Infostealer

FBI จับกุมนาย Zyaire Wilkins วัย 21 ปี ชาวฟลอริดา ฐานสนับสนุนการแพร่มัลแวร์ผ่านเกมบนแพลตฟอร์ม Steam ที่ติดเครื่องเหยื่อราว 8,000 เครื่อง และขโมยคริปโตอย่างน้อย 220,000 ดอลลาร์จากกระเป๋าเงินราว 80 ใบ เกมชุดนี้รวมถึง BlockBlasters ที่เคยขโมยเงินบริจาครักษามะเร็งของสตรีมเมอร์ที่เสียชีวิตไปแล้ว มัลแวร์ขโมยรหัสผ่าน คุกกี้ และโทเคนบัญชีแล้วค้นหาช่องทางเข้าถึงบัญชีคริปโต สืบถึงตัวผู้ต้องหาได้จากบัตรของขวัญ Uber Eats ที่ซื้อด้วยคริปโต

บริษัท Microsoft ตรวจพบการโจมตีด้วยมัลแวร์ขโมยข้อมูล ACR Stealer พุ่งสูงขึ้นในกลุ่มลูกค้าองค์กร โดยระหว่างปลายเดือนเมษายนถึงกลางเดือนมิถุนายน ผู้โจมตีใช้กลลวง ClickFix ร่วมกับเซิร์ฟเวอร์ WebDAV และเครื่องมือ MSHTA ส่งเพย์โหลดเข้าเครื่องเหยื่อ มัลแวร์ตัวนี้เป็นบริการเช่าใช้ (MaaS) ที่เชื่อว่าเปลี่ยนชื่อมาจาก Amatera Stealer มุ่งขโมยรหัสผ่านในเบราว์เซอร์ โทเคนยืนยันตัวตน และเอกสารจาก OneDrive กับ SharePoint ขององค์กร

บริษัท Elastic Security Labs เปิดโปงแคมเปญ REF9403 ของแฮ็กเกอร์เกาหลีเหนือในเครือ Contagious Interview ที่ซ่อนมัลแวร์ด้วยเทคนิค Steganography ในไฟล์ภาพ SVG รูปธงชาติ ผู้โจมตีเข้าหาเหยื่อผ่านช่อง #jobs ใน Slack ชุมชนนักพัฒนา อ้างว่าจ้างงานแล้วส่งข้อสอบเขียนโค้ดที่ฝังมัลแวร์ไว้ เมื่อรันโปรเจกต์จะได้เพย์โหลด 4 ชั้นสอดคล้องกับ OtterCookie ทั้งขโมยรหัสผ่าน กระเป๋าคริปโต ไฟล์ และเปิดช่องควบคุมระยะไกล

บริษัท Group-IB เปิดโปง ClickLock มัลแวร์ขโมยข้อมูลบน macOS ตัวใหม่ที่ตอบโต้เหยื่อซึ่งไม่ยอมกรอกรหัสผ่านด้วยการสั่งปิดแอปวนซ้ำทุก 210 มิลลิวินาทีจนกว่าจะยอมพิมพ์รหัส มัลแวร์มาในรูปคำสั่งที่ให้วางลงเทอร์มินัลตามแนวทาง ClickFix เมื่อได้รหัสจะขโมย Keychain รหัสผ่านเบราว์เซอร์ และกระเป๋าคริปโต พบเป้าหมายกว่า 100 รายใน 33 ประเทศตั้งแต่พฤษภาคม กว่าครึ่งอยู่ในยุโรป

มัลแวร์ขโมยข้อมูล Destiny Stealer กำลังแพร่ระบาดเพิ่มขึ้นทั่วสหรัฐฯ และยุโรป โดยเครื่องที่ติดเพียงเครื่องเดียวก็เปิดเผยรหัสผ่าน คุกกี้เซสชัน ข้อมูล VPN ข้อมูล Outlook กระเป๋าเงินคริปโต โปรไฟล์ Wi-Fi และภาพหน้าจอเดสก์ท็อปได้ ที่น่ากังวลคือบางตัวอย่างไม่ถูกตรวจจับบน VirusTotal เลยตอนวิเคราะห์ ทำให้เสี่ยงลุกลามเป็นการยึดบัญชีหรือเหตุการณ์ใหญ่ก่อน SOC จะรับมือได้ ทีม ANY.RUN เผยห่วงโซ่การโจมตีและ IoC สำหรับตั้งรับ

