Rat

นักวิจัยพบแพ็กเกจประสงค์ร้ายเกือบ 800 รายการบน npm ที่ตั้งชื่อสุ่มเลียนแบบชื่อที่ AI มักมโนขึ้นมา แต่ไม่ใช้ lifecycle hook อย่าง preinstall กลับใส่ README สั่งให้นักพัฒนาเรียกใช้ผ่าน require() ปลายทางคือดาวน์โหลดเดอร์ WEL1DROPPER ที่เลือก payload ตามระบบปฏิบัติการและสถาปัตยกรรมซีพียู โดยดึงจาก Cloudflare Workers และสำรองด้วย DNS TXT เมื่อ HTTPS ล้มเหลว ตัวอย่างบน Windows แพตช์ ETW และ AMSI ส่วนบน Linux ปิดท้ายด้วยเฟรมเวิร์ก Sliver

นักวิเคราะห์ของบริษัท Picus Security เปิดเผยปฏิบัติการล่าสุดของกลุ่มจารกรรม Patchwork หรือ Dropping Elephant ที่สร้างเส้นทางโจมตีแยกกันสองสายสำหรับ Windows และ Android ฝั่ง Windows เริ่มจากไฟล์ทางลัดชื่อ GRES3001.lnk ที่ทำให้ดูเหมือนเอกสาร PDF สัญญาพลังงาน เมื่อเปิดจะเรียก PowerShell แอบดาวน์โหลดส่วนประกอบเพิ่ม พร้อมตั้งงานตามเวลาชื่อ GoogleErrorReport ส่วนฝั่ง Android ใช้บทสนทนาแนวชู้สาวหลอกให้ย้ายไปติดตั้งแอปแชตที่ถูกฝังโค้ด ซึ่งบันทึกเสียงรอบตัวและสายสนทนาได้

นักวิจัยของ Socket พบแพ็กเกจ npm ประสงค์ร้าย 18 รายการที่เจาะจงเล่นงานนักพัฒนาซึ่งใช้เครื่องมือภายในของ Alibaba Group แพ็กเกจชั้นบนเลียนชื่อแพ็กเกจส่วนตัวใต้สโคป @ali เพื่อล่อให้ระบบติดตั้งสายพันธุ์ dependency ที่ซ่อนโค้ดโหลดเดอร์ไว้เป็นชิ้น ๆ ปลายทางคือแบ็กดอร์ที่ทำงานได้ทั้งบน Windows, Linux และ macOS พร้อมความสามารถขยายผลในเครือข่าย ร่องรอยภาษาจีนและเขตเวลา UTC+08:00 ชี้ว่าผู้ก่อเหตุน่าจะพูดภาษาจีน โดยเป้าหมายที่คาดคือการจารกรรมทางอุตสาหกรรม

K7 Security Labs เปิดเผยมัลแวร์แอนดรอยด์ชื่อ Octagon ที่ปลอมตัวเป็นแอปเตือนภัยฉุกเฉิน BH Alert ของบาห์เรน หลอกให้เหยื่อติดตั้งจากนอกสโตร์ทางการแล้วขอสิทธิ์ผ่าน 7 ขั้นตอน ก่อนติดตั้งแอปลูกชื่อ OctagonPanel มัลแวร์ใช้บริการ watchdog สองตัวคอยเฝ้าและปลุกกันเอง บวกกับ boot receiver และบัญชีปลอมที่ตั้งซิงก์ทุก 30 นาที ทำให้การรีบูตเครื่องไม่ช่วยกำจัด และยังขโมย PIN ปลดล็อก ข้อความ SMS และข้อมูลธนาคารผ่านการใช้ Accessibility Service ในทางที่ผิด

บริษัท Socket พบแพ็กเกจ npm ใน namespace @joyfill สองตัวรุ่นเบต้าถูกฝังโค้ดอันตรายที่ทำงานทันทีที่ Node.js โหลด entry point ไม่ใช่ตอนติดตั้ง มัลแวร์ดึงเพย์โหลดผ่านธุรกรรมบนบล็อกเชน Tron, Aptos และ BNB Smart Chain ปลายทางเป็น RAT ตระกูล DEV#POPPER และอินโฟสตีลเลอร์ OmniStealer เชื่อมโยงกับคลัสเตอร์ PolinRider ในเครือ Contagious Interview ของเกาหลีเหนือ นักพัฒนาที่ติดตั้งไปแล้วต้องถอนออกจาก lockfile แคช และ build image พร้อมหมุนเปลี่ยนข้อมูลรับรอง

