Powershell

บริษัท Arctic Wolf พบแคมเปญฟิชชิงอ้างเอกสารศาลที่เล็งองค์กรในโคลอมเบียและส่งมัลแวร์ XWorm ผ่านสคริปต์ VBScript และ JavaScript ที่ซ่อนโค้ดหลายชั้น สคริปต์ถอดรหัส PowerShell แล้วโหลด DLL .NET ชื่อ RSG_UnityApp เข้าหน่วยความจำเพื่อฉีด XWorm เข้า RegAsm.exe DLL ตัวนี้ตรงกับเคสที่เชื่อมกับอังกฤษเมื่อ 10 กันยายน 2569 ทุกไบต์ แต่ payload และ C2 ต่างกัน Arctic Wolf ย้ำว่าหลักฐานยืนยันแค่การใช้ loader ซ้ำ ไม่ใช่ผู้โจมตีกลุ่มเดียวกัน ผู้ดูแลควรบล็อกการรันสคริปต์จากไฟล์แนบอีเมลและบล็อก C2 ใน IoCs

บริษัท Trellix พบแคมเปญฟิชชิงภาษาเกาหลีที่ปลอมเป็นใบกำกับภาษีของ FedEx เล็งพนักงานฝ่ายบัญชี เพื่อติดตั้ง Sirius Backdoor สายพันธุ์ใหม่ ไฟล์แนบเป็น PDF หน้าเปล่าที่สั่ง PowerShell ถอดรหัสโค้ดหลายชั้นแล้วรันในหน่วยความจำ แทบไม่ทิ้งไฟล์บนดิสก์ มัลแวร์ปิด ETW เพื่อทำให้ EDR มองไม่เห็น ฉีดตัวเองเข้าโปรเซสที่เชื่อถือได้ และฝังกลไกให้อยู่รอดแม้รีเซ็ต Windows ผู้ดูแลระบบควรบล็อก Adobe Reader ไม่ให้สร้าง child process และเปิด Script Block Logging

Zscaler พบ ArmorSteal มัลแวร์ตระกูลใหม่เขียนด้วย Python แพร่ผ่านเว็บปลอมของ Chocolatey และ Microsoft Activation Scripts ที่ดันขึ้นผลการค้นหาด้วย SEO poisoning เหยื่อที่รันคำสั่ง PowerShell บนเว็บปลอมจะได้มัลแวร์พร้อมตัวติดตั้งจริง จึงไม่รู้ตัว มัลแวร์มีโมดูลควบคุมระยะไกลที่รันเฉพาะคำสั่งที่ลงนาม RSA โมดูลดักคีย์บอร์ดและสลับที่อยู่คริปโต และโมดูลขโมยรหัสผ่าน คุกกี้ และกระเป๋าคริปโต ผู้โจมตีย้ายโครงสร้างไปโดเมนใหม่หลังเว็บล่อถูกปิด

Pillar Security เปิดเผยช่องโหว่ใน OpenCode เอเจนต์เขียนโค้ด AI ที่ให้เซิร์ฟเวอร์ MCP อันตรายรันคำสั่งบนเครื่องนักพัฒนา Windows และ WSL ได้ ช่องโหว่เกิดเมื่อ OpenCode ส่งที่อยู่ OAuth ที่เซิร์ฟเวอร์กำหนดเข้าคำสั่ง PowerShell โดยไม่ escape ระหว่างขั้นตอนล็อกอิน Pillar ให้คะแนนเสนอ 9.8 แต่ Anomaly แก้เงียบในเวอร์ชัน 1.18.33 โดยไม่ขอ CVE หรือออก advisory เวอร์ชัน 1.0.137 ถึง 1.18.32 จึงเสี่ยงโดยสแกนเนอร์ไม่แจ้งเตือน ยังไม่พบการโจมตีจริง

แคมเปญที่ปลอมเป็นเครื่องมือ AI ยอดนิยมอย่าง Claude, ChatGPT และ GitHub Copilot เพิ่มขึ้นต่อเนื่อง โดยเล็งนักพัฒนาในองค์กรเป็นหลัก ผู้โจมตีใช้หน้าติดตั้งปลอมให้เหยื่อวางคำสั่งลงเทอร์มินัลเอง หรือที่เรียกว่า InstallFix เพื่อติดตั้งมัลแวร์ขโมยข้อมูล อีกเทคนิคคือ LLMshare ที่สร้างแชตหรือ artifact บนแพลตฟอร์ม AI จริงแล้วซื้อโฆษณาดึงคนเข้าไป ANY.RUN พบการวิเคราะห์ในแซนด์บ็อกซ์ที่โยงกับแคมเปญนี้ 1,258 รายการ ส่วน Push Security ระบุว่า InstallFix ธีม AI คิดเป็น 5-10% ของการตรวจพบรายเดือนและยังเพิ่มขึ้น

