Malware

บริษัท Bitdefender เปิดโปง Midnight Mimosa มัลแวร์ที่ฝังมาในเฟิร์มแวร์มือถือ Android ราคาถูกที่ใช้ชิป MediaTek ตัวมัลแวร์เป็นแอประบบที่ลงนามด้วย platform key ผู้ใช้ถอนไม่ได้ และติดตั้ง/ลบแอปพร้อมให้สิทธิ์ได้เงียบ ๆ ช่วง 2 ปีพบเครื่องติดเชื้อหลายพันเครื่องในกว่า 150 ประเทศ เป้าหมายหลักคือโกงคลิกโฆษณาและขายเครื่องเป็น residential proxy นอกจากนี้ยังพบแอป 13 ตัวบน Google Play ที่มีโค้ดตระกูลเดียวกัน

เจ้าหน้าที่สหรัฐฯ จับกุมนาย Anibal Alexander Canelon Aguirre ชาวเวเนซุเอลาวัย 50 ปี ฉายา Prometheus ซึ่งเชื่อว่าเป็นผู้พัฒนามัลแวร์ ATM Ploutus และแกนนำปฏิบัติการ ATM jackpotting ของ Tren de Aragua เขาขึ้นศาลเมื่อ 2 ตุลาคม ให้การปฏิเสธ และถูกคุมขังระหว่างรอพิจารณาคดี เขาอยู่ในบัญชี 10 อันดับผู้ร้ายที่ FBI ต้องการตัวมากที่สุดตั้งแต่มีนาคม 2569 ในฐานะผู้ต้องหาคดีไซเบอร์รายแรก และเพิ่งถูกกระทรวงการคลังคว่ำบาตรเมื่อสัปดาห์ก่อน อัยการยืนยันภายหลังว่าหน่วยยามฝั่งจับตัวได้กลางทะเลเมื่อกันยายน

กระทรวงการคลังสหรัฐฯ คว่ำบาตรเครือข่ายของกลุ่ม Tren de Aragua ที่ใช้มัลแวร์ปล้นเงินจากตู้ ATM ทั่วสหรัฐฯ ด้วยเทคนิค jackpotting เชื่อมโยงกับความเสียหายที่รายงานไว้ 40.73 ล้านดอลลาร์จากเหตุกว่า 1,500 ครั้ง การคว่ำบาตรเมื่อ 30 กันยายน 2026 พุ่งเป้าบุคคล 8 ราย บริษัท 2 แห่ง และเพิ่มที่อยู่ TRON 7 รายการเข้าบัญชี SDN บริษัท TRM Labs พบว่าที่อยู่เหล่านี้รับเงินราว 6.1 ล้านดอลลาร์ตั้งแต่ปี 2022

นักวิจัยบริษัท Sucuri เปิดโปงแบ็กดอร์ WordPress ชื่อ SC ที่ออกแบบเป็น ‘โครงข่ายซ่อมแซมตัวเอง’ ฝังเพย์โหลดไว้อย่างน้อย 8 จุดพร้อมกันทั้งในไฟล์ ฐานข้อมูล และหน่วยความจำร่วม โดยแต่ละจุดสามารถสร้างจุดอื่นขึ้นใหม่ได้ ลบปลั๊กอินก็ถูก drop-in เขียนกลับ ล้างไฟล์ทั้งดิสก์ก็ถูกกู้จากฐานข้อมูลในการโหลดหน้าถัดไป มัลแวร์สั่งงานผ่านบล็อกเชน Ethereum สร้างบัญชีแอดมินซ่อน และฉีดสคริปต์ใส่ผู้เข้าชม พร้อมกันนี้ช่องโหว่ SQL injection ใน wpForo (CVE-2026-1581) ก็ถูกใช้โจมตีจริงแล้ว

Microsoft พบแคมเปญเว็บดาวน์โหลดซอฟต์แวร์ปลอมที่เลียนแบบผู้ผลิตชื่อดังและแจกตัวติดตั้งฝังมัลแวร์ ประเมินด้วยความมั่นใจปานกลางว่าเชื่อมโยงกลุ่ม Silver Fox (Yinhu) กระทบผู้ใช้พูดภาษาจีนเป็นหลัก ขณะที่ Pelagos Intel วิเคราะห์อีกสายหนึ่งที่ส่งข้อความ WhatsApp ธีมการเงินไปยังผู้รับในมาเลเซีย มัลแวร์สร้าง scheduled task ปิด Windows Update และลบสำเนากู้คืน ทั้งนี้ยังไม่มีหลักฐานยืนยันว่าสองสายเป็นการบุกรุกเดียวกัน

