Infostealer

นักวิจัยจาก Fortinet พบมัลแวร์ SectopRAT เวอร์ชันใหม่ซ่อนตัวอยู่ในซอฟต์แวร์เสียงดิจิทัลของแท้จากบริษัทสัญชาติอิตาลี โดยผู้โจมตีดัดแปลงไฟล์ FrameworkBase.dll ให้แอบโหลด payload หลังแอปถูกติดตั้งบนเครื่องเหยื่อแล้ว ไม่ได้เจาะผู้พัฒนาโดยตรง SectopRAT หรือ ArechClient2 เป็นมัลแวร์ .NET ที่รวมความสามารถควบคุมระยะไกลกับการขโมยข้อมูลไว้ด้วยกัน มีคำสั่งให้ทำงานได้ถึง 29 แบบ ผู้เชี่ยวชาญเตือนว่าองค์กรควรเฝ้าดูพฤติกรรมของแอปแทนที่จะเชื่อใจเพราะเป็นซอฟต์แวร์ที่ถูกกฎหมาย

บริษัท Arctic Wolf พบแคมเปญ ClickFix ที่กำลังเดินสายเจาะเว็บธุรกิจยูเครนของแท้ แล้ว inject หน้ายืนยันตัวตน Cloudflare ปลอมเพื่อหลอกให้เหยื่อรันคำสั่งใน Windows Run กล ClickFix ใช้ msiexec.exe ดึงตัวติดตั้ง MSI มาปล่อยอินโฟสตีลเลอร์ตัวใหม่ชื่อ Psychedelic ที่ดูดรหัสผ่านเบราว์เซอร์ โทเคนบัญชี และข้อมูลกระเป๋าคริปโต แผงควบคุมชื่อ Rublevka TDS บันทึกยอดคลิกจาก 32 ประเทศโดยเน้นยูเครนเป็นหลัก คาดว่าเป็นฝีมือผู้ปฏิบัติการที่พูดภาษารัสเซีย

นักวิจัย Cisco Talos เปิดเผยมัลแวร์ Windows ชื่อ CLOSEDQUORUM ที่รับคำสั่งจากการโหวตของโมเดล AI สูงสุด 4 ตัวแทนเซิร์ฟเวอร์ C2 ของแฮ็กเกอร์. โมเดลจะเลือกจาก 4 การกระทำ steal, inject, persist, move แล้วมัลแวร์ทำตามเสียงข้างมาก. มันดูดรหัสผ่าน Windows, เบราว์เซอร์ และกระเป๋าคริปโต ส่งออกผ่าน Discord webhook. Talos ยังไม่พบว่าทำงานครบวงจร และเวอร์ชันสาธารณะใช้งานไม่ได้. นับเป็น implant ตัวแรกที่มอบการตัดสินใจ C2 ให้ AI.

นักวิจัยของ LastPass และ Delphos Labs เปิดโปงตัวติดตั้ง LastPass Authenticator ปลอมบน GitHub ที่วางไดรเวอร์เคอร์เนล Windows เพื่อปิดแอนตี้ไวรัสและ EDR ก่อนรันโปรแกรมขโมยรหัสผ่าน ไดรเวอร์ถูกเซ็นผ่านโครงการ Microsoft Hardware Compatibility และไม่อยู่ในบัญชีบล็อก มันมีรายชื่อโปรเซสความปลอดภัย 145 รายการที่จะสั่งปิดจากระดับเคอร์เนล เทคนิคนี้เรียกว่า BYOVD จากนั้นตัวขโมยดูดรหัสผ่านจากเบราว์เซอร์ กระเป๋าคริปโต และเซสชัน LastPass ยืนยันว่าระบบและ vault ของบริษัทไม่ถูกแตะ

CrowdStrike เผยว่า PhantomRaven มัลแวร์ขโมยข้อมูลบน npm ถูกพัฒนาโดยผู้โจมตีที่คาดว่าใช้ LLM เขียนโค้ด ประเมินด้วยความมั่นใจสูงจากคอมเมนต์ยืดยาว โค้ด placeholder และรูปแบบการวิเคราะห์โทเคน มัลแวร์ถูกพบครั้งแรกปลายเดือนตุลาคม 2568 ในแคมเปญ typosquatting กว่า 100 แพ็กเกจ ขโมยโทเคน ความลับ CI/CD และข้อมูล GitHub ของนักพัฒนา จุดที่แปลกคือผู้โจมตีอ้างตัวเป็นนักล่าบั๊ก และใช้ข้อมูลที่ขโมยได้ไปเคลมเงินรางวัลจากโครงการ bug bounty