ReversingLabs พบว่าเซิร์ฟเวอร์ staging ที่เชื่อมกับคลัสเตอร์สาย Midnight Blizzard ยังส่งไฟล์อันตรายได้ ณ วันที่ 5 ต.ค. 2569 ราว 8 สัปดาห์หลังถูกเปิดเผยต่อสาธารณะ นักวิจัยเริ่มจาก 2 แฮชที่ Anthropic เผยแพร่ แล้วไล่เจอ stager PowerShell เพิ่ม 5 build ไฟล์ Internet Shortcut ที่ไม่มีโค้ดจนแอนติไวรัสไม่ตรวจจับ และโดเมนฟิชชิงที่ยังเข้าถึงได้ ไฟล์ส่วนใหญ่มีผลตรวจจากผู้ขายภายนอกน้อยมาก ไมโครซอฟท์ยังรายงานกิจกรรมรอบใหม่ปลายเดือนกันยายนพร้อม CornFlake รุ่น Rust

Forescout Vedere Labs เปิดเผย ROMULUS แพลตฟอร์มหลังบ้านที่ใช้ส่งมัลแวร์ผ่านกับดัก ClickFix และเชื่อมโยงกับแคมเปญที่ใช้ Custom GPTs ของ ChatGPT นักวิจัยพบ 6 IP ที่เปิดหน้าล็อกอินเดียวกันและวิเคราะห์ 2 เส้นทางการติดเชื้อ เส้นทางแรกติดตั้ง MSI ปลอมเป็นเครื่องมือ Stardock แล้วใช้ DLL sideloading โหลดตัวโหลดอันตราย เส้นทางที่สองดึงไฟล์บีบอัดเข้ารหัสซ้อนกันที่แตกออกมาเป็นไฟล์ขนาด 882 MB เพื่อหลบการสแกนก่อนโหลด LegionLoader เข้าหน่วยความจำ ยังไม่ทราบตัวตนผู้ควบคุม

Cisco Talos และ Recorded Future รายงานว่ากลุ่ม Silent Lynx ซึ่งเชื่อมโยงกับคาซัคสถาน โจมตีหน่วยงานรัฐในภูมิภาค CIS ต่อเนื่องตั้งแต่มิถุนายน 2568 ถึงสิงหาคม 2569 เหยื่อและเหยื่อล่อครอบคลุม 9 ประเทศ ทั้งเอเชียกลาง อาร์เมเนีย อาเซอร์ไบจาน รัสเซีย และเบลารุส ผู้โจมตีส่งอีเมลฟิชชิงจากบัญชีรัฐที่ถูกยึด พร้อมใช้ 4 เส้นทางติดเชื้อ ตั้งแต่ไฟล์ Word มีมาโครจนถึงไฟล์ RAR ที่เจาะช่องโหว่ WinRAR CVE-2025-8088 ปลายทางคือ reverse shell อย่าง PickleShell และ FoalShell ที่ให้ผู้โจมตีควบคุมเครื่องจากระยะไกล

Microsoft Threat Intelligence พบ ClickFix รูปแบบใหม่ที่ใช้เว็บไซต์ถูกเจาะโหลดสคริปต์อันตรายเข้าแคชเบราว์เซอร์ล่วงหน้าโดยปลอมเป็นไฟล์ PNG เมื่อเหยื่อวางคำสั่งในหน้าต่าง Run คำสั่งจะค้นไฟล์แคชตามขนาดไบต์แล้วคัดลอกออกมารันเป็น VBScript วิธีนี้ทำให้คำสั่งที่เหยื่อเห็นสั้นและหลบข้อจำกัดราว 260 ตัวอักษรของหน้าต่าง Run ได้ ห่วงโซ่จบด้วย .NET assembly ที่ inject เข้า timeout.exe เพื่อขโมยข้อมูลรับรองในเบราว์เซอร์และเครื่อง Microsoft แนะนำให้ล่าพฤติกรรมจาก RunMRU และโปรเซสลูกของ WScript/PowerShell

บริษัท Huntress เปิดเผยแคมเปญ ClickFix ที่ใช้ Custom GPTs ของ ChatGPT ปลอมเป็นผลิตภัณฑ์ยอดนิยมเพื่อลวงเหยื่อรันโค้ดอันตราย โดย Custom GPT จะตอบด้วยลิงก์ Google Sites ที่นำไปยังหน้า ClickFix สั่งให้รัน PowerShell ดาวน์โหลดไฟล์ MSI มีผู้ติดมัลแวร์แล้วอย่างน้อย 40 ราย OpenAI ลบ Custom GPT ตัวแรกเมื่อ 25 กันยายน แต่พบตัวที่สองในวันที่ 27 กันยายน สุดท้ายเหยื่อถูกติดตั้ง RAT ที่ดึงและรัน payload ได้หลายชนิด