Dll-Side-Loading

Google Threat Intelligence Group, Mandiant และ ManageEngine เปิดเผยว่ากลุ่ม UNC7017 แก้ไฟล์ที่ AOMEI Backupper ดึงจากเซิร์ฟเวอร์อัปเดตของผู้ผลิตเอง เป็นช่วงสั้น ๆ 5-10 นาทีระหว่างพฤษภาคมถึงกรกฎาคม 2569 เครื่องที่เช็กอัปเดตตรงช่วงนั้นจะดาวน์โหลดตัวโหลด CROSSROAD และแบ็กดอร์ SHINYROAD โดยไม่ต้องใช้ช่องโหว่ พบองค์กรเหยื่อใน 11 ประเทศ รวมสิงคโปร์ AOMEI แจ้งว่าแก้เซิร์ฟเวอร์แล้ว แต่เครื่องที่ติดไปแล้วยังไม่สะอาด

DCSO CyTec เผย Sauron Loader มัลแวร์ประเภท loader ที่พบในการโจมตีองค์กรเยอรมนี ใช้ DLL side-loading กับการถอดรหัสในหน่วยความจำเพื่อหลบการตรวจจับ มักมาท้ายห่วงโซ่โจมตีที่อาศัยกลลวง ClickFix หรือการโทรปลอมเป็นฝ่ายไอทีหลังถล่มอีเมลสแปม ตัวโหลดดึงและรันมัลแวร์เพิ่ม เก็บข้อมูลเครื่อง และส่งกลับเซิร์ฟเวอร์ควบคุมผ่าน HTTPS ที่เปลี่ยน path พร้อมตั้ง scheduled task เรียกซ้ำ ถูกโฆษณาขายในตลาดใต้ดินกลุ่มผู้ใช้ภาษารัสเซีย

นักวิจัยจาก Fortinet พบมัลแวร์ SectopRAT เวอร์ชันใหม่ซ่อนตัวอยู่ในซอฟต์แวร์เสียงดิจิทัลของแท้จากบริษัทสัญชาติอิตาลี โดยผู้โจมตีดัดแปลงไฟล์ FrameworkBase.dll ให้แอบโหลด payload หลังแอปถูกติดตั้งบนเครื่องเหยื่อแล้ว ไม่ได้เจาะผู้พัฒนาโดยตรง SectopRAT หรือ ArechClient2 เป็นมัลแวร์ .NET ที่รวมความสามารถควบคุมระยะไกลกับการขโมยข้อมูลไว้ด้วยกัน มีคำสั่งให้ทำงานได้ถึง 29 แบบ ผู้เชี่ยวชาญเตือนว่าองค์กรควรเฝ้าดูพฤติกรรมของแอปแทนที่จะเชื่อใจเพราะเป็นซอฟต์แวร์ที่ถูกกฎหมาย

รายงานภัยคุกคามฉบับใหม่ของ CTM360 วิเคราะห์ URL ติดเชื้อกว่า 17,000 รายการที่เสิร์ฟหน้ายืนยันตัวตน Cloudflare ปลอม เผยว่ากล ClickFix กลายเป็นเทคนิคเจาะเครือข่ายองค์กรอันดับหนึ่ง โดยไม่ต้องอาศัยช่องโหว่ ไฟล์แนบ หรือไฟล์บนดิสก์ รายงานชี้ 3 จุดสำคัญ ได้แก่ โครงสร้างพื้นฐานที่ทนต่อการถอดถอนด้วย EtherHiding บนบล็อกเชน Polygon การเลือกเป้าหมายฝั่งเซิร์ฟเวอร์ที่ต้านการวิเคราะห์ และเพย์โหลดที่ผูกกับลายนิ้วมือเครื่อง ปลายทางคือมัลแวร์ Vidar Stealer ที่รันในโปรเซส Microsoft ผ่าน DLL side-loading

นักวิจัยของ LastPass และ Delphos Labs เปิดโปงตัวติดตั้ง LastPass Authenticator ปลอมบน GitHub ที่วางไดรเวอร์เคอร์เนล Windows เพื่อปิดแอนตี้ไวรัสและ EDR ก่อนรันโปรแกรมขโมยรหัสผ่าน ไดรเวอร์ถูกเซ็นผ่านโครงการ Microsoft Hardware Compatibility และไม่อยู่ในบัญชีบล็อก มันมีรายชื่อโปรเซสความปลอดภัย 145 รายการที่จะสั่งปิดจากระดับเคอร์เนล เทคนิคนี้เรียกว่า BYOVD จากนั้นตัวขโมยดูดรหัสผ่านจากเบราว์เซอร์ กระเป๋าคริปโต และเซสชัน LastPass ยืนยันว่าระบบและ vault ของบริษัทไม่ถูกแตะ

