Loader

บริษัท Arctic Wolf พบแคมเปญฟิชชิงอ้างเอกสารศาลที่เล็งองค์กรในโคลอมเบียและส่งมัลแวร์ XWorm ผ่านสคริปต์ VBScript และ JavaScript ที่ซ่อนโค้ดหลายชั้น สคริปต์ถอดรหัส PowerShell แล้วโหลด DLL .NET ชื่อ RSG_UnityApp เข้าหน่วยความจำเพื่อฉีด XWorm เข้า RegAsm.exe DLL ตัวนี้ตรงกับเคสที่เชื่อมกับอังกฤษเมื่อ 10 กันยายน 2569 ทุกไบต์ แต่ payload และ C2 ต่างกัน Arctic Wolf ย้ำว่าหลักฐานยืนยันแค่การใช้ loader ซ้ำ ไม่ใช่ผู้โจมตีกลุ่มเดียวกัน ผู้ดูแลควรบล็อกการรันสคริปต์จากไฟล์แนบอีเมลและบล็อก C2 ใน IoCs

Forescout Vedere Labs เปิดเผย ROMULUS แพลตฟอร์มหลังบ้านที่ใช้ส่งมัลแวร์ผ่านกับดัก ClickFix และเชื่อมโยงกับแคมเปญที่ใช้ Custom GPTs ของ ChatGPT นักวิจัยพบ 6 IP ที่เปิดหน้าล็อกอินเดียวกันและวิเคราะห์ 2 เส้นทางการติดเชื้อ เส้นทางแรกติดตั้ง MSI ปลอมเป็นเครื่องมือ Stardock แล้วใช้ DLL sideloading โหลดตัวโหลดอันตราย เส้นทางที่สองดึงไฟล์บีบอัดเข้ารหัสซ้อนกันที่แตกออกมาเป็นไฟล์ขนาด 882 MB เพื่อหลบการสแกนก่อนโหลด LegionLoader เข้าหน่วยความจำ ยังไม่ทราบตัวตนผู้ควบคุม

นักวิจัย G Data Software พบว่าผู้โจมตีซ่อนโค้ดอันตรายไว้ในส่วนแตกไฟล์ของตัวติดตั้งแบบ 7-Zip self-extracting โดยดัดแปลงโค้ดโอเพนซอร์สและแทรกการเรียก loader ก่อนแถบความคืบหน้าเริ่มทำงาน ตัวอย่างจัดอยู่ในตระกูล OpenSUpdater ที่ ESET เรียกชื่อนี้ ส่วน Microsoft เรียก Snackarcin ผู้โจมตีฝังตัวติดตั้ง foobar2000 ของจริงเพื่อให้แพ็กเกจดูน่าเชื่อถือ พร้อมใบรับรองที่มี padding ผิดปกติ งานวิจัยยังไม่ระบุจำนวนการติดเชื้อหรือแคมเปญการแพร่กระจาย

DCSO CyTec เผย Sauron Loader มัลแวร์ประเภท loader ที่พบในการโจมตีองค์กรเยอรมนี ใช้ DLL side-loading กับการถอดรหัสในหน่วยความจำเพื่อหลบการตรวจจับ มักมาท้ายห่วงโซ่โจมตีที่อาศัยกลลวง ClickFix หรือการโทรปลอมเป็นฝ่ายไอทีหลังถล่มอีเมลสแปม ตัวโหลดดึงและรันมัลแวร์เพิ่ม เก็บข้อมูลเครื่อง และส่งกลับเซิร์ฟเวอร์ควบคุมผ่าน HTTPS ที่เปลี่ยน path พร้อมตั้ง scheduled task เรียกซ้ำ ถูกโฆษณาขายในตลาดใต้ดินกลุ่มผู้ใช้ภาษารัสเซีย

นักวิจัยพบโหลดเดอร์ประสงค์ร้ายหลายตัวที่โฮสต์อยู่บน Google Play โดยตรง ทำหน้าที่ปูทางให้มัลแวร์ธนาคารบนแอนดรอยด์ชื่อ Anatsa แอปที่ดูมีประโยชน์อย่างโปรแกรมอ่าน PDF จะแสดงหน้าต่างอัปเดตปลอมหลังเปิดใช้งาน แล้วใช้การอัปเดตนั้นเป็นเส้นทางติดตั้งมัลแวร์ตัวจริง ตัวอย่างที่ชื่อ Cleanova ส่งข้อมูลที่เก็บจาก SDK ไปยังเซิร์ฟเวอร์สั่งการเพื่อคัดกรองว่าจะส่งเพย์โหลดกลับมาหรือไม่ ทำให้การตรวจคัดกรองของร้านแอปทำได้ยากขึ้น

นักวิจัยจาก PolySwarm เปิดโปงมัลแวร์ loader ตัวใหม่ชื่อ SharkLoader ที่ซ่อนในตัวติดตั้งปลอมของ Cisco AnyConnect และ Google Update เพื่อส่ง Cobalt Strike Beacon กลุ่ม StrikeShark ใช้ทั้งเจาะช่องโหว่ Exchange, SharePoint, Fortinet, Cisco IOS XE และ dropper ปลอม อาศัย DLL side loading ผ่าน SystemSettings.exe รันในหน่วยความจำเพื่อหลบการตรวจจับ พบเหยื่อในหน่วยงานรัฐและคณะทูตหลายประเทศรวมถึงในเอเชีย