Infostealer

GitGuardian รายงานว่าระหว่าง 13-21 ตุลาคม ผู้อยู่เบื้องหลัง GhostAction push 72,000 commit เข้า 23,000 repo สาธารณะผ่านบัญชีนักพัฒนาที่ยึดไว้ โดยมี 8,000 repo เป็นเป้าใหม่ ผู้โจมตีส่ง payload 5 แบบตามชนิด runner รวมถึงตัวขอโทเคน OIDC เพื่อสวมบทบาท AWS และ stealer ในไฟล์ฟอนต์ปลอมที่ลอกจาก PolinRider GitHub ตรวจพบและสกัดเวิร์กโฟลว์อันตรายไว้ได้ แต่ผู้โจมตียังเข้าถึงบัญชีที่ยึดไว้ได้ 1,792 บัญชี เจ้าของ repo ควรลบไฟล์ตาม IoC ทุก branch เพิกถอนโทเคน และหมุนเวียน secret ทั้งหมด

Check Point พบ Aokigahara มัลแวร์ขโมยข้อมูลบน Windows ที่ไม่ได้เก็บแค่รหัสผ่านเบราว์เซอร์ คริปโต และ VPN แต่เล็งไฟล์ยืนยันตัวตนและ session ของเครื่องมือ AI อย่าง Claude, ChatGPT Desktop, Codex, Cursor, Windsurf, GitHub Copilot และ Gemini CLI มันยังเก็บข้อมูล Git, กุญแจ SSH และไฟล์คอนฟิก AWS, Azure และ Google Cloud แล้วเข้ารหัสส่งออก ผู้โจมตีนำบัญชี AI ไปขายต่อหรือใช้ประวัติแชตที่มีโค้ดลับข่มขู่เรียกเงินได้ ควรปฏิบัติต่อ session ของเครื่องมือ AI เหมือนความลับระดับองค์กร

หน่วยงาน ASD ของออสเตรเลียเผยว่าเจาะเข้าระบบหลังบ้านของผู้ใช้มัลแวร์ Amadey แล้วตัดการเชื่อมต่อจากคอมพิวเตอร์ติดเชื้อราว 180,000 เครื่องทั่วโลก Amadey เป็นมัลแวร์ให้เช่าที่ใช้ปล่อยมัลแวร์ตัวอื่น เช่น StealC และขโมยรหัสผ่าน ปฏิบัติการนี้ล้มได้เพียงหนึ่งในหลายบอตเน็ต เพราะ ESET พบ Amadey แยกกันอย่างน้อย 53 ชุด การตัดการควบคุมไม่ได้ย้อนคืนข้อมูลที่ถูกขโมยไปก่อนหน้า ผู้ดูแลระบบควรล่าหาร่องรอย Amadey และเปลี่ยนรหัสผ่านกับเพิกถอนเซสชันของเครื่องที่เคยติดเชื้อ

Wiz เปิดโปง Gheist แคมเปญอัตโนมัติที่ใช้ GitHub token ที่ขโมยมาจาก 850 บัญชีสร้าง branch กว่า 13,500 อัน เพื่อรัน workflow พิมพ์ secret ทุกตัวของ repo ลงล็อก GitHub Actions แบบเข้ารหัส base32 จนหลุดการปิดบัง แล้วดาวน์โหลดล็อกและลบรันทิ้ง ระบบกักรันน่าสงสัยของ GitHub หยุดได้ทุกรันใน repo สาธารณะ แต่ไม่คุ้มครอง repo ส่วนตัวและ GitHub Enterprise Server ซึ่งถูกดูดสำเร็จ ยังไม่ทราบว่ามีกี่องค์กรที่ secret รั่ว ผู้ดูแลควรค้นหา branch ชื่อ ci-sync- แล้วเปลี่ยน secret ทั้งหมดและเพิกถอน token ที่ใช้ push

Zscaler พบ ArmorSteal มัลแวร์ตระกูลใหม่เขียนด้วย Python แพร่ผ่านเว็บปลอมของ Chocolatey และ Microsoft Activation Scripts ที่ดันขึ้นผลการค้นหาด้วย SEO poisoning เหยื่อที่รันคำสั่ง PowerShell บนเว็บปลอมจะได้มัลแวร์พร้อมตัวติดตั้งจริง จึงไม่รู้ตัว มัลแวร์มีโมดูลควบคุมระยะไกลที่รันเฉพาะคำสั่งที่ลงนาม RSA โมดูลดักคีย์บอร์ดและสลับที่อยู่คริปโต และโมดูลขโมยรหัสผ่าน คุกกี้ และกระเป๋าคริปโต ผู้โจมตีย้ายโครงสร้างไปโดเมนใหม่หลังเว็บล่อถูกปิด

