Malware

ผู้โจมตีไม่ทราบกลุ่มกำลังใช้ช่องโหว่ร้ายแรงสุด CVE-2026-48558 (CVSS 10.0) ใน SimpleHelp ซอฟต์แวร์ RMM เพื่อปล่อยมัลแวร์ใหม่ 2 ตระกูลคือ TaskWeaver และ Djinn Stealer ช่องโหว่เป็นการบายพาสการยืนยันตัวตนใน OpenID Connect ทำให้ผู้โจมตีปลอมโทเคนเข้าเป็น Technician ได้โดยไม่ต้องล็อกอิน Djinn Stealer ขโมยข้อมูลคลาวด์ ซอร์สโค้ด เครื่องมือ AI และกระเป๋าคริปโต CISA เพิ่มช่องโหว่นี้ในบัญชี KEV สั่งหน่วยงานรัฐบาลกลางแพตช์ภายใน 2 กรกฎาคม 2026

กระทรวงยุติธรรมสหรัฐยึดโดเมนเว็บไซต์เกือบ 400 โดเมนที่ใช้สตรีมการแข่งขัน FIFA World Cup 2026 อย่างผิดกฎหมาย ภายใต้ปฏิบัติการ Offsides ที่ประสานงานกับพันธมิตรนานาชาติ เป้าหมายคือเซิร์ฟเวอร์และโดเมนในเปรู บัลแกเรีย โครเอเชีย โรมาเนีย โปแลนด์ และโคลอมเบีย เจ้าหน้าที่เตือนว่าเว็บสตรีมเถื่อนไม่เพียงละเมิดลิขสิทธิ์ แต่ยังเปิดทางให้ผู้ชมเสี่ยงต่อมัลแวร์และการขโมยข้อมูลส่วนตัวและการเงิน

กลุ่ม UAC-0226 ใช้ไฟล์ WinRAR ที่ฝัง Alternate Data Streams (ADS) ซ่อนไฟล์อันตรายร่วมกับเอกสารล่อ ส่งมัลแวร์ขโมยข้อมูล GIFTEDCROOK ที่ดูดข้อมูลล็อกอิน คุกกี้ และเอกสารจากเบราว์เซอร์ Chrome, Edge, Opera และ Firefox แคมเปญพุ่งเป้าบุคลากรสายทหารยูเครน ใช้ obfuscated PowerShell และ reflective PE loading โหลด payload เข้าหน่วยความจำโดยไม่แตะดิสก์ ทำให้ตรวจจับยาก พร้อมตั้ง shortcut ใน Startup เพื่อคงอยู่ในระบบ

นักวิจัยจาก SentinelOne พบมัลแวร์ macOS ตัวใหม่ชื่อ Gaslight ที่เขียนด้วยภาษา Rust ทำหน้าที่เป็นทั้ง implant และ infostealer เชื่อว่าเป็นฝีมือกลุ่มที่เชื่อมโยงกับเกาหลีเหนือ จุดเด่นคือการฝังข้อความ system ปลอม 38 ข้อความเพื่อทำ prompt injection หลอกเครื่องมือ AI ให้ล้มเลิกการวิเคราะห์ มัลแวร์ใช้ Telegram bot เป็นช่อง C2 และขโมยข้อมูลจากเบราว์เซอร์ Keychain และประวัติคำสั่ง Terminal

นักวิจัยจาก LevelBlue พบแคมเปญ LokiBot ระลอกใหม่ มัลแวร์ขโมย credential ที่เก่าแก่ที่สุดตัวหนึ่งซึ่งยังทำงานอยู่ ใช้ไฟล์แนบอีเมล JScript เป็นจุดเริ่มต้น ตามด้วย PowerShell, .NET injector และ process injection เข้าสู่ aspnet_compiler.exe เพื่อหลบการตรวจจับ LokiBot ขโมย credential จากกว่า 100 แอป ทั้งเบราว์เซอร์ กระเป๋าคริปโต อีเมลไคลเอนต์ และ FTP แล้วบีบอัดส่งไป C2 ผู้ใช้และองค์กรเสี่ยงถูกยึดบัญชีและขโมยข้อมูล

นักวิจัยจาก JFrog Security Research พบ Shai-Hulud payload ที่พก Hades malware กลับมาอีกระลอก ฝังในแพ็กเกจ npm ที่พุ่งเป้านักพัฒนาสาย cloud และ serverless ขยายไปยังระบบนิเวศ Leo/RStreams ของ AWS เมื่อติดตั้งแพ็กเกจ payload จะขโมย credential จาก GitHub, npm, คลาวด์, CI/CD และ SSH ส่งไปยัง repository ของผู้โจมตี แพ็กเกจที่กระทบมียอดดาวน์โหลดราว 45,000 ครั้งต่อเดือน ใช้ไฟล์ binding.gyp ซ่อนโค้ดหลบ scanner

Zscaler เปิดเผยส่วนขยาย Microsoft Edge อันตรายชื่อ Edgecution ที่ถูกใช้ในการโจมตี ransomware เพื่อหลุดออกจาก sandbox ของเบราว์เซอร์และวาง backdoor ที่เขียนด้วย Python มัลแวร์อาศัยโปรโตคอล Chrome Native Messaging เป็นสะพานเชื่อมส่วนขยายกับแอปบนเครื่อง การโจมตีเริ่มจากผู้โจมตีปลอมเป็นทีม IT บน Microsoft Teams เชื่อว่าเป็นฝีมือ initial access broker ที่เชื่อมโยงกับกลุ่ม Payouts Kings

นักวิจัย Synaptic Security เปิดโปงมัลแวร์คลัสเตอร์ใหม่ชื่อ GhostShell (MB-0009) ที่พุ่งเป้าอุตสาหกรรมโดรนและซัพพลายเชนกลาโหมยูเครน ส่งผ่านไฟล์ RAR ปลอมเอกสารบริษัท Besomar ที่ใช้ช่องโหว่ CVE-2025-8088/6218 ฝัง 3 payload ใช้ mutual TLS, ช่อง Telegram เป็น dead-drop resolver และอุโมงค์เข้ารหัสส่ง Vidar v2 ทำงานปฏิบัติการมาตั้งแต่ ก.พ. 2026

Microsoft, Europol และพันธมิตรนานาชาติร่วมทลายโครงสร้างพื้นฐานของมัลแวร์ Amadey และ StealC ภายใต้ Operation Endgame ยึด 326 เซิร์ฟเวอร์ 142 โดเมน พบคริปโตเชื่อมโยงอาชญากรรมกว่า 41 ล้านยูโร และกู้คืนข้อมูลที่ถูกขโมยราว 27 ล้านรายการจากเครื่องที่ติดเชื้อกว่า 385,000 เครื่อง พร้อมเล่นงาน SocGholish (FakeUpdates) ในคราวเดียวกัน

นักวิจัย Unit 42 ของ Palo Alto Networks พบแคมเปญใหม่ที่ใช้ชุดโจมตี Browser-in-the-Browser (BitB) สร้างหน้าต่างเบราว์เซอร์ปลอมในเว็บเพจ พร้อมข้อความ error ซอฟต์แวร์ปลอม หลอกให้เหยื่อดาวน์โหลดไฟล์ติดตั้งที่จริงคือมัลแวร์ จุดเด่นคือไม่ขโมยรหัสผ่านแต่ผลักไฟล์ติดตั้งมุ่งร้ายลงเครื่องโดยตรง เครื่องมือความปลอดภัยเดิมตรวจจับยากเพราะเริ่มจากการโต้ตอบในเว็บเพจปกติ