Malvertising

แคมเปญที่ปลอมเป็นเครื่องมือ AI ยอดนิยมอย่าง Claude, ChatGPT และ GitHub Copilot เพิ่มขึ้นต่อเนื่อง โดยเล็งนักพัฒนาในองค์กรเป็นหลัก ผู้โจมตีใช้หน้าติดตั้งปลอมให้เหยื่อวางคำสั่งลงเทอร์มินัลเอง หรือที่เรียกว่า InstallFix เพื่อติดตั้งมัลแวร์ขโมยข้อมูล อีกเทคนิคคือ LLMshare ที่สร้างแชตหรือ artifact บนแพลตฟอร์ม AI จริงแล้วซื้อโฆษณาดึงคนเข้าไป ANY.RUN พบการวิเคราะห์ในแซนด์บ็อกซ์ที่โยงกับแคมเปญนี้ 1,258 รายการ ส่วน Push Security ระบุว่า InstallFix ธีม AI คิดเป็น 5-10% ของการตรวจพบรายเดือนและยังเพิ่มขึ้น

Citizen Lab เผยหลักฐานทางเทคนิคครั้งแรกว่าสปายแวร์รับจ้างถูกส่งเข้าอุปกรณ์จริงผ่านโฆษณาออนไลน์แบบเจาะกลุ่ม โดยเชื่อมโยงบริษัทโฆษณา Discover-Tech ของอิสราเอลกับผู้ผลิตสปายแวร์ Candiru อุปกรณ์ของ Al Jazeera อย่างน้อย 45 เครื่องถูกโจมตีแบบ zero-click ระหว่างปี 2567-2568 โค้ดในโฆษณาส่ง advertising ID และ IP กลับไปให้เซิร์ฟเวอร์คัดเลือกเป้าหมายก่อนส่งโค้ดโจมตี โฆษณาของบริษัทนี้ปรากฏในเว็บไซต์ 120,000 แห่งและแอป 75,000 แอป Google และ IAB Europe ถอดบริษัทออกแล้ว

บริษัท Flashpoint รายงานว่ามัลแวร์ขโมยข้อมูล CastleStealer ที่เขียนด้วย C# รุ่นใหม่ทะลวง App-Bound Encryption ของเบราว์เซอร์ตระกูล Chromium ได้ผ่านอินเทอร์เฟซ IElevator COM ของ Chrome ซึ่งรุ่นก่อนทำไม่ได้ และเพิ่มฟังก์ชัน remote shell ให้ผู้โจมตีสั่งคำสั่ง รันไฟล์ และดาวน์โหลดมัลแวร์อื่นได้ ข้อมูลที่ขโมยส่งออกเป็นชิ้นเล็กเข้ารหัส AES ผ่าน TCP เพื่อเลี่ยงทราฟฟิกพุ่ง มัลแวร์นี้แพร่ผ่าน ClickFix และโฆษณา Google ปลอมของ Node.js

บริษัท Bitdefender พบว่าคนร้ายใช้โครงการ Early Access ของ Google Play ปล่อยแอปหลอกลวงนับพันตัว ทั้งเกมคาสิโนปลอม แอปแจกรางวัล และแอปอรรถประโยชน์ที่ละเมิดเครื่องหมายการค้า จุดสำคัญคือแอปในโครงการนี้ผู้ใช้ให้ดาวหรือเขียนรีวิวสาธารณะไม่ได้ สัญญาณเตือนแรกสุดจึงหายไปทั้งหมด ตัวอย่างที่พบคือเกมเลียนแบบ Grand Theft Auto ที่มียอดดาวน์โหลดเกิน 1 ล้านครั้งโดยไม่มีรีวิวสักรายการ และแอปเหล่านี้ถูกโปรโมตผ่าน TikTok และ Facebook ด้วยโฆษณาที่ใช้ดีปเฟกคนดัง

นักวิจัยจาก Check Point Research แกะมัลแวร์ JSCeal ที่คอมไพล์เป็น V8 bytecode และซ้อนการพรางโค้ดหลายชั้นได้สำเร็จ มัลแวร์ขโมยคุกกี้ รหัสผ่าน และโทเคน OAuth จากเบราว์เซอร์ตระกูล Chromium หลายตัว แล้วนำคุกกี้ไปประกอบเซสชันขึ้นใหม่เพื่อสวมสิทธิ์บัญชี Google โดยข้ามการยืนยันตัวตน อีกทั้งยังติดตั้งพร็อกซีในเครื่องพร้อมออกใบรับรองเองเพื่อแก้ไขทราฟฟิกของ Binance Bybit และ Ledger แพร่กระจายผ่านโฆษณาปลอมที่อ้างชื่อแพลตฟอร์มเทรดคริปโต

