Microsoft-Defender

Cofense พบแคมเปญฟิชชิงที่แอบอ้างเป็นคำเชิญทดลองเครื่องมือ AI ใหม่ของ Anthropic เพื่อขโมยบัญชี Google และ Microsoft มาตั้งแต่กันยายน 2569 อีเมลส่งจากที่อยู่จริงของ GoTo Webinar ย่อลิงก์ผ่าน Zapier และพาไปหน้า Zoom ปลอมที่มี CAPTCHA 2 ชั้นกันเครื่องสแกน แม้อีเมลจะมีจุดผิดชัดเจนแต่ยังหลุดผ่าน Proofpoint SEG และ Microsoft Defender for Office 365 Cofense ยืนยันไม่ได้ว่าใช้ AI สร้างแต่ชี้ว่าน่าจะใช่ ผู้ดูแลควรใช้ MFA แบบต้านฟิชชิงและเฝ้าระวังการล็อกอินผิดปกติ

Zscaler พบ ArmorSteal มัลแวร์ตระกูลใหม่เขียนด้วย Python แพร่ผ่านเว็บปลอมของ Chocolatey และ Microsoft Activation Scripts ที่ดันขึ้นผลการค้นหาด้วย SEO poisoning เหยื่อที่รันคำสั่ง PowerShell บนเว็บปลอมจะได้มัลแวร์พร้อมตัวติดตั้งจริง จึงไม่รู้ตัว มัลแวร์มีโมดูลควบคุมระยะไกลที่รันเฉพาะคำสั่งที่ลงนาม RSA โมดูลดักคีย์บอร์ดและสลับที่อยู่คริปโต และโมดูลขโมยรหัสผ่าน คุกกี้ และกระเป๋าคริปโต ผู้โจมตีย้ายโครงสร้างไปโดเมนใหม่หลังเว็บล่อถูกปิด

Varonis Threat Labs พบว่าผู้ขายมัลแวร์ขโมยข้อมูล StealC กลับมาพร้อม Stadia ซึ่งเป็น RAT แบบโมดูลที่โฆษณาขายเมื่อ 16 ตุลาคม 2569 Stadia รวมการขโมยข้อมูล หน้าจอซ่อน HVNC การรันคำสั่ง ตัวโหลดเพย์โหลด และการจัดการไฟล์ไว้ในตัวเดียว นักวิจัยพบโค้ด StealC อยู่ในตัว agent และบันทึกการอัปเกรดเป็นโมดูล StealC 3.5.0 ค่าบริการอยู่ที่ 300-900 ดอลลาร์ต่อเดือน ลูกค้า StealC เดิมได้ใช้แพ็กเกจสูงสุดฟรีหนึ่งเดือน

Doyensec รันโค้ดของตัวเองใน VBS enclave SFAPE.dll ของ Enhanced Phishing Protection ใน SmartScreen ได้ผ่านช่องโหว่ CVE-2026-83498 ระดับ Critical CVSS 7.8 การโจมตีเริ่มจากการเขียนค่า 4 ไบต์ไปยังที่อยู่ที่ไม่ถูกตรวจ แล้วต่อด้วยบั๊กจังหวะเวลาจนเปลี่ยนตารางโค้ดที่ enclave ยอมให้รัน ผู้โจมตีต้องมีโค้ดบนเครื่องอยู่แล้ว และยังไม่พบการโจมตีจริง Microsoft แก้แล้วใน KB5124008 เมื่อ 8 ก.ย. 2569 พร้อมบล็อก enclave เวอร์ชันเก่า แต่ enclave ของ Edge ที่มีช่องโหว่ CVE-2023-36880 ยังโหลดได้

บริษัท Microsoft เพิ่มการตรวจ QR code ในข้อความ Teams ผ่าน Defender for Office 365 ตามประกาศ MC1490905 ระบบจะถอด URL ที่ซ่อนใน QR code หลังข้อความถูกส่งแล้ว และตรวจว่าชี้ไปเนื้อหาอันตรายหรือไม่ หากพบ Teams จะขึ้นคำเตือนบนข้อความ หรือบล็อกข้อความภายในเมื่อเปิด ZAP for Teams ไว้ URL ที่ถอดได้จะปรากฏในตาราง MessageUrlInfo ของ Defender XDR โดยมีค่า UrlLocation เป็น QRCode การทยอยเปิดใช้เริ่มต้นตุลาคมและคาดว่าเสร็จต้นพฤศจิกายน 2569 โดยไม่ต้องตั้งค่าเพิ่ม