นักวิจัยพบกลุ่มแพ็กเกจ npm 13 ตัวที่ปล่อยสตีลเลอร์ JavaScript ตัวใหม่ชื่อ WeaselBiscuit ซึ่งมีฟังก์ชันทับซ้อนกับ BeaverTail และ OtterCookie สองมัลแวร์ในแคมเปญ Contagious Interview ของเกาหลีเหนือ แต่ตัวเล็กและเรียบง่ายกว่า มันถูกกระตุ้นผ่านการ import แพ็กเกจ ดึงมัลแวร์หลักจาก dead drop มารันในหน่วยความจำ แล้วดูดข้อมูลในที่เก็บของส่วนขยาย Chrome ทั้งบน Windows macOS และ Linux พร้อมบันทึกคลิปบอร์ดและคีย์บนเครื่อง Windows นักวิจัยยังไม่ฟันธงว่าเป็นฝีมือเกาหลีเหนือ

บริษัท Mandiant เปิดเผยเหตุที่ผู้โจมตียึดเซสชัน AI ช่วยเขียนโค้ดที่กำลังทำงานอยู่ของผู้ให้บริการ SaaS รายหนึ่ง แล้วปล่อย worm Shai-Hulud ลามไปยังรีโพภายในเกือบ 100 แห่ง ก่อนการลาม ผู้ช่วย AI ได้แนะนำซอฟต์แวร์ที่ผู้โจมตีวางยาไว้ และคำแนะนำนั้นถูกยอมรับ จากนั้นผู้โจมตีใช้เซสชันที่ยึดได้ติดตั้งอินโฟสตีลเลอร์ผ่านแพ็กเกจ PyPI ที่ถูกวางยา ขโมยโทเคน GitHub OAuth และซอร์สโค้ดกับความลับของรีโพ เหตุนี้เป็นสัญญาณว่าการโจมตีห่วงโซ่อุปทานกำลังขยับมาเล่นงานเครื่องมือพัฒนาที่มี AI ช่วย

Okta วิเคราะห์ข้อมูลจากอินโฟสตีลเลอร์ขนาด 7 GB ที่ถูกปล่อยบน Telegram เมื่อวันที่ 2 สิงหาคม 2569 ซึ่งมาจากเครื่องติดมัลแวร์ 5,871 เครื่องใน 162 ประเทศ และพบโทเค็นยืนยันตัวตนที่ยังไม่หมดอายุจำนวนมากของบริการอย่าง Google, Microsoft, Anthropic, Amazon, Cursor และ Character.ai ในจำนวน JWT ทั้งหมด 44,791 รายการมี 555 รายการที่เกี่ยวกับบริการ AI และมีโทเค็นที่ยังใช้ได้ในวันปล่อยข้อมูล 1,843 รายการ ซึ่งเล่นซ้ำเข้าบัญชีได้โดยข้ามทั้งรหัสผ่านและ MFA

นักวิจัยจาก Check Point Research แกะมัลแวร์ JSCeal ที่คอมไพล์เป็น V8 bytecode และซ้อนการพรางโค้ดหลายชั้นได้สำเร็จ มัลแวร์ขโมยคุกกี้ รหัสผ่าน และโทเคน OAuth จากเบราว์เซอร์ตระกูล Chromium หลายตัว แล้วนำคุกกี้ไปประกอบเซสชันขึ้นใหม่เพื่อสวมสิทธิ์บัญชี Google โดยข้ามการยืนยันตัวตน อีกทั้งยังติดตั้งพร็อกซีในเครื่องพร้อมออกใบรับรองเองเพื่อแก้ไขทราฟฟิกของ Binance Bybit และ Ledger แพร่กระจายผ่านโฆษณาปลอมที่อ้างชื่อแพลตฟอร์มเทรดคริปโต

บริษัท Elastic เผยแพร่รายงานเมื่อวันที่ 2 กันยายน 2569 ระบุพบโปรแกรม 4 ตัวที่โยงกับ REVSTEALER ซึ่งยังฝังอยู่ในเครื่องหลังตัวขโมยข้อมูลลบตัวเองทิ้ง โมดูลชื่อ LockAppHost ยกระดับสิทธิ์ผ่าน CMSTP แล้วปิดบริการ Windows Update 5 ตัวและใส่ข้อยกเว้นให้ Microsoft Defender ก่อนรันเครื่องขุดคริปโต อีกสามตัวขโมยกระเป๋าคริปโต สลับที่อยู่ในคลิปบอร์ด และเปลี่ยนเครื่องเหยื่อเป็นพร็อกซี มัลแวร์แพร่ผ่านโปรแกรมโกงเกมและซอฟต์แวร์ AI ปลอม