Malware-as-a-Service

นักวิจัย Ovi เปิดโปง uCreator ชุดสปายแวร์แอนดรอยด์ให้เช่าที่ซ่อนโค้ดในสำเนาแอป Telegram และ WeChat ที่ถูกดัดแปลงซึ่งแจกนอก Google Play โค้ดรันด้วยสิทธิ์ของแอปจริง จึงอ่านแชตและเก็บรหัส 2FA ของ Telegram ไปยึดบัญชีและซ่อนเซสชันของผู้โจมตีได้ ส่วน Telegram ตรงกับ Baohuo ที่ Doctor Web พบติดกว่า 58,000 เครื่องในปี 2568 รวมถึงในอินโดนีเซีย ยังยืนยันจำนวนเหยื่อไม่ได้และพบโค้ดรองรับราว 20 แอป รวมถึง LINE, Zalo, GCash และ MoMo ผู้ใช้ควรติดตั้งแอปจากสโตร์ทางการเท่านั้นและตรวจลายเซ็นแอป

Varonis Threat Labs พบว่าผู้ขายมัลแวร์ขโมยข้อมูล StealC กลับมาพร้อม Stadia ซึ่งเป็น RAT แบบโมดูลที่โฆษณาขายเมื่อ 16 ตุลาคม 2569 Stadia รวมการขโมยข้อมูล หน้าจอซ่อน HVNC การรันคำสั่ง ตัวโหลดเพย์โหลด และการจัดการไฟล์ไว้ในตัวเดียว นักวิจัยพบโค้ด StealC อยู่ในตัว agent และบันทึกการอัปเกรดเป็นโมดูล StealC 3.5.0 ค่าบริการอยู่ที่ 300-900 ดอลลาร์ต่อเดือน ลูกค้า StealC เดิมได้ใช้แพ็กเกจสูงสุดฟรีหนึ่งเดือน

SOCRadar เปิดโปง ICMacOS หรือ Icarus macOS มัลแวร์ให้เช่าแบบสมัครสมาชิกที่ผู้ไม่หวังดีพูดภาษารัสเซียชื่อ GlowComa โฆษณาตั้งแต่ต้นกันยายน 2569 มัลแวร์แพร่ผ่านหน้า ClickFix ที่หลอกให้เหยื่อรันคำสั่งใน Terminal แล้วแสดงหน้าต่าง System Preferences ปลอมเพื่อขโมยรหัสผ่าน ก่อนตรวจกับ Keychain และใช้ไลบรารี keychainbreaker ถอดรหัสข้อมูล เวอร์ชัน 1 ขโมยข้อมูลเบราว์เซอร์ กระเป๋าคริปโต และข้อมูลรับรองนักพัฒนา เวอร์ชัน 2 กลายเป็น RAT ที่คงอยู่ผ่าน LaunchAgent และรับคำสั่ง shell ผ่าน WebSocket

บริษัท Cleafy เปิดโปงคอนโซลควบคุมเบื้องหลังมัลแวร์ธนาคารบนแอนดรอยด์ RatHat ที่ทำงานแบบ malware-as-a-service พบใช้งานเกือบ 100 ชุดตั้งแต่เมษายน 2026 คอนโซลรุ่นล่าสุดสั่ง Gemini ประเมินยอดเงินในบัญชีของเหยื่อจากข้อความ แล้วจัดกลุ่มเป็นเหยื่อมูลค่าสูงและปานกลางเพื่อเลือกเป้าที่คุ้มค่า คอนโซลยังเป็นเครื่องมือ build ที่สร้างและเซ็นแอปมุ่งร้าย เผยแพร่ขึ้น Amazon S3 อัตโนมัติ และ rebuild ใหม่ตามเวลาเพื่อหลบการตรวจด้วย hash ต่อยอดจากรายงานของ Zimperium ที่เปิดโปงฝั่งมัลแวร์ในเครื่องก่อนหน้านี้

นักวิจัย Qrator เปิดโปงบอตเน็ต Windows ตัวใหม่ชื่อ x47.c ที่ผู้โจมตีชื่อ WraithTools ขายเป็นบริการ ตั้งราคาแพ็กเกจเต็ม 950 ดอลลาร์ จุดเด่นคือใช้ xAI Grok เลือกวิธีคงการฝังตัวบนเครื่องเหยื่อ และมีโหมด AI API drain ที่ใช้คีย์ API ของเหยื่อยิงตรงไปยัง OpenAI/xAI เพื่อผลาญเครดิตที่จ่ายเงินไปแล้ว ตัวบอตยังทำ DDoS 18 วิธี ขโมย credential คุกกี้ โทเคน Discord และข้อมูลกระเป๋าเงินคริปโต

