Infostealer

เหตุข้อมูลผู้ครอบครองรถยนต์รั่วไหลขยายวงกลายเป็นวิกฤตข้อมูลภาครัฐทั้งระบบ นายธนารัตน์ กัววัฒนาพันธ์ ซีอีโอบริษัท DomeCloud เข้าให้ปากคำตำรวจไซเบอร์เมื่อ 6 สิงหาคม 2569 ระบุพบข้อมูลคนไทยรั่วไหลกว่า 500,000 ราย ครอบคลุม 19 กระทรวงและสำนักนายกรัฐมนตรี โดยชี้ว่าต้นตอไม่ใช่การเจาะระบบแต่มาจากรหัสผ่านเจ้าหน้าที่ที่หลุดเพราะเครื่องติดมัลแวร์ขโมยข้อมูล ขณะที่ผลตรวจเบื้องต้นของรัฐบาลระบุพบผู้ถูกสืบค้นข้อมูลราว 800 ราย พร้อมสั่งให้ระบบภาครัฐใช้การยืนยันตัวตนหลายชั้นภายใน 30 วัน

นักวิจัยพบแพ็กเกจประสงค์ร้ายเกือบ 800 รายการบน npm ที่ตั้งชื่อสุ่มเลียนแบบชื่อที่ AI มักมโนขึ้นมา แต่ไม่ใช้ lifecycle hook อย่าง preinstall กลับใส่ README สั่งให้นักพัฒนาเรียกใช้ผ่าน require() ปลายทางคือดาวน์โหลดเดอร์ WEL1DROPPER ที่เลือก payload ตามระบบปฏิบัติการและสถาปัตยกรรมซีพียู โดยดึงจาก Cloudflare Workers และสำรองด้วย DNS TXT เมื่อ HTTPS ล้มเหลว ตัวอย่างบน Windows แพตช์ ETW และ AMSI ส่วนบน Linux ปิดท้ายด้วยเฟรมเวิร์ก Sliver

นาย Connor Riley Moucka วัย 26 ปี ชาวแคนาดา รับสารภาพต่อศาลรัฐบาลกลางเมืองซีแอตเทิลในความผิดฉ้อโกงคอมพิวเตอร์ ฉ้อโกงทางสาย และการโจรกรรมอัตลักษณ์ระดับร้ายแรง จากการเจาะบัญชีลูกค้าของแพลตฟอร์ม Snowflake เมื่อปี 2567 ซึ่งกระทบองค์กรอย่างน้อย 165 แห่งและข้อมูลของผู้คนอย่างน้อย 100 ล้านราย ต้นเหตุคือรหัสผ่านที่ถูกมัลแวร์ขโมยข้อมูลดูดไปตั้งแต่หลายปีก่อนแล้วไม่เคยถูกเปลี่ยน และบัญชีเหล่านั้นปิดการยืนยันตัวตนหลายชั้นไว้ ไม่ใช่ช่องโหว่ของแพลตฟอร์ม

โครงการ Arch Linux ระงับการรับช่วง (adopt) แพ็กเกจบน AUR ชั่วคราว หลังพบคลื่นยึดแพ็กเกจเพื่อฝังมัลแวร์ตั้งแต่วันที่ 29 กรกฎาคม 2569 เริ่มจาก openconnect-sso การติดเชื้อมีสองขั้น ขั้นแรกเป็นโหลดเดอร์ที่ตรวจจับแซนด์บ็อกซ์และฝังตัวผ่าน systemd กับ cron ขั้นที่สองเป็นอินโฟสตีลเลอร์ภาษา Rust ที่ขโมยรหัสผ่านเบราว์เซอร์ กระเป๋าคริปโท กุญแจ SSH และคีย์ API ของบริการ AI พร้อมสั่งงานระยะไกลผ่าน Tor และแพร่ตัวเองด้วยกุญแจ SSH ที่ขโมยมา มีรายงานว่าลามเกิน 200 แพ็กเกจแต่ยังไม่มีการยืนยันอิสระ

บริษัท AllSecure เปิดเผยแคมเปญ malvertising บน macOS ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งเป็นวิวัฒนาการใหม่ของ Contagious Interview โดยเหยื่อคลิกผลค้นหาแบบสปอนเซอร์แล้วเจอหน้าอัปเดต macOS ปลอมเต็มจอที่แอบคัดลอกคำสั่งลงคลิปบอร์ดแล้วหลอกให้วางใน Terminal ตามเทคนิค ClickFix เพย์โหลดคือแบ็กดอร์ Node.js ที่ดึงที่อยู่เซิร์ฟเวอร์ควบคุมจากสัญญาอัจฉริยะ Ethereum แบบ EtherHiding แล้วโหลดตัวขโมยข้อมูลที่เล็งกระเป๋าคริปโต 157 ยี่ห้อ พร้อมส่วนขยาย Chrome ปลอมชื่อ Google Drive Offline สำหรับดูดเงินในกระเป๋า