นักวิจัย Huntress พบการโจมตีที่เจาะ Windows ผ่านช่องโหว่ CVE-2025-4632 ใน Samsung MagicINFO แล้วคอมไพล์ตัวขุด Monero ขึ้นในเครื่องเหยื่อเอง ผู้โจมตีติดตั้ง AnyDesk สร้างบัญชีแอดมิน และปิด Microsoft Defender ก่อนเริ่มขุด การประกอบตัวขุดในเครื่องทำให้เกิดสัญญาณผิดปกติจาก compiler ที่ตรวจจับได้ เคสนี้เป็นเครื่องเดียว ไม่ใช่แคมเปญขนาดใหญ่ แต่ชี้ว่าช่องโหว่ที่เปิดทิ้งไว้นำไปสู่การยึดเครื่องระยะยาว

นาย Abdelhamid Naceri อดีตนักวิจัยของ Microsoft ปล่อยเครื่องมือ PoC ชื่อ BigDiskBuster บน GitHub เมื่อ 19 กันยายน ซึ่งขัดขวางไม่ให้ Microsoft Defender ติดตั้งอัปเดตแพลตฟอร์มและฐานข้อมูลไวรัส ด้วยการสร้างไฟล์ซ่อนถมพื้นที่ดิสก์จนเต็มระหว่างที่ Defender กำลังดาวน์โหลดอัปเดต เครื่องมือนี้ยังไม่มี CVE ไม่มีแพตช์ และไม่มีคำแนะนำจาก Microsoft ผลคือ Defender ยังทำงานแต่ฐานข้อมูลตรวจจับค่อย ๆ ล้าสมัย

นักวิจัยที่ใช้ชื่อ Nightmare-Eclipse ปล่อยโค้ดสาธิตช่องโหว่ตัวใหม่ชื่อ ShieldCrash ทันทีหลัง Patch Tuesday เดือนกันยายน โดยอ้างว่าเป็นการข้ามแพตช์ของ CVE-2026-69414 หรือ ShieldBreak ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ในเอนจินป้องกันมัลแวร์ของ Windows Defender โค้ดสาธิตบน GitHub ระบุว่าสามารถอ่านไฟล์ใดก็ได้ด้วยสิทธิ์ SYSTEM บนวินโดวส์ทุกเวอร์ชันที่ยังรองรับ นักวิจัยยืนยันว่าเป็นการยกระดับสิทธิ์เต็มรูปแบบ ขณะที่ผู้เชี่ยวชาญภายนอกประเมินว่ายังทำได้เพียงการอ่านไฟล์

บริษัท Elastic เผยแพร่รายงานเมื่อวันที่ 2 กันยายน 2569 ระบุพบโปรแกรม 4 ตัวที่โยงกับ REVSTEALER ซึ่งยังฝังอยู่ในเครื่องหลังตัวขโมยข้อมูลลบตัวเองทิ้ง โมดูลชื่อ LockAppHost ยกระดับสิทธิ์ผ่าน CMSTP แล้วปิดบริการ Windows Update 5 ตัวและใส่ข้อยกเว้นให้ Microsoft Defender ก่อนรันเครื่องขุดคริปโต อีกสามตัวขโมยกระเป๋าคริปโต สลับที่อยู่ในคลิปบอร์ด และเปลี่ยนเครื่องเหยื่อเป็นพร็อกซี มัลแวร์แพร่ผ่านโปรแกรมโกงเกมและซอฟต์แวร์ AI ปลอม

นักวิจัยที่ใช้ชื่อ Chaotic Eclipse เผยแพร่ PoC ของช่องโหว่ยกระดับสิทธิ์ที่ยังไม่มีแพตช์ชื่อ FalconFlank ซึ่งใช้ประโยชน์จากกลไกลบมาโครอันตรายของ Microsoft Office ใน CrowdStrike Falcon Sensor โดยระบุว่าทำงานได้บน Windows 11 25H2 และ Windows Server 2025 ที่อัปเดตครบ บริษัท CrowdStrike ยืนยันว่ากำลังตรวจสอบและแนะให้ลูกค้าปิดนโยบายดังกล่าวไว้ก่อน นักวิจัยรายเดียวกันยังปล่อย PoC ของ Kaspersky, Microsoft Defender, NVIDIA และ Avast ในช่วงไม่กี่สัปดาห์ที่ผ่านมา