Malware

นักวิจัย Cisco Talos เปิดเผยมัลแวร์ Windows ชื่อ CLOSEDQUORUM ที่รับคำสั่งจากการโหวตของโมเดล AI สูงสุด 4 ตัวแทนเซิร์ฟเวอร์ C2 ของแฮ็กเกอร์. โมเดลจะเลือกจาก 4 การกระทำ steal, inject, persist, move แล้วมัลแวร์ทำตามเสียงข้างมาก. มันดูดรหัสผ่าน Windows, เบราว์เซอร์ และกระเป๋าคริปโต ส่งออกผ่าน Discord webhook. Talos ยังไม่พบว่าทำงานครบวงจร และเวอร์ชันสาธารณะใช้งานไม่ได้. นับเป็น implant ตัวแรกที่มอบการตัดสินใจ C2 ให้ AI.

นักวิจัยของ LastPass และ Delphos Labs เปิดโปงตัวติดตั้ง LastPass Authenticator ปลอมบน GitHub ที่วางไดรเวอร์เคอร์เนล Windows เพื่อปิดแอนตี้ไวรัสและ EDR ก่อนรันโปรแกรมขโมยรหัสผ่าน ไดรเวอร์ถูกเซ็นผ่านโครงการ Microsoft Hardware Compatibility และไม่อยู่ในบัญชีบล็อก มันมีรายชื่อโปรเซสความปลอดภัย 145 รายการที่จะสั่งปิดจากระดับเคอร์เนล เทคนิคนี้เรียกว่า BYOVD จากนั้นตัวขโมยดูดรหัสผ่านจากเบราว์เซอร์ กระเป๋าคริปโต และเซสชัน LastPass ยืนยันว่าระบบและ vault ของบริษัทไม่ถูกแตะ

นักวิจัยจากบริษัท Checkmarx เปิดเผยแพ็กเกจ npm อันตรายชื่อ indexed-btree ที่ซ่อนพฤติกรรมอันตรายไว้ในโค้ดรันไทม์แทนการใช้ lifecycle script เพื่อเลี่ยงมาตรการใหม่ของ npm v12 แพ็กเกจถูกอัปโหลดตั้งแต่ 18 มิถุนายน 2569 มียอดดาวน์โหลดหลักล้านในเวลาสั้น และอาจทำกำไรผิดกฎหมายให้ผู้โจมตีราว 230,933 ยูโร (109 ETH) มัลแวร์ใช้เทคนิค EtherHiding ดึง payload ขั้นถัดไปจาก smart contract บน Sepolia testnet ขณะที่แคมเปญ PolinRider ที่โยงเกาหลีเหนือก็กลับมาโผล่บน Packagist อีกครั้ง

นักวิจัยจากบริษัท ReversingLabs เปิดเผยแพ็กเกจ npm อันตรายชื่อ tw-pkgprobe-7731 ที่ปลอมเป็นเครื่องมือวิจัยความปลอดภัยในโครงการ bug-bounty ของ Twilio ถูกอัปโหลด 11 เวอร์ชันรวดใน 45 นาทีเมื่อกลางเดือนสิงหาคม 2569 เมื่อรันจะตรวจว่าเป็นสภาพแวดล้อมนักพัฒนา Twilio ก่อน แล้วดูดตัวแปรสภาพแวดล้อมและข้อมูลระบบส่งออกผ่าน webhook เวอร์ชัน 1.0.4 เพิ่มการขโมย ACCOUNT_SID และ AUTH_TOKEN ซึ่งเป็นข้อมูลรับรองบัญชี Twilio โดยตรง โดย Twilio ยืนยันว่าลบแพ็กเกจออกแล้วและระบบไม่ถูกเจาะ

ทีม GReAT ของบริษัท Kaspersky เปิดเผยมัลแวร์หลายสเตจตัวใหม่ที่แพร่ผ่าน torrent หนังดังอย่าง The Odyssey หลังคลังไฟล์ torrent สาธารณะแห่งหนึ่งถูกยึดเป็นช่องทางส่ง payload มัลแวร์ใช้ loader ตรวจจับ sandbox ของแอนติไวรัส ฝังตัวถาวร และ bypass UAC เพื่อยกสิทธิ์ผู้ดูแลระบบบน Windows จุดเด่นคือใช้บล็อกเชน Solana ดึงที่อยู่เซิร์ฟเวอร์ C2 ทำให้ปิดโครงสร้างได้ยาก พบเหยื่อหลายร้อยรายในหลายประเทศ ทั้งภาคเอกชน รัฐ ไอที ค้าปลีก ขนส่ง และเกษตร โดยแคมเปญเริ่มตั้งแต่กลางเดือนสิงหาคมและยังดำเนินอยู่

