools เพื่อรันแบ็กดอร์ Vasilek 1.5.8 ที่สั่งงานผ่าน Telegram ต่างจากเคสก่อนหน้า ครั้งนี้กลุ่มไม่ได้ใช้ wiper ทำลายระบบ Solar ตั้งสมมติฐานว่ากลุ่มเก็บสิทธิ์เข้าถึงไว้จารกรรมและโจมตีต่อผ่านสถานพยาบาลในเครือ ยังไม่ทราบช่องทางเข้าเริ่มต้น

Darktrace เปิดเผย CikaBika Bot มัลแวร์ RAT เขียนด้วย Rust ที่รับคำสั่งทั้งหมดผ่าน Discord โดยสร้างช่องแชตแยกสำหรับเครื่องเหยื่อแต่ละเครื่อง การติดเชื้อเริ่มจากไฟล์ดิสก์อิมเมจที่มี PDF ภาษาฝรั่งเศสเป็นเหยื่อล่อและไฟล์ shortcut ที่ปลอมเป็นเอกสาร Word ตัวโหลดภาษา Nim แกะ DLL ออกมาแล้วพยายามวางเป็น dbghelp.dll ในโฟลเดอร์ Microsoft Edge ด้วยการข้าม UAC ผ่าน computerdefaults.exe มัลแวร์รันคำสั่ง ขโมยไฟล์ จับภาพหน้าจอ เปิดกล้อง และใช้ ngrok ส่งไฟล์ใหญ่ออกไป

นักวิจัยสองคนสาธิตในงาน DEF CON 34 ว่ากลไก Plug and Play ของ Windows ถูกใช้หลอกให้ดาวน์โหลดซอฟต์แวร์ผู้ผลิตที่มีลายเซ็นถูกต้องแล้วรันคอมโพเนนต์ติดตั้งสิทธิ์สูงได้ พวกเขาต่อขั้นตอนจนได้สิทธิ์ SYSTEM บนเครื่อง Windows 11 ที่อัปเดตครบ เส้นทางฝั่งอุปกรณ์จริงใช้การจำลองอุปกรณ์ Sierra Wireless และ Sony FeliCa ร่วมกับช่องโหว่ path traversal ส่วนเส้นทางระยะไกลส่งทราฟฟิก USB สังเคราะห์ผ่าน RDP ไมโครซอฟท์ระบุว่าการ redirect อุปกรณ์แบบนี้ไม่ได้เปิดเป็นค่าเริ่มต้น