Macos

นาย Brad Duncan จาก SANS ISC รายงานแคมเปญ ClickFix ใหม่ที่ฝังสคริปต์จาก js-static[.]cfd ลงเว็บที่ถูกเจาะ ให้ผู้เข้าชมเห็นหน้าตรวจสอบ Cloudflare ปลอม หน้าปลอมแสดงคำสั่งต่างกันระหว่าง Windows กับ macOS แล้วหลอกให้ผู้ใช้วางคำสั่งรันเองนอกเบราว์เซอร์ ระหว่างทดสอบ เซิร์ฟเวอร์ตอบ 403 และโดเมนบางตัวไม่ resolve จึงยังไม่รู้ว่ามัลแวร์ปลายทางคืออะไร ทีมความปลอดภัยควรล่าทราฟฟิกไปยัง js-static[.]cfd แล้วเชื่อมกับการรันคำสั่งบนเครื่องผู้ใช้

TeamViewer ออกประกาศ TV-2026-1011 แก้ 3 ช่องโหว่ระดับสูงใน Full Client, Host และแอป Android ที่ใช้กับ TeamViewer Remote, Tensor และ ONE ช่องโหว่ 2 ตัวคะแนน 8.8 อยู่ในส่วนประมวลผลภาพหน้าจอ เครื่องปลายทางที่ประสงค์ร้ายหรือไฟล์บันทึกเซสชันที่สร้างมาเฉพาะจึงอาจทำให้แอปฝั่งผู้ควบคุมแครชหรือถูกรันโค้ด อีกตัวคะแนน 7.8 เปิดให้ผู้ใช้ในเครื่อง macOS ยกสิทธิ์เป็น root ผ่านตัวช่วยติดตั้ง TeamViewer ระบุว่ายังไม่พบการโจมตีจริง ผู้ดูแลควรอัปเดตเป็น 15.83 หรือรุ่น legacy ที่แก้แล้วทุกเครื่อง

Eye Security เปิดเผยปฏิบัติการ Operation IXIM ที่ส่งอัปเดตกว่า 2 ล้านครั้งไปยังเครื่องที่ไม่ใช่ของตัวเอง เพื่อปิด updater ของ Time4Popcorn ซึ่งเป็น Popcorn Time ฉบับที่ถูกทิ้ง updater นี้ติดต่อโดเมนที่หมดอายุผ่านช่องทางไม่เข้ารหัส และติดตั้งทุกอย่างที่ได้รับด้วยสิทธิ์สูงสุดโดยไม่ตรวจผู้ส่ง ช่องโหว่ CVE-2026-30612 คะแนน 9.8 กระทบ Windows ราว 2.5-3 ล้านเครื่องและ Mac 2.5-3.5 แสนเครื่อง ใครจดโดเมนเก่าได้ก็สร้างบอตเน็ตได้ทันที บริษัทแนะนำให้ถอนการติดตั้งแอป

Elastic Security Labs พบโครงการบ่มเพาะ Web3 ปลอมชื่อ Apex ใช้แพ็กเกจ npm อันตราย @apexacc/cli และ @apexacc/audit ล่อผู้ก่อตั้งสตาร์ทอัปคริปโตด้วยเครดิต AI ฟรี เครื่องมือเขียนโค้ด และบริการตรวจสัญญาอัจฉริยะ การรันแพ็กเกจปล่อยมัลแวร์ขโมยข้อมูลบน Windows และแบ็กดอร์ CloudSyncD บน macOS เครื่องมือ Apex Copilot ยังเปลี่ยนเส้นทางคำขอ AI และเพิ่มเซิร์ฟเวอร์ MCP ของผู้โจมตีเพื่อดูดโค้ดและบทสนทนา ส่วนเครื่องมือตรวจสัญญาทั้ง 18 ตัวคืนผลปลอมทั้งหมด

SOCRadar เปิดโปง ICMacOS หรือ Icarus macOS มัลแวร์ให้เช่าแบบสมัครสมาชิกที่ผู้ไม่หวังดีพูดภาษารัสเซียชื่อ GlowComa โฆษณาตั้งแต่ต้นกันยายน 2569 มัลแวร์แพร่ผ่านหน้า ClickFix ที่หลอกให้เหยื่อรันคำสั่งใน Terminal แล้วแสดงหน้าต่าง System Preferences ปลอมเพื่อขโมยรหัสผ่าน ก่อนตรวจกับ Keychain และใช้ไลบรารี keychainbreaker ถอดรหัสข้อมูล เวอร์ชัน 1 ขโมยข้อมูลเบราว์เซอร์ กระเป๋าคริปโต และข้อมูลรับรองนักพัฒนา เวอร์ชัน 2 กลายเป็น RAT ที่คงอยู่ผ่าน LaunchAgent และรับคำสั่ง shell ผ่าน WebSocket

