Infostealer

บริษัท McAfee Labs รายงานว่ามัลแวร์ Weedhack ยังแพร่ผ่านเว็บที่ปลอมเป็นไคลเอนต์และม็อดของ Minecraft และบล็อกความพยายามเข้าถึงเว็บอันตรายไปแล้วกว่า 6,300 ครั้ง เว็บปลอมลอกทั้งแบรนด์ รายการฟีเจอร์ คู่มือติดตั้ง และวางลิงก์ไป GitHub ของจริงเพื่อลดความระแวง หนึ่งในนั้นสร้างด้วย Lovable ซึ่งเป็นเครื่องมือสร้างเว็บด้วย AI ลิงก์อันตรายเกือบครึ่งกระจายผ่าน Discord เพย์โหลด JAR เก็บข้อมูลระบบ ตั้งข้อยกเว้นให้ Microsoft Defender และขโมยข้อมูลจากเครื่องเหยื่อ

ระหว่างวันที่ 19 ถึง 20 สิงหาคม 2569 มีองค์กรไทยถูกประกาศชื่อบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์เพิ่มอีก 4 ราย กลุ่มหน้าใหม่ชื่อ Dysphor1a เปิดตัวด้วยการอ้างโจมตีเหยื่อไทย 2 รายในวันเดียวทั้งบริษัทประกันและสถาบันการศึกษา ขณะที่ KryBit ประกาศชื่อบริษัทพลาสติกเป็นเหยื่อไทยรายที่ 4 ของปีนี้ ต่อจากกรุงเทพมหานครและ ช.การช่าง ส่วน INC Ransom ประกาศชื่อบางกอกเคเบิ้ล ทั้งหมดยังเป็นคำอ้างฝ่ายเดียวที่ไม่มีการยืนยัน

crate ยอดนิยมของภาษา Rust สามตัวคือ arrayref, append-only-vec และ internment ถูกดัดแปลงให้ดึงแพ็กเกจปลอมชื่อ proc-macro1 เข้ามาเป็น dependency ซอร์สโค้ดที่มองเห็นไม่ถูกแตะต้องเลย โค้ดอันตรายซ่อนอยู่ในไฟล์ build.rs ที่ Cargo รันเองทุกครั้งที่คอมไพล์ เพย์โหลดเป็นอินโฟสตีลเลอร์ข้ามแพลตฟอร์มที่ดูดรหัสผ่านจากเบราว์เซอร์ตระกูล Chromium ทีม Rust Security Response ถอนเวอร์ชันที่ปนเปื้อนและล็อกบัญชีผู้ดูแลภายในราวสองชั่วโมง

ทีม Microsoft Defender Experts โยงเว็บโดเมนกว่า 30 รายเข้ากับ MacSync Stealer มัลแวร์ขโมยข้อมูลบน macOS ด้วยการจับคู่พฤติกรรมที่ซ้ำกันทั้งฝั่งเครื่องปลายทางและฝั่งเครือข่าย แทนการไล่ตามที่อยู่ที่เปลี่ยนตลอด รายงานยืนยันว่ามีการดูดข้อมูลออกจริงไม่ใช่แค่การติดต่อ C2 โดยมัลแวร์กวาดทั้ง Keychain ข้อมูลรับรองเบราว์เซอร์ กุญแจ SSH ข้อมูลรับรอง AWS และไฟล์ตั้งค่า Kubernetes ก่อนอัดเป็นไฟล์บีบและส่งออกทีละก้อน Microsoft ไม่เปิดเผยจำนวนเหยื่อและไม่ระบุชื่อกลุ่มผู้อยู่เบื้องหลัง

ระหว่างวันที่ 9 ถึง 10 สิงหาคม 2569 มีบริษัทที่จดทะเบียนในประเทศไทยถูกประกาศชื่อบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์ถึงสามรายติดกัน กลุ่ม Panzer อ้างว่าดูดข้อมูลจาก The Minor Food Group ไปได้ 340.8 GB และอ้างการโจมตีบริษัทสยามออยล์โปรดักส์ผู้จัดจำหน่ายผลิตภัณฑ์ปิโตรเลียม ขณะที่กลุ่ม Qilin ประกาศชื่อบริษัทพิธานพาณิชย์ในหมวดการผลิต ทั้งหมดเป็นคำอ้างฝ่ายเดียวที่ยังไม่มีการยืนยันจากฝั่งผู้เสียหาย และยังไม่มีองค์กรใดออกแถลงการณ์

