Malware

บริษัท Arctic Wolf พบแคมเปญฟิชชิงอ้างเอกสารศาลที่เล็งองค์กรในโคลอมเบียและส่งมัลแวร์ XWorm ผ่านสคริปต์ VBScript และ JavaScript ที่ซ่อนโค้ดหลายชั้น สคริปต์ถอดรหัส PowerShell แล้วโหลด DLL .NET ชื่อ RSG_UnityApp เข้าหน่วยความจำเพื่อฉีด XWorm เข้า RegAsm.exe DLL ตัวนี้ตรงกับเคสที่เชื่อมกับอังกฤษเมื่อ 10 กันยายน 2569 ทุกไบต์ แต่ payload และ C2 ต่างกัน Arctic Wolf ย้ำว่าหลักฐานยืนยันแค่การใช้ loader ซ้ำ ไม่ใช่ผู้โจมตีกลุ่มเดียวกัน ผู้ดูแลควรบล็อกการรันสคริปต์จากไฟล์แนบอีเมลและบล็อก C2 ใน IoCs

บริษัท Socket พบเอ็กซ์เทนชัน Firefox อันตราย 3 ตัวที่สวมรอยกระเป๋าคริปโต Phantom, Jupiter และ Bitget บนร้าน Firefox Add-ons ทั้งชื่อ ไอคอน และคำโฆษณา โค้ดดักจับ recovery phrase และ private key ที่ผู้ใช้กรอกหรือวาง แล้วส่งไปยังโดเมนย่อยของ bonto.io ตัวปลอม Phantom ยังมี loader ที่ส่งโค้ดไม่อันตรายระหว่างรีวิวและส่งตัวขโมยหลังผ่าน รวมถึงปั่นรีวิวจาก 275 เป็น 546 ใน 2 วัน ทั้ง 3 ตัวถูกถอดแล้ว ผู้ที่กรอก recovery phrase ต้องสร้างกระเป๋าใหม่บนเครื่องที่สะอาดแล้วย้ายเงินทันที

บริษัท Trellix พบแคมเปญฟิชชิงภาษาเกาหลีที่ปลอมเป็นใบกำกับภาษีของ FedEx เล็งพนักงานฝ่ายบัญชี เพื่อติดตั้ง Sirius Backdoor สายพันธุ์ใหม่ ไฟล์แนบเป็น PDF หน้าเปล่าที่สั่ง PowerShell ถอดรหัสโค้ดหลายชั้นแล้วรันในหน่วยความจำ แทบไม่ทิ้งไฟล์บนดิสก์ มัลแวร์ปิด ETW เพื่อทำให้ EDR มองไม่เห็น ฉีดตัวเองเข้าโปรเซสที่เชื่อถือได้ และฝังกลไกให้อยู่รอดแม้รีเซ็ต Windows ผู้ดูแลระบบควรบล็อก Adobe Reader ไม่ให้สร้าง child process และเปิด Script Block Logging

GMO Internet ผู้ให้บริการ Onamae.com ยืนยันว่ามีผู้บุกรุกติดตั้งโปรแกรมอันตรายในสภาพแวดล้อมเซิร์ฟเวอร์ของลูกค้า Desktop Cloud เมื่อ 20 ตุลาคม 2569 บริษัททยอยปิดเซิร์ฟเวอร์ทุกแพ็กเกจและระบุว่า 26,739 เครื่องอาจได้รับผลกระทบ ข้อมูลในเครื่องอาจถูกเปิดดู บริการนี้นิยมใช้รันโปรแกรมเทรดฟอเร็กซ์อัตโนมัติ OANDA Japan จึงเตือนว่ารหัสเข้าใช้ MT4/MT5 อาจรั่ว ประกาศยังไม่ระบุชนิดมัลแวร์ ช่องทางเจาะ หรือ IoC และยังไม่มีกำหนดเปิดบริการ

นักวิจัยเปิดเผยเมื่อ 20 ตุลาคม 2569 ว่าผู้โจมตียึด Tor exit node 333 ตัว หรือราว 10% ของ exit relay ทั้งเครือข่าย แล้วเริ่มดักการเชื่อมต่อ SSH พร้อมกันเมื่อ 2 ตุลาคม ทราฟฟิกพอร์ต 22 ถูกส่งไปเซิร์ฟเวอร์ดักกลาง 12 เครื่อง ผู้ใช้ที่ไม่สนใจคำเตือน host key เปลี่ยนจะเสียรหัสผ่าน และถูกพยายามฝังแบ็กดอร์ Ebury 1.8.3 บนเซิร์ฟเวอร์ปลายทาง ทีม Tor ติดธง BadExit ภายใน 4 ตุลาคม และเซิร์ฟเวอร์ที่ติดเชื้อถูกปิดในวันที่ 5 ตุลาคม ยังไม่ทราบช่องทางเจาะและผู้อยู่เบื้องหลัง