บริษัท Arctic Wolf เปิดเผยว่าอาชญากรกำลังใช้หน้าจอกระเป๋าเงินคริปโต (Crypto Wallet) ปลอมและส่วนขยายเบราว์เซอร์อันตราย เพื่อขโมย recovery phrase ข้อมูลล็อกอิน และเซสชันเบราว์เซอร์ที่ใช้งานอยู่ กิจกรรมนี้เชื่อมโยงกับแคมเปญ CastleLoader ที่เริ่มจากตัวติดตั้งซอฟต์แวร์ปลอมและพรอมป์ต์แบบ ClickFix หลอกให้เหยื่อรันคำสั่ง PowerShell อันตราย เครื่องมือเด่นคือ NeedleStealer wallet spoofer ที่เขียนด้วยภาษา Rust เลียนแบบแอปกระเป๋า Ledger, Trezor และ Exodus เพื่อล่อให้เหยื่อกรอก recovery seed phrase

บริษัท Confiant เปิดโปงปฏิบัติการโฆษณาปลอม SourTrade ที่ปลอมเป็น TradingView, Solana และ Luno ล่อนักเทรดและนักลงทุนคริปโตใน 12 ประเทศ โดยไทยเป็นหนึ่งในเป้าหมายหลัก จุดเด่นคือหน้าเว็บไม่ส่งมัลแวร์สำเร็จรูป แต่ส่งชุดคำสั่งให้เบราว์เซอร์ดึงไฟล์ Bun runtime สะอาดมาประกอบเป็นมัลแวร์ในหน่วยความจำเอง ทำให้ไฟล์ทุกเครื่องต่างกันและหลบการตรวจจับด้วยแฮชได้ ปล่อยผ่านโฆษณา Google, Meta และ X ทำงานมาตั้งแต่ปลายปี 2567

นักวิจัยจากบริษัท Varonis พบมัลแวร์ Remote Access Trojan ตัวใหม่ชื่อ Dolphin X ที่โฆษณาขายในฟอรัมอาชญากรรมไซเบอร์ จุดเด่นคือฟีเจอร์ AI Profiler ที่วิเคราะห์ข้อมูลจากเครื่องเหยื่อแล้วให้คะแนนความเสี่ยงและจัดอันดับว่าเหยื่อรายใดมีมูลค่าสูงควรโจมตีก่อน แผงควบคุมระบุความสามารถ 329 ฟีเจอร์ใน 10 หมวด และขโมยข้อมูลจากแอปกว่า 300 ตัว ทั้งเบราว์เซอร์ กระเป๋าคริปโต โปรแกรมจัดการรหัสผ่าน และเครื่องมือคลาวด์ อย่างไรก็ตาม Varonis วิเคราะห์จากแผงควบคุมและ builder เท่านั้น ยังไม่ได้รันตัวอย่างจริง

Recorded Future เผยกลุ่มเบื้องหลังระบบ Golden Chickens (Venom Spider) กลับมาพร้อมมัลแวร์ใหม่ 4 ตระกูล ได้แก่ TinyEgg, ChonkyChicken, ChonkyChicken รุ่นโมดูลาร์ และ ChromEggscalator ที่ขโมยรหัสเบราว์เซอร์ กลุ่มนี้ติดตามในชื่อ TAG-195 เป็นผู้พัฒนา MaaS แบบหวังผลเงิน ใช้ ClickFix และ VenomLNK เป็นช่องทางแพร่ รุ่นโมดูลาร์รองรับ 14 โมดูลที่ดึงตามสั่งเพื่อลดร่องรอยการตรวจจับ

เครือร้านอาหารฟาสต์ฟู้ด Chick-fil-A ของสหรัฐฯ เปิดเผยเหตุข้อมูลรั่วจากการโจมตีแบบ credential stuffing ที่เล็งบัญชีโปรแกรมสะสมแต้ม Chick-fil-A One ระหว่างวันที่ 17-19 มิถุนายน 2569 ผู้โจมตีใช้ชุดชื่อผู้ใช้และรหัสผ่านที่ได้จากแหล่งอื่นมาสวมล็อกอิน ทำให้เข้าถึงชื่อ อีเมล เลขสมาชิก เลขบัตรเครดิตบางส่วน และยอดคงเหลือในบัญชี คาดว่ามีผู้ได้รับผลกระทบหลักพันถึงหลักหมื่นราย บริษัทได้บังคับล็อกเอาต์ รีเซ็ตรหัสผ่าน และคืนยอดที่ถูกขโมยแล้ว