Mshta

แคมเปญที่ปลอมเป็นเครื่องมือ AI ยอดนิยมอย่าง Claude, ChatGPT และ GitHub Copilot เพิ่มขึ้นต่อเนื่อง โดยเล็งนักพัฒนาในองค์กรเป็นหลัก ผู้โจมตีใช้หน้าติดตั้งปลอมให้เหยื่อวางคำสั่งลงเทอร์มินัลเอง หรือที่เรียกว่า InstallFix เพื่อติดตั้งมัลแวร์ขโมยข้อมูล อีกเทคนิคคือ LLMshare ที่สร้างแชตหรือ artifact บนแพลตฟอร์ม AI จริงแล้วซื้อโฆษณาดึงคนเข้าไป ANY.RUN พบการวิเคราะห์ในแซนด์บ็อกซ์ที่โยงกับแคมเปญนี้ 1,258 รายการ ส่วน Push Security ระบุว่า InstallFix ธีม AI คิดเป็น 5-10% ของการตรวจพบรายเดือนและยังเพิ่มขึ้น

กลุ่ม APT ชื่อ SideCopy จากปากีสถานถูกพบขยายเป้าหมายจากหน่วยงานรัฐและกลาโหมอินเดียไปสู่สถาบันการศึกษา ผ่านอีเมลสเปียร์ฟิชชิงที่แนบไฟล์ ZIP ซึ่งมี LNK ปลอมเป็น PDF บริษัท Trellix เผยห่วงโซ่การโจมตีอาศัย mshta.exe ดึงไฟล์ HTA จากเซิร์ฟเวอร์ระยะไกลมารันและโหลด DLL แบบ reflective ปลายทางคือ ReverseRAT ที่ขโมยข้อมูล จับภาพหน้าจอ รันคำสั่ง และฝังตัวได้ ทราฟฟิก C2 เข้ารหัสด้วยคีย์ฝังตายและส่งข้อมูลออกผ่านพอร์ต 5863