นักวิจัย Securonix เปิดโปงแคมเปญใหม่ชื่อ TASK#STOMP ที่ปล่อยแบ็กดอร์ PowerShell เพื่อขโมยเอกสารธุรกิจ รหัส Wi-Fi และข้อมูลคลิปบอร์ดจากเครื่องเหยื่อ การติดเชื้อเริ่มจากไฟล์ VBScript บนเดสก์ท็อปที่สร้าง scheduled task ปลอมเป็นบริการระบบ แล้วรันโมดูล PowerShell สองตัวที่คอยเฝ้าไฟล์ จับภาพหน้าจอ และรับคำสั่งจากเซิร์ฟเวอร์ C2 สองแห่งแบบสำรอง มัลแวร์อาศัยเครื่องมือ Windows ในตัวเพื่อกลมกลืนกับกิจกรรมปกติและหลบการตรวจจับ

บริษัท Zscaler ThreatLabz เปิดโปงปฏิบัติการใหม่ของกลุ่ม APT36 (Transparent Tribe) กลุ่มภัยคุกคามฝั่งปากีสถาน ในชื่อ Operation RapidRust ที่พุ่งเป้าหน่วยงานรัฐและกลาโหมในอินเดียและอัฟกานิสถาน โดยใช้มัลแวร์ใหม่สี่ตระกูล ได้แก่ RUSTYSHADE, RUSTYMOVE, PSNATCH และ BASHNATCH จุดเด่นคือแบ็กดอร์ RUSTYSHADE ที่เขียนด้วย Rust และใช้ private GitHub repository เป็นช่องทางสั่งการ (C2) ผ่าน GitHub REST API พร้อมจดโดเมนเลียนแบบสำนักข่าวอินเดียเพื่อโฮสต์สคริปต์อันตราย

Group-IB เปิดโปง HEAVYGRAM แบ็กดอร์สอดแนม Windows ที่เปลี่ยน Telegram ให้เป็นศูนย์บัญชาการ ใช้บอต บัญชี และกลุ่มรับคำสั่ง ส่งข้อมูลที่ขโมย และควบคุมเครื่องที่ติด แทนการพึ่งเซิร์ฟเวอร์เฉพาะ มัลแวร์ถูกใช้มาตั้งแต่ปลายปี 2566 เล่นงานนักข่าว ผู้เห็นต่างอิหร่าน และผู้ที่มีจุดยืนต่อต้านรัฐบาลอิหร่าน นักวิจัยพบตัวอย่างเพิ่มอีก 29 ชิ้นและเชื่อมโยงปฏิบัติการกับกลุ่ม Handala Hack ด้วยความมั่นใจปานกลาง ความสามารถครอบคลุมการจับภาพหน้าจอ อัดเสียง และขโมยข้อมูล Telegram Desktop

บริษัท Lumen Black Lotus Labs เปิดเผยมัลแวร์ตระกูลใหม่ชื่อ BambooToken ที่ใช้โปรโตคอล MQTT เป็นช่องทางสั่งการควบคุมเครื่อง Windows และ Linux เคลื่อนไหวมาตั้งแต่กุมภาพันธ์ 2566 เล็งเป้าองค์กรทั่วเอเชียและอเมริกาใต้ อาศัยการ sideload DLL ผ่านซอฟต์แวร์โทเคน Tendyron OnKey และต้องสงสัยว่าเชื่อมโยงกับจีน พบเหยื่อในเวียดนาม มาเลเซีย สิงคโปร์ และกัมพูชา

ทีมวิจัย The DFIR Report เปิดเผยแคมเปญ SEO poisoning ขนาดใหญ่ชื่อ BengalSEO ที่ดำเนินการจากรัฐราชสถานของอินเดียมาตั้งแต่ปี 2558 ผ่านผู้ให้บริการไอทีสองรายคือ WeConnect Solutions และ Garage2Global กลุ่มนี้สร้างหน้าเว็บล่อที่ปลอมเป็นพอร์ทัลซัพพอร์ตและหน้าเปิดใช้งานบริการ แล้วดันขึ้นอันดับต้นบน Bing ด้วยเทคนิค Black Hat SEO ผู้ที่หลงกดจะถูกส่งผ่านระบบกระจายทราฟฟิกไปยังมัลแวร์ MayaBot ที่ปล่อยตัวขุดเหรียญ XMRig หรือถูกดันเข้าคอลเซ็นเตอร์ต้มตุ๋น