Infostealer

SOCRadar เปิดโปง ICMacOS หรือ Icarus macOS มัลแวร์ให้เช่าแบบสมัครสมาชิกที่ผู้ไม่หวังดีพูดภาษารัสเซียชื่อ GlowComa โฆษณาตั้งแต่ต้นกันยายน 2569 มัลแวร์แพร่ผ่านหน้า ClickFix ที่หลอกให้เหยื่อรันคำสั่งใน Terminal แล้วแสดงหน้าต่าง System Preferences ปลอมเพื่อขโมยรหัสผ่าน ก่อนตรวจกับ Keychain และใช้ไลบรารี keychainbreaker ถอดรหัสข้อมูล เวอร์ชัน 1 ขโมยข้อมูลเบราว์เซอร์ กระเป๋าคริปโต และข้อมูลรับรองนักพัฒนา เวอร์ชัน 2 กลายเป็น RAT ที่คงอยู่ผ่าน LaunchAgent และรับคำสั่ง shell ผ่าน WebSocket

กลุ่มแรนซัมแวร์ The Gentlemen นำชื่อกองทัพอากาศไทย (rtaf.mi.th) ขึ้นเว็บไซต์ปล่อยข้อมูล โดย Ransomware.live ตรวจพบเมื่อ 11 ต.ค. 2569 เวลาราว 03:30 น. คำอ้างไม่ระบุขนาดหรือประเภทข้อมูล และยังไม่มีการชี้แจงจากกองทัพอากาศ ข้อมูลประกอบบนหน้าเดียวกันแสดงว่ามีรหัสผ่านที่ผูกกับโดเมน rtaf.mi.th หลุดผ่านมัลแวร์ infostealer กว่า 51,000 รายการ คำอ้างเกิดขึ้นหนึ่งวันก่อนเปิดประชุม IMF–ธนาคารโลกที่กรุงเทพฯ ซึ่ง สกมช. เฝ้าระวัง 24 ชั่วโมง ควรถือเป็นคำอ้างที่รอพิสูจน์ แต่ควรเร่งตรวจบัญชีที่รั่ว

บริษัท Flashpoint รายงานว่ามัลแวร์ขโมยข้อมูล CastleStealer ที่เขียนด้วย C# รุ่นใหม่ทะลวง App-Bound Encryption ของเบราว์เซอร์ตระกูล Chromium ได้ผ่านอินเทอร์เฟซ IElevator COM ของ Chrome ซึ่งรุ่นก่อนทำไม่ได้ และเพิ่มฟังก์ชัน remote shell ให้ผู้โจมตีสั่งคำสั่ง รันไฟล์ และดาวน์โหลดมัลแวร์อื่นได้ ข้อมูลที่ขโมยส่งออกเป็นชิ้นเล็กเข้ารหัส AES ผ่าน TCP เพื่อเลี่ยงทราฟฟิกพุ่ง มัลแวร์นี้แพร่ผ่าน ClickFix และโฆษณา Google ปลอมของ Node.js

บริษัท TrendAI เปิดเผย ASHVEIN มัลแวร์ .NET แบบ infostealer และ RAT ของกลุ่ม UAC-0099 ที่ฝักใฝ่รัสเซีย ใช้โจมตีเจ้าหน้าที่รัฐบาลยูเครน ASHVEIN ขโมยรหัสผ่านเบราว์เซอร์ จับภาพหน้าจอ ดึงไฟล์ และรัน PowerShell โดยซ่อนคำสั่งไว้ในองค์ประกอบ HTML ที่มองไม่เห็น การส่งมัลแวร์ใช้ DLL sideloading ไฟล์ VHD และ dropper ที่ปลอมเป็นเอกสารตอบกลับจากตำรวจแห่งชาติยูเครน TrendAI ชี้ว่าเป้าหมายขยายจากรัฐและทหารไปยังผู้ประกอบการขนส่งและโครงสร้างพื้นฐานพลเรือน

CERT-UA พบเว็บไซต์กว่า 100 แห่งถูกฝังจาวาสคริปต์แสดงหน้ายืนยัน Cloudflare ปลอม หลอกให้รันคำสั่งติดตั้ง MSI ที่ปล่อย LunexStealer หรือ Psychedelic Stealer กิจกรรมนี้ถูกโยงกับกลุ่ม UAC-0277 สคริปต์ดึงโดเมนและโหมดทำงานจากสัญญาอัจฉริยะบน Polygon หรือ Ethereum ตัวติดตั้งมี 3 แบบ รวมถึงแบบใช้ไดรเวอร์ AMD ที่มีช่องโหว่ปิดตาซอฟต์แวร์ความปลอดภัย มัลแวร์ยังฝังส่วนขยาย LUNARAXE ที่ขโมยคุกกี้ ลอก CSP และให้ผู้โจมตีคุมเบราว์เซอร์ได้

