Keychain

SOCRadar เปิดโปง ICMacOS หรือ Icarus macOS มัลแวร์ให้เช่าแบบสมัครสมาชิกที่ผู้ไม่หวังดีพูดภาษารัสเซียชื่อ GlowComa โฆษณาตั้งแต่ต้นกันยายน 2569 มัลแวร์แพร่ผ่านหน้า ClickFix ที่หลอกให้เหยื่อรันคำสั่งใน Terminal แล้วแสดงหน้าต่าง System Preferences ปลอมเพื่อขโมยรหัสผ่าน ก่อนตรวจกับ Keychain และใช้ไลบรารี keychainbreaker ถอดรหัสข้อมูล เวอร์ชัน 1 ขโมยข้อมูลเบราว์เซอร์ กระเป๋าคริปโต และข้อมูลรับรองนักพัฒนา เวอร์ชัน 2 กลายเป็น RAT ที่คงอยู่ผ่าน LaunchAgent และรับคำสั่ง shell ผ่าน WebSocket

บริษัท iVerify เปิดเผย P7 DarkSword ชุดเจาะ iOS รุ่นใหม่ที่ลดร่องรอยบนเครื่อง ขโมย keychain และกระเป๋าคริปโต และรับคำสั่งจาก C2 ทุก 15 วินาที Report URI พบชุดเจาะนี้แพร่ผ่านโดเมน ecomtrack[.]io ของสตาร์ตอัปที่ปิดตัวแล้วถูกจดใหม่ ขณะที่แท็กยังฝังอยู่บนร้านค้าออนไลน์ Censys พบโฮสต์ 5 แห่งที่เก็บ DarkSword และ Coruna พร้อมแผงตัวแทนจำหน่ายภาษาจีน ชุดเจาะใช้ CVE-2025-24201 และ CVE-2025-31200 ที่เพิ่งถูกระบุว่าอยู่ในชุดนี้ ผู้ใช้ iPhone ควรอัปเดต iOS เป็นเวอร์ชันล่าสุด

ทีม Microsoft Defender Experts โยงเว็บโดเมนกว่า 30 รายเข้ากับ MacSync Stealer มัลแวร์ขโมยข้อมูลบน macOS ด้วยการจับคู่พฤติกรรมที่ซ้ำกันทั้งฝั่งเครื่องปลายทางและฝั่งเครือข่าย แทนการไล่ตามที่อยู่ที่เปลี่ยนตลอด รายงานยืนยันว่ามีการดูดข้อมูลออกจริงไม่ใช่แค่การติดต่อ C2 โดยมัลแวร์กวาดทั้ง Keychain ข้อมูลรับรองเบราว์เซอร์ กุญแจ SSH ข้อมูลรับรอง AWS และไฟล์ตั้งค่า Kubernetes ก่อนอัดเป็นไฟล์บีบและส่งออกทีละก้อน Microsoft ไม่เปิดเผยจำนวนเหยื่อและไม่ระบุชื่อกลุ่มผู้อยู่เบื้องหลัง

บริษัท Jamf พบมัลแวร์ขโมยข้อมูลบน macOS ตัวใหม่ชื่อ AmnesiaStealer เขียนด้วยภาษา Rust แพร่ผ่านหน้าดาวน์โหลด GitHub ปลอมด้วยเทคนิค ClickFix ติดเชื้อ 3 ขั้นตั้งแต่สคริปต์เชลล์จนถึงโมดูลควบคุมเบราว์เซอร์จากระยะไกล มัลแวร์หลอกขอรหัสผ่านเครื่อง คัดลอก keychain และดูดข้อมูลจากเบราว์เซอร์ตระกูล Chromium 6 ตัว จุดเด่นคือเขียนทับคีย์ Safe Storage ด้วยค่าของผู้โจมตีจนรหัสผ่านเดิมกู้ไม่ได้ และโมดูล stream ที่ใช้ Chrome DevTools Protocol เปิดเบราว์เซอร์ headless ให้ผู้โจมตีคุมเซสชันสด

บริษัท Huntress พบแคมเปญ ClickFix ที่หลอกผู้ใช้ macOS วางคำสั่งใน Terminal เพื่อติดตั้งมัลแวร์ขโมยข้อมูลที่เขียนด้วยภาษา Go ซึ่งกวาดรหัสผ่านในเบราว์เซอร์ ข้อมูล iCloud Keychain และข้อมูลรับรองที่แคชไว้ จุดที่ต่างจากตัวอื่นคือฟังก์ชัน DRAIN ที่ตรวจยอดในกระเป๋าคริปโตแล้วโอนออกได้ทั้งก้อนหรือเพียงบางส่วน โดยมีฟังก์ชันแยกคำนวณว่า 1 เปอร์เซ็นต์ของยอดคิดเป็นเท่าไรในแต่ละสกุล เซิร์ฟเวอร์แจกเพย์โหลดและ C2 โยงกับ Aeza Group ผู้ให้บริการโฮสต์กันกระสุนของรัสเซียที่ถูกคว่ำบาตร

CyberProof เปิดเผยรายละเอียดแคมเปญ Amos Stealer ที่เล็งเป้ามัลแวร์ขโมยข้อมูลบน macOS ดึงรหัสผ่านจาก Keychain, cookie และ autofill จาก Chrome และ Edge ใช้ curl ดาวน์โหลด payload แบบเงียบเชียบ บีบอัดข้อมูลด้วย ditto แล้วส่งออกผ่าน HTTP PUT พร้อม retry สูงสุด 8 ครั้ง