หน่วยวิจัยภัยคุกคามของบริษัท Acronis เตือนว่าโทรจันธนาคาร Grandoreiro ยังเคลื่อนไหวต่อเนื่องและแคมเปญล่าสุดเทน้ำหนักการโจมตีไปที่ประเทศเม็กซิโก ตัวอย่างรุ่นใหม่อาศัยการโหลด DLL ผ่านโปรแกรมหาไฟล์ซ้ำที่ถูกกฎหมายเพื่อให้โค้ดอันตรายทำงานกลมกลืนกับซอฟต์แวร์ปกติ พร้อมชุดตรวจจับสภาพแวดล้อมวิเคราะห์ที่ทำงานก่อนติดต่อเซิร์ฟเวอร์สั่งการ รายงานฉบับเดียวกันยังกล่าวถึงมัลแวร์แอนดรอยด์ Manic และ ToxicPanda 2.0 ที่เว็บไซต์เคยรายงานไปแล้ว

นักวิเคราะห์ของบริษัท Picus Security เปิดเผยปฏิบัติการล่าสุดของกลุ่มจารกรรม Patchwork หรือ Dropping Elephant ที่สร้างเส้นทางโจมตีแยกกันสองสายสำหรับ Windows และ Android ฝั่ง Windows เริ่มจากไฟล์ทางลัดชื่อ GRES3001.lnk ที่ทำให้ดูเหมือนเอกสาร PDF สัญญาพลังงาน เมื่อเปิดจะเรียก PowerShell แอบดาวน์โหลดส่วนประกอบเพิ่ม พร้อมตั้งงานตามเวลาชื่อ GoogleErrorReport ส่วนฝั่ง Android ใช้บทสนทนาแนวชู้สาวหลอกให้ย้ายไปติดตั้งแอปแชตที่ถูกฝังโค้ด ซึ่งบันทึกเสียงรอบตัวและสายสนทนาได้

บริษัท Fortinet FortiGuard Labs เปิดเผยการโจมตีห่วงโซ่อุปทานต่อ QuickFox แอปพลิเคชัน VPN สำหรับคนจีนในต่างประเทศ ที่ดำเนินมาตั้งแต่อย่างน้อยเดือนสิงหาคม 2568 ตัวติดตั้งบน Windows ถูกแทรกโค้ด JavaScript สองบรรทัดในไฟล์ HTML ของ Electron ให้โหลดเพย์โหลดที่ปลอมเป็น Firebase SDK แล้วคัดกรองเครื่องเป้าหมายก่อนติดตั้งแบ็กดอร์ FDMTP ซึ่งเคยถูกใช้โดยกลุ่ม Mustang Panda ที่จีนหนุนหลัง QuickFox ถอดส่วนประกอบอันตรายออกแล้วในเวอร์ชัน 3.59.6 แต่ Fortinet ยังไม่ระบุตัวผู้อยู่เบื้องหลังอย่างเป็นทางการ

บริษัท Kaspersky เปิดเผยแคมเปญจารกรรมที่โจมตีหน่วยงานรัฐในเอเชียกลางและซีเรียมาตั้งแต่มกราคม 2568 คาดว่าเป็นฝีมือผู้ก่อภัยที่พูดภาษาจีน แต่ยังโยงเข้ากับกลุ่มที่รู้จักไม่ได้ ผู้โจมตีใช้แบ็กดอร์ใหม่ 2 ตัวคือ OctLurk และ SilkLurk พร้อมเครื่องมือ LurkProxy สำหรับพร็อกซีทราฟฟิก ทั้งคู่ทำงานในหน่วยความจำและโหลดปลั๊กอินเพิ่มเพื่อดักแป้นพิมพ์และขโมยข้อมูลรับรอง โดยเส้นทางเข้าถึงครั้งแรกยังไม่ทราบ

บริษัท Blackpoint Cyber เปิดเผยโหลดเดอร์ภาษา Go ตัวใหม่ชื่อ HollowFrame และมัลแวร์ภาษา Rust ชื่อ Matryoshka ที่ถูกใช้โจมตีเครื่อง 2 เครื่องของสำนักงานกฎหมายแห่งหนึ่ง เริ่มจากอีเมลหลอกลวงแนบลิงก์ไปยังไฟล์บีบอัดที่เข้ารหัสซึ่งซ่อนไฟล์ LNK ปลอมเป็นเอกสารคดี เมื่อเปิดจะรัน PowerShell ดึงเพย์โหลดต่อ ยกระดับสิทธิ์ และลดทอนการป้องกันของ Microsoft Defender จุดเด่นคือ Matryoshka เวอร์ชันหนึ่งใช้ที่เก็บโค้ด GitHub ส่วนตัวเป็นกล่องจดหมายสั่งงานแทนการตั้งเซิร์ฟเวอร์ควบคุมเอง