Process-Injection

Morphisec พบแคมเปญส่งไฟล์ ZIP ผ่าน WhatsApp ปลอมเป็นเอกสารการเงินและภาษี ซึ่งติดตั้งมัลแวร์ VulcanRAT207.A จนได้สิทธิ์ SYSTEM บน Windows มัลแวร์ใช้เทคนิค PoolParty Variant 7 inject โค้ดเข้า process ของ Task Scheduler แล้วโหลด RAT ผ่าน DLL sideloading กับโปรแกรม VulkanInfo ที่มีลายเซ็นถูกต้อง ไดรเวอร์ GoFly64.sys ที่มีลายเซ็นถูกใช้ปิดโปรแกรมความปลอดภัยของ Baidu และ RAT คงอยู่ผ่าน scheduled task ชื่อ USOPrivate Kit ผู้ควบคุมบันทึกคีย์ จับภาพหน้าจอ และสร้างบัญชีแอดมินได้

Microsoft Threat Intelligence พบ ClickFix รูปแบบใหม่ที่ใช้เว็บไซต์ถูกเจาะโหลดสคริปต์อันตรายเข้าแคชเบราว์เซอร์ล่วงหน้าโดยปลอมเป็นไฟล์ PNG เมื่อเหยื่อวางคำสั่งในหน้าต่าง Run คำสั่งจะค้นไฟล์แคชตามขนาดไบต์แล้วคัดลอกออกมารันเป็น VBScript วิธีนี้ทำให้คำสั่งที่เหยื่อเห็นสั้นและหลบข้อจำกัดราว 260 ตัวอักษรของหน้าต่าง Run ได้ ห่วงโซ่จบด้วย .NET assembly ที่ inject เข้า timeout.exe เพื่อขโมยข้อมูลรับรองในเบราว์เซอร์และเครื่อง Microsoft แนะนำให้ล่าพฤติกรรมจาก RunMRU และโปรเซสลูกของ WScript/PowerShell

บริษัท Flashpoint เผยแพร่งานวิจัยเกี่ยวกับ process parameter poisoning เทคนิคหลบเลี่ยง EDR บน Windows ที่ inject โค้ดเข้าไปในโครงสร้างเริ่มต้นของโปรเซสโดยไม่ใช้ Windows API ที่ EDR มักจับตา นักวิจัยพบว่าเมื่อนำเทคนิคนี้มารวมกับ DLL unhooking และการบล็อก DLL ที่ไม่ใช่ของ Microsoft จะทำให้เครื่องมือ EDR และ XDR ตรวจจับไม่ได้เลย แม้ยังไม่พบการใช้ในมัลแวร์จริง แต่ก็ไม่มีอะไรขวางผู้ก่อภัยไม่ให้นำไปใช้ Flashpoint แนะนำให้เฝ้าระวังพฤติกรรมของโปรเซสแทนการพึ่ง API call เพียงอย่างเดียว

บริษัท SOCRadar เปิดเผยแคมเปญที่ใช้ข้อความต้อนรับของเซิร์ฟเวอร์ FTP เป็นที่ฝากคำสั่งเพื่อส่งโทรจันควบคุมระยะไกลสองตัวที่ไม่เคยมีรายงานมาก่อน คือ E4del และ PINHOLE นับเป็นครั้งแรกที่พบเทคนิคนี้ในโลกจริง E4del เป็น RAT ที่เขียนด้วย Node.js ซ่อนอยู่ในแอป Electron ที่ปลอมเป็น Discord และปรับจังหวะติดต่อเซิร์ฟเวอร์เป็นสามระดับ ส่วน PINHOLE ซับซ้อนกว่า ใช้ Pinterest และ SurveyMonkey หาที่อยู่เซิร์ฟเวอร์สั่งการ แล้วส่งทราฟฟิกผ่าน Cloudflare Workers

นักวิจัยจาก LevelBlue พบแคมเปญ LokiBot ระลอกใหม่ มัลแวร์ขโมย credential ที่เก่าแก่ที่สุดตัวหนึ่งซึ่งยังทำงานอยู่ ใช้ไฟล์แนบอีเมล JScript เป็นจุดเริ่มต้น ตามด้วย PowerShell, .NET injector และ process injection เข้าสู่ aspnet_compiler.exe เพื่อหลบการตรวจจับ LokiBot ขโมย credential จากกว่า 100 แอป ทั้งเบราว์เซอร์ กระเป๋าคริปโต อีเมลไคลเอนต์ และ FTP แล้วบีบอัดส่งไป C2 ผู้ใช้และองค์กรเสี่ยงถูกยึดบัญชีและขโมยข้อมูล