Exploit-Kit

บริษัท iVerify เปิดเผย P7 DarkSword ชุดเจาะ iOS รุ่นใหม่ที่ลดร่องรอยบนเครื่อง ขโมย keychain และกระเป๋าคริปโต และรับคำสั่งจาก C2 ทุก 15 วินาที Report URI พบชุดเจาะนี้แพร่ผ่านโดเมน ecomtrack[.]io ของสตาร์ตอัปที่ปิดตัวแล้วถูกจดใหม่ ขณะที่แท็กยังฝังอยู่บนร้านค้าออนไลน์ Censys พบโฮสต์ 5 แห่งที่เก็บ DarkSword และ Coruna พร้อมแผงตัวแทนจำหน่ายภาษาจีน ชุดเจาะใช้ CVE-2025-24201 และ CVE-2025-31200 ที่เพิ่งถูกระบุว่าอยู่ในชุดนี้ ผู้ใช้ iPhone ควรอัปเดต iOS เป็นเวอร์ชันล่าสุด

บริษัท Proofpoint รายงานว่ากลุ่มจารกรรมหลายกลุ่มใช้ชุดเครื่องมือเจาะใหม่ชื่อ BlueMoon ที่ร้อยช่องโหว่ zero-day สามรายการเข้าด้วยกัน คือ V8 ของ Chrome สองตัวและ ALPC ของ Windows หนึ่งตัว กลุ่ม Violet Typhoon (APT31) ที่โยงจีนใช้เป็นรายแรกเมื่อ 28 สิงหาคม ก่อนหลายกลุ่มจีนจะรับไปใช้ต่อภายในไม่กี่วัน โจมตีเป้าหมายในสหรัฐ เวียดนาม อินโดนีเซีย และสิงคโปร์ นักวิจัยเชื่อว่าผู้สร้างอาจใช้ AI ช่วยพัฒนา

Proofpoint เปิดเผยชุดโจมตีที่ไม่เคยถูกบันทึกมาก่อนชื่อ BlueMoon ซึ่งร้อยช่องโหว่ V8 ของ Chrome สองตัวเข้ากับช่องโหว่ ALPC ของวินโดวส์เพื่อยกระดับสิทธิ์ การใช้งานจริงครั้งแรกเป็นของกลุ่ม APT31 ที่จีนหนุนหลังเมื่อวันที่ 28 สิงหาคม 2569 และภายในไม่กี่วันมีอีกสามกลุ่มใช้ชุดเดียวกัน โดยพุ่งเป้าองค์กรในสหรัฐ เวียดนาม อินโดนีเซีย และสิงคโปร์ ช่องโหว่ V8 ทั้งสองตัวเป็น zero-day แบบ patch-gap ที่แก้ในซอร์สโค้ด Chromium แล้วแต่ยังไม่ถึงรุ่นเสถียร

Censys เปิดเผยว่ามีผู้ก่อภัยที่คาดว่าพูดภาษาจีนนำชุดเจาะระบบ DarkSword ซึ่งซอร์สโค้ดรั่วสู่สาธารณะมาใช้โจมตีอุปกรณ์ iOS ผู้ก่อภัยรายนี้ดูแลเว็บกว่า 100 แห่ง ส่วนใหญ่ปลอมเป็นหน้าล็อกอิน AWS และหน้า Apple ID เมื่อเหยื่อเข้าชม iframe จะเรียกจาวาสคริปต์จุดชนวนช่องโหว่ใน iOS 18.4 ถึง 18.7 แล้ววาง GHOSTBLADE ที่ดูดข้อมูลจาก keychain, iCloud และ Wi-Fi หลักฐานที่ชี้ว่าเป็นชุดที่รั่วคือแฮชหน้า staging ตรงกันและคอมเมนต์โค้ดภาษารัสเซียที่ติดมาจากซอร์สเดิม