Siemens ยืนยันว่าช่องโหว่ CVE-2026-110936 ใน Siemens Software Center ถูกใช้โจมตีจริงแล้ว ช่องโหว่เป็น DLL sideloading ที่โปรแกรมโหลดไฟล์ DLL จากโฟลเดอร์ของตัวเองโดยไม่ตรวจสอบ ผู้โจมตีพ่วงโปรแกรมแท้ที่มีลายเซ็นถูกต้องกับ DLL อันตรายในไฟล์ MSI แล้วแจกผ่านแคมเปญ ClickFix ของ ROMULUS Siemens ยืนยันว่าระบบและช่องทางอัปเดตของบริษัทไม่ถูกเจาะ แก้แล้วในเวอร์ชัน 4.0.9.8 ซึ่งอัปเดตอัตโนมัติเมื่อเปิดโปรแกรม

Netskope Threat Labs รายงานว่ามัลแวร์ XWorm RAT เพิ่มปลั๊กอินเชิงสอดแนมจนมี 46 ตัว ทั้งติดตามตำแหน่ง ดักเสียงไมโครโฟน และกล้องเว็บแคม ปลั๊กอิน HBrowser ให้ผู้โจมตีควบคุมเบราว์เซอร์ของเหยื่อแบบโต้ตอบ ใช้แท็บที่ล็อกอินไว้แล้วโดยไม่ต้องขโมยรหัสผ่านหรือผ่าน MFA ซ้ำ ไตรมาส 3 ปี 2569 พบเหตุตรวจจับ 1,236 ครั้งในลูกค้ากว่า 100 องค์กร มากกว่าปีก่อน 4 เท่า ราว 35% เป็นภาคการเงิน กิจกรรมพุ่งหลัง builder แบบแคร็กและซอร์สโค้ดรุ่น 6.4 หลุดสู่สาธารณะเมื่อปี 2568

CyberLeek ผู้ปล่อยคลิปเกม GTA 6 หลุดหลายระลอก ขู่จะปล่อยเกมเวอร์ชันเล่นได้ทั้งเนื้อเรื่อง หากเหรียญมีมบน Solana ของตนแตะมูลค่าตลาด 30 ล้านดอลลาร์ ทางออกเดียวที่เสนอให้ Take-Two คือส่งแผ่นเกมจริงพร้อมขอโทษต่อสาธารณะ ก่อนหน้านี้เพิ่งปล่อยคลิปเกมเพลย์ราว 25 นาทีที่มีเมนูนักพัฒนา ยังไม่มีหลักฐานยืนยันว่ามีบิลด์ที่เล่นได้จริง ขณะที่ไฟล์ปลอมอ้างเป็นบิลด์หลุดเริ่มแพร่บนเว็บทอร์เรนต์พร้อมมัลแวร์แล้ว

Morphisec พบแคมเปญส่งไฟล์ ZIP ผ่าน WhatsApp ปลอมเป็นเอกสารการเงินและภาษี ซึ่งติดตั้งมัลแวร์ VulcanRAT207.A จนได้สิทธิ์ SYSTEM บน Windows มัลแวร์ใช้เทคนิค PoolParty Variant 7 inject โค้ดเข้า process ของ Task Scheduler แล้วโหลด RAT ผ่าน DLL sideloading กับโปรแกรม VulkanInfo ที่มีลายเซ็นถูกต้อง ไดรเวอร์ GoFly64.sys ที่มีลายเซ็นถูกใช้ปิดโปรแกรมความปลอดภัยของ Baidu และ RAT คงอยู่ผ่าน scheduled task ชื่อ USOPrivate Kit ผู้ควบคุมบันทึกคีย์ จับภาพหน้าจอ และสร้างบัญชีแอดมินได้

บริษัท Flashpoint รายงานว่ามัลแวร์ขโมยข้อมูล CastleStealer ที่เขียนด้วย C# รุ่นใหม่ทะลวง App-Bound Encryption ของเบราว์เซอร์ตระกูล Chromium ได้ผ่านอินเทอร์เฟซ IElevator COM ของ Chrome ซึ่งรุ่นก่อนทำไม่ได้ และเพิ่มฟังก์ชัน remote shell ให้ผู้โจมตีสั่งคำสั่ง รันไฟล์ และดาวน์โหลดมัลแวร์อื่นได้ ข้อมูลที่ขโมยส่งออกเป็นชิ้นเล็กเข้ารหัส AES ผ่าน TCP เพื่อเลี่ยงทราฟฟิกพุ่ง มัลแวร์นี้แพร่ผ่าน ClickFix และโฆษณา Google ปลอมของ Node.js