บริษัท Jamf พบมัลแวร์ขโมยข้อมูลบน macOS ตัวใหม่ชื่อ AmnesiaStealer เขียนด้วยภาษา Rust แพร่ผ่านหน้าดาวน์โหลด GitHub ปลอมด้วยเทคนิค ClickFix ติดเชื้อ 3 ขั้นตั้งแต่สคริปต์เชลล์จนถึงโมดูลควบคุมเบราว์เซอร์จากระยะไกล มัลแวร์หลอกขอรหัสผ่านเครื่อง คัดลอก keychain และดูดข้อมูลจากเบราว์เซอร์ตระกูล Chromium 6 ตัว จุดเด่นคือเขียนทับคีย์ Safe Storage ด้วยค่าของผู้โจมตีจนรหัสผ่านเดิมกู้ไม่ได้ และโมดูล stream ที่ใช้ Chrome DevTools Protocol เปิดเบราว์เซอร์ headless ให้ผู้โจมตีคุมเซสชันสด

คณะรัฐมนตรีมีมติเมื่อวันที่ 11 สิงหาคม 2569 อนุมัติสามมาตรการเร่งด่วนหลังข้อมูลภาครัฐรั่วไหลจากรหัสผ่านที่หลุดสู่ดาร์กเว็บ ให้กว่า 300 กรมเปลี่ยนรหัสผ่านเจ้าหน้าที่ทั้งหมดทันที ให้ตรวจสอบระบบสารสนเทศราว 30,000 ระบบและปิดช่องทางหลังบ้านของระบบเก่าที่เลิกใช้แล้วภายใน 15 วัน และให้บังคับใช้การยืนยันตัวตนหลายปัจจัยหรือ ThaID กับระบบภาครัฐทุกระบบ มติดังกล่าวสืบเนื่องจากการประชุมคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติเมื่อวันที่ 10 สิงหาคม

บริษัท Huntress พบแคมเปญ ClickFix ที่หลอกผู้ใช้ macOS วางคำสั่งใน Terminal เพื่อติดตั้งมัลแวร์ขโมยข้อมูลที่เขียนด้วยภาษา Go ซึ่งกวาดรหัสผ่านในเบราว์เซอร์ ข้อมูล iCloud Keychain และข้อมูลรับรองที่แคชไว้ จุดที่ต่างจากตัวอื่นคือฟังก์ชัน DRAIN ที่ตรวจยอดในกระเป๋าคริปโตแล้วโอนออกได้ทั้งก้อนหรือเพียงบางส่วน โดยมีฟังก์ชันแยกคำนวณว่า 1 เปอร์เซ็นต์ของยอดคิดเป็นเท่าไรในแต่ละสกุล เซิร์ฟเวอร์แจกเพย์โหลดและ C2 โยงกับ Aeza Group ผู้ให้บริการโฮสต์กันกระสุนของรัสเซียที่ถูกคว่ำบาตร

เหตุข้อมูลผู้ครอบครองรถยนต์รั่วไหลขยายวงกลายเป็นวิกฤตข้อมูลภาครัฐทั้งระบบ นายธนารัตน์ กัววัฒนาพันธ์ ซีอีโอบริษัท DomeCloud เข้าให้ปากคำตำรวจไซเบอร์เมื่อ 6 สิงหาคม 2569 ระบุพบข้อมูลคนไทยรั่วไหลกว่า 500,000 ราย ครอบคลุม 19 กระทรวงและสำนักนายกรัฐมนตรี โดยชี้ว่าต้นตอไม่ใช่การเจาะระบบแต่มาจากรหัสผ่านเจ้าหน้าที่ที่หลุดเพราะเครื่องติดมัลแวร์ขโมยข้อมูล ขณะที่ผลตรวจเบื้องต้นของรัฐบาลระบุพบผู้ถูกสืบค้นข้อมูลราว 800 ราย พร้อมสั่งให้ระบบภาครัฐใช้การยืนยันตัวตนหลายชั้นภายใน 30 วัน

นักวิจัยพบแพ็กเกจประสงค์ร้ายเกือบ 800 รายการบน npm ที่ตั้งชื่อสุ่มเลียนแบบชื่อที่ AI มักมโนขึ้นมา แต่ไม่ใช้ lifecycle hook อย่าง preinstall กลับใส่ README สั่งให้นักพัฒนาเรียกใช้ผ่าน require() ปลายทางคือดาวน์โหลดเดอร์ WEL1DROPPER ที่เลือก payload ตามระบบปฏิบัติการและสถาปัตยกรรมซีพียู โดยดึงจาก Cloudflare Workers และสำรองด้วย DNS TXT เมื่อ HTTPS ล้มเหลว ตัวอย่างบน Windows แพตช์ ETW และ AMSI ส่วนบน Linux ปิดท้ายด้วยเฟรมเวิร์ก Sliver