Zscaler ThreatLabz พบ Terraform provider ปลอมชื่อ terraform-provider-awsbeta ที่แอบรันโค้ดอันตรายเมื่อ Terraform โหลดปลั๊กอิน แต่ยังทำงานแบบ provider ปกติ ตัวโหลดดึงไฟล์ฟอนต์ .woff ที่ซ่อนมัลแวร์เข้ารหัสตามระบบปฏิบัติการ ทั้ง Linux, macOS และ Windows มัลแวร์ FLATROOF ขโมยข้อมูลเบราว์เซอร์ คีย์เชน และกระเป๋าคริปโต ส่วน ROOFDECK หาที่อยู่ C2 ผ่าน Pastebin ที่มีลายเซ็น RSA และโปรไฟล์ Nostr Zscaler ชี้ว่าคล้าย TraderTraitor ของเกาหลีเหนือ แต่ยังไม่มีหลักฐานพอฟันธง

บริษัท Apple ประกาศเตรียมปรับสิทธิ์ Full Disk Access บน macOS ให้ต้องเปิดด้วยการกระทำที่ชัดเจนของผู้ใช้ เพราะมีนักพัฒนาใช้สิทธิ์นี้จนเปิดเผยไฟล์ อีเมล ข้อความ และประวัติเบราว์เซอร์โดยผู้ใช้ไม่เข้าใจครบ Apple ชี้ว่าความเสี่ยงจะเพิ่มขึ้นตามความสามารถของเอเจนต์ AI แต่ยังไม่บอกกำหนดเวลา ประกาศนี้ตามหลังกรณีเอเจนต์ Muse ของ Meta อ่าน iMessage ของนักข่าวหลังได้สิทธิ์ดังกล่าว นาย Patrick Wardle ยังรายงานช่องโหว่ CVE-2026-100754 ในแอป ChatGPT บน Mac ที่อาจถูกใช้ยึดผู้ช่วยและเข้าถึงประวัติแชต

บริษัท Apple ออกอัปเดตแก้ช่องโหว่ CVE-2026-86950 ใน CoreGraphics ที่ระบุว่าอาจถูกใช้ในการโจมตีแบบเจาะจงเป้าหมาย เป็น out-of-bounds write ที่นำไปสู่การรันโค้ดได้เมื่อประมวลผลไฟล์ที่สร้างขึ้นมาเป็นพิเศษ บริษัท Apple แก้ด้วยการปรับปรุงการตรวจสอบขอบเขต และให้เครดิต Meta Product Security ที่ค้นพบ กระทบ iOS/iPadOS ก่อน iOS 27 และ macOS Sequoia/Tahoe แก้แล้วใน iOS 26.7.1, iPadOS 26.7.1, macOS Tahoe 26.7.1 และ macOS Sequoia 15.8.1 ผู้ใช้ควรอัปเดตทันที

Jamf Threat Labs เผย PamStealer มัลแวร์ขโมยข้อมูลบน macOS เวอร์ชันใหม่ที่ทำให้ payload หลักถอดรหัสได้เฉพาะผ่านการแลกกุญแจกับเซิร์ฟเวอร์เท่านั้น ทำให้วิเคราะห์แบบ static แทบไม่ได้ เวอร์ชันนี้ใช้เว็บปลอมชื่อ Wavel อ้างเป็นบริการกระเป๋าคริปโท ล่อเหยื่อดาวน์โหลดไฟล์ DMG ที่มี AppleScript ฝัง JXA dropper ติดตั้ง persistence สี่ชั้นและ git hook ตัวขโมยเขียนด้วย Swift ดักรหัสผ่านผ่านหน้าต่างแครชปลอม ดูด keychain และข้อมูลจากเบราว์เซอร์กว่าสิบตัว

นักวิจัย Patrick Wardle เปิดโปงช่องโหว่ 0-day ในเอเจนต์ AI ชื่อ Muse ของ Meta บน macOS ที่เปิดทางให้มัลแวร์ซึ่งรันในสิทธิ์ผู้ใช้อยู่แล้วเข้ายึดผู้ช่วย ดักคำสั่งที่ผู้ใช้พูด inject คำสั่งอันตราย และขโมยข้อมูลยืนยันตัวตน ต้นเหตุคือค่าคอนฟิกที่ไม่มีเอกสาร endo_voyager_dictation_endpoint ที่โปรเซสสิทธิ์ต่ำแก้ไขได้ เพื่อเปลี่ยนเส้นทางทราฟฟิกไปเซิร์ฟเวอร์ผู้โจมตี ช่องโหว่นี้ทำหน้าที่ขยายสิทธิ์การเข้าถึงผ่านอำนาจที่ผู้ใช้มอบให้เอเจนต์