บริษัท Elastic Security Labs เปิดเผยมัลแวร์โมดูลตัวใหม่ชื่อ TELEPUZ ที่แพร่ผ่านเว็บไซต์ติดกับดัก ClickFix ตั้งแต่ปลายเดือนเมษายน 2569 เป็นภัยตัวที่สองต่อจาก SCMBANKER ที่กระจายด้วยเทคนิคนี้ ห่วงโซ่เริ่มจาก PowerShell ดาวน์โหลด Vidar Stealer เวอร์ชัน Go แล้วปล่อย TELEPUZ ที่เขียนด้วยภาษา C มีเทคนิคหลบการวิเคราะห์ ยกสิทธิ์เป็น SYSTEM ฝังตัวเป็นบริการ และสื่อสาร C2 ผ่าน WebSocket

ทีม GReAT ของ Kaspersky เปิดโปงมัลแวร์เฟรมเวิร์กชื่อ OkoBot ที่ทำงานบน Windows มาตั้งแต่เมษายน 2568 โดยมีโมดูล SeedHunter ที่ฉีดหน้าฟิชชิงขอ recovery phrase เข้าไปในซอฟต์แวร์ Trezor Suite, Ledger Wallet และ Ledger Live ของแท้ที่เหยื่อติดตั้งเอง มัลแวร์รอจนเสียบอุปกรณ์จริงก่อนแสดงหน้าปลอม พบเหยื่อหลายร้อยรายใน 25+ ประเทศ แพร่ผ่าน ClickFix และซอฟต์แวร์ปลอมบน GitHub OkoBot มีเพย์โหลดกว่า 20 ตัว ทั้งขโมยข้อมูล บันทึกจอ และเปิด RDP ลับ

บริษัท Jscrambler เปิดเผยว่าผู้โจมตีเผยแพร่แพ็กเกจ npm เวอร์ชันอันตรายของบริษัท ครอบคลุมรุ่น 8.14, 8.16, 8.17 และ 8.20 โดยฝังมัลแวร์ขโมยข้อมูล (Infostealer) ที่ทำงานตอน preinstall hook แพ็กเกจนี้เปิดอยู่ราว 2 ชั่วโมงและถูกดาวน์โหลด 1,479 ครั้ง มัลแวร์ล้วงซอร์สโค้ด ข้อมูลรับรองนักพัฒนา คีย์คลาวด์ ค่าคอนฟิกเครื่องมือ AI และกระเป๋าคริปโต ต้นเหตุมาจากข้อมูลรับรองการเผยแพร่ npm ที่ถูกขโมย

นักวิจัยจาก Doctor Web เปิดเผยแบ็กดอร์ตัวใหม่ชื่อ Siggen (BackDoor.Siggen2.5906) ที่เจาะจงเป้าหมายไปที่นักพัฒนาซอฟต์แวร์ โดยแก้ไขโปรเจกต์ C++ และ C# เพื่อแพร่โค้ดอันตรายผ่านซอร์สโค้ดและแอปที่คอมไพล์แล้ว มัลแวร์ขโมยรหัสผ่าน คุกกี้เบราว์เซอร์ โทเคน Discord/Telegram และข้อมูลกระเป๋าคริปโต พร้อมติดตั้งโปรแกรมขุดเหรียญและเปิดรีโมตให้แฮ็กเกอร์ ซ่อนที่อยู่ C2 ไว้ในโปรไฟล์ Steam และไฟล์ GitHub สาธารณะ

บริษัท Blackpoint Cyber เปิดเผยเฟรมเวิร์กมัลแวร์แบบโมดูลาร์ใหม่ชื่อ Avalon ที่แพร่ผ่านห่วงโซ่ฟิชชิงหลายขั้นและหลบเลี่ยงการตรวจจับได้ Avalon รวมการขโมยข้อมูลรับรอง การเคลื่อนที่ในเครือข่าย การเข้าถึงระยะไกล การทำลายระบบกู้คืน และการเข้ารหัสเรียกค่าไถ่ไว้ในตัวเดียว โดยมีคอมโพเนนต์ ransomware ชื่อ CrownX พบร่องรอยว่าใช้ AI ช่วยพัฒนา สะท้อนว่า AI กำลังลดกำแพงการสร้างมัลแวร์ซับซ้อน