นักวิจัยจาก BlackFog วิเคราะห์ MedusaHVNC มัลแวร์โทรจันควบคุมระยะไกลที่ขายแบบ MaaS ผ่านเว็บและช่อง Telegram จุดเด่นคือโมดูล HVNC ที่เปิดเบราว์เซอร์ของแท้บนเดสก์ท็อป Windows ที่ซ่อนไว้ ทำให้ผู้ใช้มองไม่เห็นการทำงานเลย มัลแวร์ใช้เชนติดเชื้อ 5 ขั้น อาศัย wscript.exe และ charmap.exe ของแท้ พร้อมเข้ารหัสหลายชั้นทั้ง XOR และ ChaCha20 ก่อนติดต่อ C2 ที่ฝังไว้ตายตัว ผลลัพธ์คือ RAT ที่ซ่อนตัวและฝังตัวคงอยู่ได้อย่างแนบเนียน

Recorded Future เผยกลุ่มเบื้องหลังระบบ Golden Chickens (Venom Spider) กลับมาพร้อมมัลแวร์ใหม่ 4 ตระกูล ได้แก่ TinyEgg, ChonkyChicken, ChonkyChicken รุ่นโมดูลาร์ และ ChromEggscalator ที่ขโมยรหัสเบราว์เซอร์ กลุ่มนี้ติดตามในชื่อ TAG-195 เป็นผู้พัฒนา MaaS แบบหวังผลเงิน ใช้ ClickFix และ VenomLNK เป็นช่องทางแพร่ รุ่นโมดูลาร์รองรับ 14 โมดูลที่ดึงตามสั่งเพื่อลดร่องรอยการตรวจจับ

บริษัท Microsoft ตรวจพบการโจมตีด้วยมัลแวร์ขโมยข้อมูล ACR Stealer พุ่งสูงขึ้นในกลุ่มลูกค้าองค์กร โดยระหว่างปลายเดือนเมษายนถึงกลางเดือนมิถุนายน ผู้โจมตีใช้กลลวง ClickFix ร่วมกับเซิร์ฟเวอร์ WebDAV และเครื่องมือ MSHTA ส่งเพย์โหลดเข้าเครื่องเหยื่อ มัลแวร์ตัวนี้เป็นบริการเช่าใช้ (MaaS) ที่เชื่อว่าเปลี่ยนชื่อมาจาก Amatera Stealer มุ่งขโมยรหัสผ่านในเบราว์เซอร์ โทเคนยืนยันตัวตน และเอกสารจาก OneDrive กับ SharePoint ขององค์กร

นักวิจัยจากบริษัท Blackpoint Cyber เปิดโปงโทรจันควบคุมระยะไกล (RAT) ตัวใหม่ชื่อ LabubaRAT ที่เขียนด้วยภาษา Rust และปลอมตัวเป็นซอฟต์แวร์ NVIDIA ผ่านไฟล์ nvidia-sysruntime.exe มัลแวร์รับค่าตั้งค่า C2 ผ่านอาร์กิวเมนต์ตอนรัน ทำให้ไบนารีเดียวนำไปใช้ซ้ำได้หลายแคมเปญ รองรับการสื่อสารหลายช่องทางทั้ง HTTPS, WebView2 และ DNS tunneling สามารถสำรวจเครื่อง จับภาพหน้าจอ รันคำสั่ง และทำ proxy ทราฟฟิกได้ มีสัญญาณว่าถูกขายในรูปแบบ malware-as-a-service

ESET เปิดเผย BTMOB โทรจัน Android ที่เปิดให้เช่าแบบ malware-as-a-service พร้อม builder สร้างเพย์โหลดตามลูกฟิชชิงได้โดยไม่ต้องเขียนโค้ด มัลแวร์ขโมยข้อมูล ดักธุรกรรมการเงิน จับภาพหน้าจอ และควบคุมเครื่องระยะไกล ขายในช่อง Telegram ราคา 700 ดอลลาร์ต่อเดือนหรือ 5,000 ดอลลาร์ตลอดชีพ แพร่ผ่านเว็บปลอมเลียนแบบบริการสตรีมมิงและเหมืองคริปโต และใช้ Accessibility Services ยกระดับสิทธิ์ ปัจจุบันเคลื่อนไหวมากในบราซิลและละตินอเมริกา