นักวิจัย OX Security พบกลุ่มแพ็กเกจ npm 101 ตัวที่ดักนักพัฒนาเข้าแคมเปญเพิ่มผู้ติดตามกลุ่ม WhatsApp ชื่อ PhantomSub โดยใช้โปรเจกต์โอเพนซอร์ส Baileys เพิ่มเหยื่อเข้ากลุ่มโดยไม่ยินยอม แพ็กเกจถูกดาวน์โหลดรวม 490,000 ครั้ง แบ่งเป็นสามสายพันธุ์ที่จัดการรายชื่อช่องต่างกัน กลุ่มและช่องที่ระบุได้ส่วนใหญ่เป็นของผู้ขายบอตในอินโดนีเซีย นักพัฒนาควรตรวจสอบว่าถูกเพิ่มเข้ากลุ่มหรือไม่และเลี่ยงแพ็กเกจที่ต้องเชื่อมต่อบัญชี WhatsApp ส่วนตัว

นักวิจัย G Data Software พบว่าผู้โจมตีซ่อนโค้ดอันตรายไว้ในส่วนแตกไฟล์ของตัวติดตั้งแบบ 7-Zip self-extracting โดยดัดแปลงโค้ดโอเพนซอร์สและแทรกการเรียก loader ก่อนแถบความคืบหน้าเริ่มทำงาน ตัวอย่างจัดอยู่ในตระกูล OpenSUpdater ที่ ESET เรียกชื่อนี้ ส่วน Microsoft เรียก Snackarcin ผู้โจมตีฝังตัวติดตั้ง foobar2000 ของจริงเพื่อให้แพ็กเกจดูน่าเชื่อถือ พร้อมใบรับรองที่มี padding ผิดปกติ งานวิจัยยังไม่ระบุจำนวนการติดเชื้อหรือแคมเปญการแพร่กระจาย

Jamf Threat Labs เผย PamStealer มัลแวร์ขโมยข้อมูลบน macOS เวอร์ชันใหม่ที่ทำให้ payload หลักถอดรหัสได้เฉพาะผ่านการแลกกุญแจกับเซิร์ฟเวอร์เท่านั้น ทำให้วิเคราะห์แบบ static แทบไม่ได้ เวอร์ชันนี้ใช้เว็บปลอมชื่อ Wavel อ้างเป็นบริการกระเป๋าคริปโท ล่อเหยื่อดาวน์โหลดไฟล์ DMG ที่มี AppleScript ฝัง JXA dropper ติดตั้ง persistence สี่ชั้นและ git hook ตัวขโมยเขียนด้วย Swift ดักรหัสผ่านผ่านหน้าต่างแครชปลอม ดูด keychain และข้อมูลจากเบราว์เซอร์กว่าสิบตัว

DCSO CyTec เผย Sauron Loader มัลแวร์ประเภท loader ที่พบในการโจมตีองค์กรเยอรมนี ใช้ DLL side-loading กับการถอดรหัสในหน่วยความจำเพื่อหลบการตรวจจับ มักมาท้ายห่วงโซ่โจมตีที่อาศัยกลลวง ClickFix หรือการโทรปลอมเป็นฝ่ายไอทีหลังถล่มอีเมลสแปม ตัวโหลดดึงและรันมัลแวร์เพิ่ม เก็บข้อมูลเครื่อง และส่งกลับเซิร์ฟเวอร์ควบคุมผ่าน HTTPS ที่เปลี่ยน path พร้อมตั้ง scheduled task เรียกซ้ำ ถูกโฆษณาขายในตลาดใต้ดินกลุ่มผู้ใช้ภาษารัสเซีย

นักวิจัยจาก Fortinet พบมัลแวร์ SectopRAT เวอร์ชันใหม่ซ่อนตัวอยู่ในซอฟต์แวร์เสียงดิจิทัลของแท้จากบริษัทสัญชาติอิตาลี โดยผู้โจมตีดัดแปลงไฟล์ FrameworkBase.dll ให้แอบโหลด payload หลังแอปถูกติดตั้งบนเครื่องเหยื่อแล้ว ไม่ได้เจาะผู้พัฒนาโดยตรง SectopRAT หรือ ArechClient2 เป็นมัลแวร์ .NET ที่รวมความสามารถควบคุมระยะไกลกับการขโมยข้อมูลไว้ด้วยกัน มีคำสั่งให้ทำงานได้ถึง 29 แบบ ผู้เชี่ยวชาญเตือนว่าองค์กรควรเฝ้าดูพฤติกรรมของแอปแทนที่จะเชื่อใจเพราะเป็นซอฟต์แวร์ที่ถูกกฎหมาย