บริษัท ThreatFabric เปิดเผยรายละเอียดโทรจันธนาคารบนแอนดรอยด์ตัวใหม่ชื่อ StreamRat ที่ถูกโปรโมตผ่านโฆษณาแอปดูทีวีปลอมบนแพลตฟอร์มของ Meta โดยเจาะกลุ่มผู้ใช้ที่พูดภาษาสเปนและเข้าถึงบัญชีในสหภาพยุโรปราว 570,950 บัญชี ตัวติดตั้งขอเป็นแอปหน้าโฮมและขอเปิด VPN ที่ตัดเน็ตของแอปอื่นระหว่างติดตั้งเพื่อลดโอกาสถูกตรวจสอบ เมื่อเหยื่อให้สิทธิ์ Accessibility ผู้ควบคุมจะดักแป้นพิมพ์ ซ้อนหน้าจอขโมยรหัส และสั่งงานเครื่องจากระยะไกลได้

บริษัท AllSecure เปิดเผยแคมเปญ malvertising บน macOS ที่เชื่อมโยงกับเกาหลีเหนือ ซึ่งเป็นวิวัฒนาการใหม่ของ Contagious Interview โดยเหยื่อคลิกผลค้นหาแบบสปอนเซอร์แล้วเจอหน้าอัปเดต macOS ปลอมเต็มจอที่แอบคัดลอกคำสั่งลงคลิปบอร์ดแล้วหลอกให้วางใน Terminal ตามเทคนิค ClickFix เพย์โหลดคือแบ็กดอร์ Node.js ที่ดึงที่อยู่เซิร์ฟเวอร์ควบคุมจากสัญญาอัจฉริยะ Ethereum แบบ EtherHiding แล้วโหลดตัวขโมยข้อมูลที่เล็งกระเป๋าคริปโต 157 ยี่ห้อ พร้อมส่วนขยาย Chrome ปลอมชื่อ Google Drive Offline สำหรับดูดเงินในกระเป๋า

บริษัท Arctic Wolf เปิดเผยว่าอาชญากรกำลังใช้หน้าจอกระเป๋าเงินคริปโต (Crypto Wallet) ปลอมและส่วนขยายเบราว์เซอร์อันตราย เพื่อขโมย recovery phrase ข้อมูลล็อกอิน และเซสชันเบราว์เซอร์ที่ใช้งานอยู่ กิจกรรมนี้เชื่อมโยงกับแคมเปญ CastleLoader ที่เริ่มจากตัวติดตั้งซอฟต์แวร์ปลอมและพรอมป์ต์แบบ ClickFix หลอกให้เหยื่อรันคำสั่ง PowerShell อันตราย เครื่องมือเด่นคือ NeedleStealer wallet spoofer ที่เขียนด้วยภาษา Rust เลียนแบบแอปกระเป๋า Ledger, Trezor และ Exodus เพื่อล่อให้เหยื่อกรอก recovery seed phrase

บริษัท Confiant เปิดโปงปฏิบัติการโฆษณาปลอม SourTrade ที่ปลอมเป็น TradingView, Solana และ Luno ล่อนักเทรดและนักลงทุนคริปโตใน 12 ประเทศ โดยไทยเป็นหนึ่งในเป้าหมายหลัก จุดเด่นคือหน้าเว็บไม่ส่งมัลแวร์สำเร็จรูป แต่ส่งชุดคำสั่งให้เบราว์เซอร์ดึงไฟล์ Bun runtime สะอาดมาประกอบเป็นมัลแวร์ในหน่วยความจำเอง ทำให้ไฟล์ทุกเครื่องต่างกันและหลบการตรวจจับด้วยแฮชได้ ปล่อยผ่านโฆษณา Google, Meta และ X ทำงานมาตั้งแต่ปลายปี 2567

บริษัท CTM360 เปิดเผยแคมเปญฟิชชิงที่เล็งภาคประกันภัย ซึ่งยกระดับจากการเก็บรหัสไว้ใช้ทีหลังเป็นการยึดบัญชีแบบเรียลไทม์ หน้าฟิชชิงทำตัวเป็นตัวกลางสด รีเลย์รหัส OTP ไปยังพอร์ทัลจริงก่อนหมดอายุจึงข้าม MFA ได้ ใช้โฆษณา Google เป็นช่องทางเริ่มต้น โฮสต์บนแพลตฟอร์มฟรีแบบใช้แล้วทิ้ง พบชุดฟิชชิงใหม่ InsureOTP Kit ที่จัดการเซสชันเหยื่อสดผ่าน Telegram Bot ซาอุดีอาระเบียเป็นเป้าหลัก