Malware

Symantec และ Carbon Black ของ Broadcom เปิดเผยว่า initial access broker ชื่อ Woodgnat (หรือ KongTuke) ที่เคลื่อนไหวตั้งแต่พฤษภาคม 2024 กำลังใช้ RAT ตัวใหม่ชื่อ Backdoor.Mistic โจมตีองค์กรหลายอุตสาหกรรมตั้งแต่เมษายน 2026 กลุ่มนี้เชื่อมโยงกับ ransomware อย่าง Qilin, Interlock, Rhysida, Akira, 8Base และ Black Basta ใช้เทคนิค ClickFix, FileFix และ Microsoft Teams หลอกให้เหยื่อรันคำสั่ง PowerShell

แคมเปญมัลแวร์ใหม่กระจายผ่าน WhatsApp โดยส่งไฟล์ VBScript ปลอมเป็นเอกสารการเงินจากบัญชีที่ถูกยึด เมื่อเหยื่อเปิดไฟล์จะดาวน์โหลดและติดตั้ง ManageEngine Endpoint Central แบบเงียบ เชื่อมต่อกับเซิร์ฟเวอร์ของผู้โจมตีเพื่อควบคุมเครื่องจากระยะไกล พบเหยื่อกระจายใน 11 ประเทศรวมถึงสิงคโปร์และมาเลเซีย พบร่องรอยเชื่อมโยงกับโครงสร้างพื้นฐานของ ValleyRAT และ Gh0st RAT

นักวิจัย XLab ของ QiAnXin พบมัลแวร์ตระกูลใหม่ AryStinger เปลี่ยนเราเตอร์บ้านเก่าอย่างน้อย 4,300 ตัวให้เป็นเครือข่ายสอดแนมและพร็อกซี ไม่ใช่บอตเน็ต DDoS ทั่วไป มันโจมตีเราเตอร์ชิป Realtek RTL819X ผ่าน CVE-2013-3307 และ CVE-2016-5681 และ QNAP NAS ผ่าน CVE-2025-11837 อุปกรณ์ติดมัลแวร์ทำหน้าที่สแกน ฟิงเกอร์พรินต์บริการ และซ่อนตำแหน่งผู้โจมตีจริงก่อนการบุกรุก

นักวิจัย BindingHook เปิดเผยว่าปฏิบัติการไซเบอร์ของจีนพัฒนาเป็นระบบนิเวศเชิงพาณิชย์ มีบริษัทเอกชน ผู้รับเหมา และนายหน้าข้อมูลร่วมกันทำจารกรรมให้หน่วยข่าวกรอง กลุ่มอย่าง Salt Typhoon, Flax Typhoon และ Volt Typhoon พึ่งพาชั้นพาณิชย์นี้ นักวิจัยเสนอกรอบ composite responsibility เอกสารรั่วของ I-Soon เผยการโจมตีรัฐบาลอย่างน้อย 14 ประเทศ บอตเน็ต Raptor Train เชื่อมโยง Integrity Tech

นักวิจัยพบแคมเปญมัลแวร์ขนาดใหญ่บน GitHub กว่า 10,000 repository ที่กระจายไฟล์ ZIP ฝังโทรจัน ผู้โจมตีโคลน repository จริงพร้อมประวัติ commit และโปรไฟล์ผู้ร่วมพัฒนาเพื่อสร้างความน่าเชื่อถือ แล้วแก้ไฟล์ README ให้ลิงก์ไปยังไฟล์ ZIP อันตราย ไฟล์แต่ละชิ้นมักไม่ถูกตรวจจับบน VirusTotal แต่เมื่อดาวน์โหลดทั้งชุดจะพบโทรจัน แคมเปญนี้ใช้มาตั้งแต่ต้นปี 2025 และเชื่อมโยงกับ SmartLoader และ StealC

แฮ็กเกอร์ใช้โฆษณา Google Ads ปลอมผลักดันตัวโหลดมัลแวร์ตัวใหม่ OXLOADER ที่ปลอมเป็นตัวติดตั้ง Node.js เล็งผู้ใช้ Windows ในสหรัฐ เพียงคลิกผลค้นหาแบบสปอนเซอร์ก็จะถูกเปลี่ยนทางผ่านโดเมนกลางไปดาวน์โหลดสคริปต์ batch อันตรายที่โฮสต์บนบริการคลาวด์ถูกกฎหมาย Elastic Security Labs พบแคมเปญนี้ส่ง infostealer ชื่อ CASTLESTEALER ที่ทำงานบนหน่วยความจำ มีอัตราการตรวจจับต่ำมาก

บริษัท Microsoft เปิดเผยรายละเอียดแคมเปญ Clipper malware บน Windows ที่โจมตีผู้ใช้มาตั้งแต่กุมภาพันธ์ 2569 แพร่กระจายผ่านไฟล์ LNK shortcut ใน USB drive โดย deploy Tor client แบบ portable เชื่อมต่อ C2 ผ่าน hidden service ตรวจจับ clipboard ทุก 500 มิลลิวินาทีเพื่อขโมย seed phrase, private key และแทนที่ wallet address ของเหยื่อ พร้อมถ่ายภาพหน้าจอส่งผ่าน Tor และรันโค้ดจากระยะไกลได้

แคมเปญมัลแวร์ใหม่ใช้หน้าเว็บธนาคารบราซิลปลอมที่สร้างด้วย AI ร่วมกับเทคนิค ClickFix หลอกเหยื่อรันคำสั่ง PowerShell ติดตั้ง SmartRAT ซึ่งเป็น remote access tool เขียนด้วย PowerShell ทั้งหมด สามารถดักจับ keystrokes, แย่งชิง QR code, แสดงหน้าธนาคารปลอมเต็มจอ และเข้าควบคุมเครื่องเหยื่อด้วยสิทธิ์ SYSTEM นักวิจัย Zscaler ยังพบว่า C2 panel สร้างด้วย AI เช่นกัน มีช่องโหว่ร้ายแรงที่ใครก็ bypass login ได้

ผู้โจมตีไม่ทราบตัวตนสร้างแคมเปญหลอกลวงขนาดใหญ่เผยแพร่มัลแวร์ประเภท crypto clipper ผ่าน GitHub, SourceForge และ YouTube โดยใช้รีวิวปลอม วิดีโอสอนที่ผู้บรรยายสร้างด้วย AI และคอมเมนต์บน VirusTotal เพื่อบิดเบือนความน่าเชื่อถือ มัลแวร์เขียนด้วย Rust โจมตีทั้ง Windows และ macOS แอบเปลี่ยนที่อยู่กระเป๋าคริปโตในคลิปบอร์ดเป็นของผู้โจมตี เหยื่อหลักคือนักลงทุนคริปโตและนักพนันออนไลน์ที่ค้นหาเครื่องมือลัด

หน่วยงานบังคับใช้กฎหมายจากเนเธอร์แลนด์ แคนาดา สหรัฐฯ และเยอรมนี ร่วมมือในปฏิบัติการ Operation Endgame ทำความสะอาดมัลแวร์ SocGholish จากเว็บไซต์ WordPress เกือบ 15,000 แห่ง และปิด server กับ domain กว่า 100 รายการที่เชื่อมโยงกับกลุ่มอาชญากรไซเบอร์รัสเซีย Evil Corp มัลแวร์ SocGholish หลอกผู้เยี่ยมชมเว็บไซต์ให้ดาวน์โหลด payload อันตรายโดยปลอมเป็นอัปเดตเบราว์เซอร์ เคยถูกใช้แพร่กระจาย Dridex, DoppelPaymer และมัลแวร์อื่นอีกหลายตระกูล