นักวิจัยจาก DreamGroup พบแคมเปญมัลแวร์ Android ที่ฉวยความตึงเครียดในภูมิภาคอ่าวเปอร์เซีย ปลอมเป็นแอปแจ้งเตือนเหตุฉุกเฉินของหน่วยป้องกันพลเรือนบาห์เรนชื่อ BH Alert เพื่อปล่อยโทรจันควบคุมระยะไกล (RAT) หลายขั้นตอนที่ขโมย PIN หน้าล็อก, รหัส OTP, ข้อความ SMS และรหัสผ่านธนาคาร แพร่ผ่านหน้า Google Play ปลอมและพอร์ทัลรัฐบาลปลอม อาศัยเทคนิคซ่อนโค้ดในไฟล์ฟอนต์ และใช้ Accessibility Service ควบคุมเครื่องเหยื่ออย่างละเอียด

บริษัท Checkmarx พบแพ็กเกจ npm อันตราย 7 ตัวปลอมตัวเป็นเครื่องมือในระบบนิเวศ Vite ภายใต้แคมเปญชื่อ ViteVenom ซึ่งเป็นการขยายตัวของแคมเปญ ChainVeil ที่ใช้โครงสร้าง C2 บนบล็อกเชน 4 ชั้นครอบคลุม Tron, Aptos และ Binance Smart Chain มัลแวร์ทำงานตอน import ไม่ใช่ตอนติดตั้ง เพื่อเลี่ยงการตรวจจับ ปลายทางคือโทรจันควบคุมระยะไกลที่เปิด reverse shell ขโมยข้อมูลรับรองและส่งไฟล์ออก ผู้ที่ติดตั้งไปแล้วควรถอนออกและหมุนเปลี่ยนข้อมูลรับรองทั้งหมดทันที

นักวิจัยจาก Cisco Talos เปิดเผยกลุ่มแฮ็กเกอร์รัสเซีย UAT-11795 ที่มีแรงจูงใจทางการเงิน ใช้ตัวติดตั้งซอฟต์แวร์ยอดนิยมปลอมอย่าง WebEx, Zoom, MobaXterm, DBeaver และ FaceIT ที่ฝังโทรจัน เพื่อปล่อยแบ็กดอร์ใหม่ชื่อ Starland RAT ขโมยรหัสผ่านและคริปโตกว่า 40 กระเป๋า พร้อมปล่อย CastleStealer และ Remcos ต่อ โจมตีมาตั้งแต่มิถุนายน 2025 เน้นเหยื่อในสหรัฐฯ คาดแพร่ผ่านเทคนิค ClickFix

นักวิจัยจากบริษัท Blackpoint Cyber เปิดโปงโทรจันควบคุมระยะไกล (RAT) ตัวใหม่ชื่อ LabubaRAT ที่เขียนด้วยภาษา Rust และปลอมตัวเป็นซอฟต์แวร์ NVIDIA ผ่านไฟล์ nvidia-sysruntime.exe มัลแวร์รับค่าตั้งค่า C2 ผ่านอาร์กิวเมนต์ตอนรัน ทำให้ไบนารีเดียวนำไปใช้ซ้ำได้หลายแคมเปญ รองรับการสื่อสารหลายช่องทางทั้ง HTTPS, WebView2 และ DNS tunneling สามารถสำรวจเครื่อง จับภาพหน้าจอ รันคำสั่ง และทำ proxy ทราฟฟิกได้ มีสัญญาณว่าถูกขายในรูปแบบ malware-as-a-service

บริษัท QiAnXin เปิดเผยว่ากลุ่มอาชญากรไซเบอร์ Silver Fox ที่เชื่อมโยงกับจีนอยู่เบื้องหลังมัลแวร์ RAT ตัวใหม่ที่เขียนด้วยภาษา Rust ชื่อ MODBEACON กระจายผ่านตัวติดตั้งปลอมด้วยเทคนิค SEO poisoning โดยมีผู้กระจายหลายราย ตัวมัลแวร์เป็น RAT แบบโมดูลที่รันในหน่วยความจำ ใช้ gRPC tunnel streaming สื่อสารกับ C2 และนำ transport layer จากเฟรมเวิร์ก proxy โอเพนซอร์ส Xray/V2Ray มาใช้เป็นช่องทางควบคุม พุ่งเป้าองค์กรเทคโนโลยี การศึกษา และรัฐวิสาหกิจในจีน