Etherhiding

CERT-UA พบเว็บไซต์กว่า 100 แห่งถูกฝังจาวาสคริปต์แสดงหน้ายืนยัน Cloudflare ปลอม หลอกให้รันคำสั่งติดตั้ง MSI ที่ปล่อย LunexStealer หรือ Psychedelic Stealer กิจกรรมนี้ถูกโยงกับกลุ่ม UAC-0277 สคริปต์ดึงโดเมนและโหมดทำงานจากสัญญาอัจฉริยะบน Polygon หรือ Ethereum ตัวติดตั้งมี 3 แบบ รวมถึงแบบใช้ไดรเวอร์ AMD ที่มีช่องโหว่ปิดตาซอฟต์แวร์ความปลอดภัย มัลแวร์ยังฝังส่วนขยาย LUNARAXE ที่ขโมยคุกกี้ ลอก CSP และให้ผู้โจมตีคุมเบราว์เซอร์ได้

รายงานภัยคุกคามฉบับใหม่ของ CTM360 วิเคราะห์ URL ติดเชื้อกว่า 17,000 รายการที่เสิร์ฟหน้ายืนยันตัวตน Cloudflare ปลอม เผยว่ากล ClickFix กลายเป็นเทคนิคเจาะเครือข่ายองค์กรอันดับหนึ่ง โดยไม่ต้องอาศัยช่องโหว่ ไฟล์แนบ หรือไฟล์บนดิสก์ รายงานชี้ 3 จุดสำคัญ ได้แก่ โครงสร้างพื้นฐานที่ทนต่อการถอดถอนด้วย EtherHiding บนบล็อกเชน Polygon การเลือกเป้าหมายฝั่งเซิร์ฟเวอร์ที่ต้านการวิเคราะห์ และเพย์โหลดที่ผูกกับลายนิ้วมือเครื่อง ปลายทางคือมัลแวร์ Vidar Stealer ที่รันในโปรเซส Microsoft ผ่าน DLL side-loading

นักวิจัยจากบริษัท Checkmarx เปิดเผยแพ็กเกจ npm อันตรายชื่อ indexed-btree ที่ซ่อนพฤติกรรมอันตรายไว้ในโค้ดรันไทม์แทนการใช้ lifecycle script เพื่อเลี่ยงมาตรการใหม่ของ npm v12 แพ็กเกจถูกอัปโหลดตั้งแต่ 18 มิถุนายน 2569 มียอดดาวน์โหลดหลักล้านในเวลาสั้น และอาจทำกำไรผิดกฎหมายให้ผู้โจมตีราว 230,933 ยูโร (109 ETH) มัลแวร์ใช้เทคนิค EtherHiding ดึง payload ขั้นถัดไปจาก smart contract บน Sepolia testnet ขณะที่แคมเปญ PolinRider ที่โยงเกาหลีเหนือก็กลับมาโผล่บน Packagist อีกครั้ง

บริษัท Elastic เผยแพร่รายงานเมื่อวันที่ 2 กันยายน 2569 ระบุพบโปรแกรม 4 ตัวที่โยงกับ REVSTEALER ซึ่งยังฝังอยู่ในเครื่องหลังตัวขโมยข้อมูลลบตัวเองทิ้ง โมดูลชื่อ LockAppHost ยกระดับสิทธิ์ผ่าน CMSTP แล้วปิดบริการ Windows Update 5 ตัวและใส่ข้อยกเว้นให้ Microsoft Defender ก่อนรันเครื่องขุดคริปโต อีกสามตัวขโมยกระเป๋าคริปโต สลับที่อยู่ในคลิปบอร์ด และเปลี่ยนเครื่องเหยื่อเป็นพร็อกซี มัลแวร์แพร่ผ่านโปรแกรมโกงเกมและซอฟต์แวร์ AI ปลอม

ทีม Symantec Threat Hunter เปิดเผยว่าผู้โจมตีหลายกลุ่มหันมาใช้ Node.js ซึ่งเป็นเครื่องมือนักพัฒนาที่มีลายมือชื่อถูกต้อง เป็นช่องทางรันโค้ดอันตรายในการโจมตีหน่วยงานรัฐ บริษัทเทคโนโลยี และโรงแรมตั้งแต่เดือนกุมภาพันธ์ 2569 เสน่ห์ของเทคนิคนี้คือโค้ดอันตรายอยู่ในสคริปต์ที่ถูกตีความ ไม่ใช่ในไฟล์ไบนารี จึงเลี่ยงการตรวจจับด้วยลายเซ็นได้ กรณีหนึ่งผู้โจมตีโหลดตัวติดตั้ง Node.js จากเว็บทางการมาใช้ แล้วดึงคำสั่งผ่าน EtherHiding บนบล็อกเชน