Microsoft Threat Intelligence พบ ClickFix รูปแบบใหม่ที่ใช้เว็บไซต์ถูกเจาะโหลดสคริปต์อันตรายเข้าแคชเบราว์เซอร์ล่วงหน้าโดยปลอมเป็นไฟล์ PNG เมื่อเหยื่อวางคำสั่งในหน้าต่าง Run คำสั่งจะค้นไฟล์แคชตามขนาดไบต์แล้วคัดลอกออกมารันเป็น VBScript วิธีนี้ทำให้คำสั่งที่เหยื่อเห็นสั้นและหลบข้อจำกัดราว 260 ตัวอักษรของหน้าต่าง Run ได้ ห่วงโซ่จบด้วย .NET assembly ที่ inject เข้า timeout.exe เพื่อขโมยข้อมูลรับรองในเบราว์เซอร์และเครื่อง Microsoft แนะนำให้ล่าพฤติกรรมจาก RunMRU และโปรเซสลูกของ WScript/PowerShell

บริษัท Checkmarx รายงานแคมเปญ MALFEX ที่เผยแพร่แพ็กเกจอันตรายบน npm มาตั้งแต่สิงหาคม 2566 มียอดดาวน์โหลดรวมกว่า 40,000 ครั้ง ผู้โจมตีปล่อยแพ็กเกจ 12 ตัว เป็นอันตราย 8 ตัว และยังติดตั้งได้อยู่ 3 ตัว ได้แก่ function-flag, function-color และ cdn-img-fetch แพ็กเกจ function-flag อันตรายมาตั้งแต่กรกฎาคม 2568 มียอดดาวน์โหลดกว่า 37,000 ครั้ง แต่ยังไม่มี advisory แจ้งเตือน แคมเปญส่ง Overlord RAT และตัวขโมยข้อมูล movinlike ผ่าน 3 เส้นทาง โดย payload ทำงานได้จริงเฉพาะบน Windows

ANSSI เผยแพร่รายงานชันสูตรเหตุขโมยข้อมูลภาษีของกรมสรรพากรฝรั่งเศส (DGFIP) ระบุว่าแฮ็กเกอร์ใช้รหัสผ่านพนักงานที่ถูก infostealer ขโมยเจาะพอร์ทัลที่ขอแค่รหัสผ่าน แล้วดูดข้อมูลผู้เสียภาษีบุคคลกว่า 350,000 รายและนิติบุคคลกว่า 250,000 ราย การโจมตีไม่ซับซ้อนแต่สำเร็จเพราะการป้องกันการล็อกอินอ่อน เครือข่ายไม่แยกส่วน และการเฝ้าระวังมีช่องโหว่ เหตุเกิดในเดือนมิถุนายนถึงกรกฎาคมแต่ถูกเปิดเผยเมื่อโจรประกาศเองในฟอรัมหลังผ่านไปเจ็ดสัปดาห์

บริษัท Ontinue เผยว่าอินโฟสตีลเลอร์ Psychedelic ที่แพร่ผ่านกล ClickFix เป็นส่วนหนึ่งของแพลตฟอร์มมัลแวร์ให้เช่า (MaaS) ชื่อ Lunex ห่วงโซ่โจมตี 4 ขั้นเริ่มจาก CAPTCHA ปลอมสู่การวาง C2 agent เต็มรูปแบบ จุดเด่นคือใช้ BYOVD ผ่านไดรเวอร์ AMD Radeon ที่มีช่องโหว่ CVE-2023-20598 เพื่อยกสิทธิ์และปิดตาเครื่องมือความปลอดภัยโดยไม่ปิดโปรเซส มัลแวร์ดูดรหัสผ่านจากเบราว์เซอร์ 7 ตัวและกระเป๋าคริปโต พร้อมตั้ง Native Messaging Host เข้าถึงไฟล์ระบบ ปัจจุบันพบแผงควบคุม 28 จุดใน 13 ประเทศ

Jamf Threat Labs เผย PamStealer มัลแวร์ขโมยข้อมูลบน macOS เวอร์ชันใหม่ที่ทำให้ payload หลักถอดรหัสได้เฉพาะผ่านการแลกกุญแจกับเซิร์ฟเวอร์เท่านั้น ทำให้วิเคราะห์แบบ static แทบไม่ได้ เวอร์ชันนี้ใช้เว็บปลอมชื่อ Wavel อ้างเป็นบริการกระเป๋าคริปโท ล่อเหยื่อดาวน์โหลดไฟล์ DMG ที่มี AppleScript ฝัง JXA dropper ติดตั้ง persistence สี่ชั้นและ git hook ตัวขโมยเขียนด้วย Swift ดักรหัสผ่านผ่านหน้าต่างแครชปลอม ดูด keychain และข้อมูลจากเบราว์เซอร์กว่าสิบตัว