Varonis Threat Labs พบว่าผู้ขายมัลแวร์ขโมยข้อมูล StealC กลับมาพร้อม Stadia ซึ่งเป็น RAT แบบโมดูลที่โฆษณาขายเมื่อ 16 ตุลาคม 2569 Stadia รวมการขโมยข้อมูล หน้าจอซ่อน HVNC การรันคำสั่ง ตัวโหลดเพย์โหลด และการจัดการไฟล์ไว้ในตัวเดียว นักวิจัยพบโค้ด StealC อยู่ในตัว agent และบันทึกการอัปเกรดเป็นโมดูล StealC 3.5.0 ค่าบริการอยู่ที่ 300-900 ดอลลาร์ต่อเดือน ลูกค้า StealC เดิมได้ใช้แพ็กเกจสูงสุดฟรีหนึ่งเดือน

ผู้โจมตีใช้บัญชี GitHub ของผู้ร่วมพัฒนาที่ถูกยึด สลับไฟล์ดาวน์โหลดของ OVHcloud CLI รุ่น v0.11.0 ถึง v0.15.0 เป็นไบนารีขโมยความลับบนดิสก์เมื่อ 19 ตุลาคม 2569 ไฟล์ปลอมค้างอยู่นานสูงสุด 94 นาทีบน macOS, Linux และ Windows x86_64 พร้อมแก้ checksums.txt ให้ค่าแฮชตรงกัน ผู้ติดตั้งผ่าน Homebrew, go install หรือ Docker ไม่ได้รับผลกระทบ OVHcloud ออก v0.16.0 แบบ immutable release และเปิดใช้ release immutability แล้ว OpenSourceMalware โยงบัญชีที่ถูกยึดกับแคมเปญ GlassWorm แต่ยอมรับว่าเป็นเพียงการอนุมาน

ผู้อยู่เบื้องหลังแคมเปญ GhostAction ขยายจากการฝังเวิร์กโฟลว์อันตรายใน GitHub Actions มาฟิชชิงผู้ดูแลโอเพนซอร์สผ่านโดเมน my-github[.]com หน้าล็อกอินปลอมทำงานเป็น reverse proxy ขโมยรหัสผ่านและรหัส 2FA แล้วอนุมัติ OAuth device flow ให้เองโดยเหยื่อไม่ต้องกดยืนยัน ผู้โจมตียังวาง stealer ในไฟล์ฟอนต์ปลอมที่ VS Code รันอัตโนมัติเมื่อเปิดโฟลเดอร์ พบแล้วใน 94 repo ของ 66 เจ้าของ ขั้นนี้มาถึงหกวันหลัง GitHub เริ่มบล็อกเวิร์กโฟลว์เดิม

แคมเปญที่ปลอมเป็นเครื่องมือ AI ยอดนิยมอย่าง Claude, ChatGPT และ GitHub Copilot เพิ่มขึ้นต่อเนื่อง โดยเล็งนักพัฒนาในองค์กรเป็นหลัก ผู้โจมตีใช้หน้าติดตั้งปลอมให้เหยื่อวางคำสั่งลงเทอร์มินัลเอง หรือที่เรียกว่า InstallFix เพื่อติดตั้งมัลแวร์ขโมยข้อมูล อีกเทคนิคคือ LLMshare ที่สร้างแชตหรือ artifact บนแพลตฟอร์ม AI จริงแล้วซื้อโฆษณาดึงคนเข้าไป ANY.RUN พบการวิเคราะห์ในแซนด์บ็อกซ์ที่โยงกับแคมเปญนี้ 1,258 รายการ ส่วน Push Security ระบุว่า InstallFix ธีม AI คิดเป็น 5-10% ของการตรวจพบรายเดือนและยังเพิ่มขึ้น

Elastic Security Labs พบโครงการบ่มเพาะ Web3 ปลอมชื่อ Apex ใช้แพ็กเกจ npm อันตราย @apexacc/cli และ @apexacc/audit ล่อผู้ก่อตั้งสตาร์ทอัปคริปโตด้วยเครดิต AI ฟรี เครื่องมือเขียนโค้ด และบริการตรวจสัญญาอัจฉริยะ การรันแพ็กเกจปล่อยมัลแวร์ขโมยข้อมูลบน Windows และแบ็กดอร์ CloudSyncD บน macOS เครื่องมือ Apex Copilot ยังเปลี่ยนเส้นทางคำขอ AI และเพิ่มเซิร์ฟเวอร์ MCP ของผู้โจมตีเพื่อดูดโค้ดและบทสนทนา ส่วนเครื่องมือตรวจสัญญาทั้ง 18 ตัวคืนผลปลอมทั้งหมด