บริษัท Gen Digital เปิดเผยโหลดเดอร์ใหม่สองตัวคือ WordlistLoader และ SynkLoader ที่ใช้ส่งเพย์โหลดขั้นถัดไปและน่าจะขายทางเข้าให้กลุ่มแรนซัมแวร์ WordlistLoader มากับแคมเปญ ClearFake ที่ใช้กล่อง CAPTCHA ปลอมแบบ ClickFix บนเว็บจริงที่ถูกเจาะ แล้วปิดท้ายด้วย Amatera Stealer ชื่อของมันมาจากการเก็บเชลล์โค้ดเป็นลำดับคำภาษาอังกฤษคำละหนึ่งไบต์ ส่วน SynkLoader มาทางฟิชชิงบน Microsoft Teams ที่สวมรอยฝ่ายไอที พร้อมโมดูลปลอมหน้าล็อกวินโดวส์ดักรหัสผ่าน

นักวิเคราะห์ของ OpenSource Malware พบเทคนิคซ่อนเซิร์ฟเวอร์สั่งการชื่อ NullReceiver ที่ฝังหมายเลข IP ไว้ในที่อยู่ผู้รับของธุรกรรม Ethereum ที่ไม่มีมูลค่าและไม่มีข้อมูลแนบ พบใช้งานในแพ็กเกจ npm ประสงค์ร้าย 2 ตัวที่ปลอมเป็นปลั๊กอินของ Tailwind CSS และเชื่อมโยงกับปฏิบัติการ Contagious Interview ที่มีเกาหลีเหนือหนุนหลัง เทคนิคนี้ต่างจาก EtherHiding ตรงที่ไม่ใช้ calldata หรือสัญญาอัจฉริยะ จึงตรวจจับได้ยากกว่า แต่ก็บรรจุข้อมูลได้จำกัดเพียงระดับหมายเลข IP เท่านั้น

บริษัท AllSecure เปิดเผยแคมเปญ malvertising บน macOS ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งเป็นวิวัฒนาการใหม่ของ Contagious Interview โดยเหยื่อคลิกผลค้นหาแบบสปอนเซอร์แล้วเจอหน้าอัปเดต macOS ปลอมเต็มจอที่แอบคัดลอกคำสั่งลงคลิปบอร์ดแล้วหลอกให้วางใน Terminal ตามเทคนิค ClickFix เพย์โหลดคือแบ็กดอร์ Node.js ที่ดึงที่อยู่เซิร์ฟเวอร์ควบคุมจากสัญญาอัจฉริยะ Ethereum แบบ EtherHiding แล้วโหลดตัวขโมยข้อมูลที่เล็งกระเป๋าคริปโต 157 ยี่ห้อ พร้อมส่วนขยาย Chrome ปลอมชื่อ Google Drive Offline สำหรับดูดเงินในกระเป๋า

แคมเปญ malvertising บนบริการค้นหา Bing ดันตัวติดตั้งแอป Claude ปลอมที่โฮสต์อยู่บนโดเมน Claude.ai ของแท้ เพื่อแพร่มัลแวร์ SectopRAT โดยนักวิจัยเรียกปฏิบัติการนี้ว่า FakeAgent มีอย่างน้อย 29 องค์กรถูกเจาะระหว่างวันที่ 21-22 กรกฎาคม ผู้โจมตีใช้ Claude Artifact อันตรายที่โฮสต์บนโดเมนของแท้ นำผู้ใช้ไปดาวน์โหลดไฟล์ ClaudeDesktop.exe ปลอมซึ่งเป็นคอมโพเนนต์ JetBrains ของแท้ที่ side-load DLL อันตรายเพื่อปล่อย SectopRAT ที่มีความสามารถขโมยข้อมูล

นักวิจัยจาก Malwarebytes เผยแคมเปญที่ใช้เกมปลอม ม็อด และไฟล์แคร็ก หลอกติดตั้งมัลแวร์ขโมยข้อมูล Amatera Stealer ลงเครื่อง Windows ผ่านเฟรมเวิร์ก RenPy Loader ที่ดัดแปลงเอนจินสร้างเกมให้เป็นตัวส่งมัลแวร์ ลูกโซ่การติดเชื้อซ่อนตัวหลายชั้น ฉวยใช้เครื่องมือ Windows ที่ถูกต้องอย่าง MSBuild และดึงเซิร์ฟเวอร์ควบคุมจากบล็อกเชนด้วยเทคนิค EtherHiding เพื่อหลบการตรวจจับและปิดกั้นได้ยาก