Seo-Poisoning

Cyderes เปิดโปงแคมเปญขโมย credential ที่ใช้เว็บปลอม Anthropic หลอกผู้ใช้ Claude Code มือใหม่ เริ่มจาก SEO poisoning พาเหยื่อไปหน้าปลอม แล้วใช้กลลวง ClickFix ให้รันคำสั่ง mshta.exe ดึงไฟล์ MP3/HTA polyglot ขนาด 6.7 MB การโจมตีรันในหน่วยความจำล้วน ไม่เขียนไฟล์ลงดิสก์ ใช้ PowerShell 32-bit และ AMSI bypass หลบ EDR สุดท้ายฝัง .NET infostealer ขโมย credential จากเบราว์เซอร์ส่งไปเซิร์ฟเวอร์รัสเซีย Anthropic เองไม่ได้ถูกเจาะ

Check Point Research และ Palo Alto Networks Unit 42 รายงานว่า Nimbus Manticore (UNC1549/IRGC) เร่งปฏิบัติการโจมตี 3 ระลอกต่อเนื่องตั้งแต่กุมภาพันธ์–เมษายน 2569 ใช้ MiniJunk ผ่าน AppDomain Hijacking, MiniFast ผ่าน Zoom ปลอม และ SEO Poisoning ผ่านไซต์ getsqldeveloper[.]com รวมถึง MiniJunk V2 โจมตีบริษัท Oil & Gas ในสหรัฐฯ และพบร่องรอยโจมตีระบบ ATG reader ในปั๊มน้ำมันหลายรัฐ โค้ด MiniFast มีรูปแบบบ่งชี้ว่าพัฒนาด้วย AI เพื่อเร่งปฏิบัติการในช่วงสงคราม

นักวิจัยจาก EclecticIQ เปิดเผยแคมเปญที่สร้างเว็บไซต์ปลอมของ Google Gemini CLI และ Anthropic Claude Code แล้วใช้ SEO poisoning ดันให้ขึ้นอันดับแรกในผลค้นหา เมื่อเหยื่อรัน PowerShell command ที่แสดงบนหน้าเว็บปลอม จะดาวน์โหลด infostealer ที่ทำงานในหน่วยความจำ ขโมย session cookies ของ Slack, Teams, Zoom, Discord และข้อมูลเบราว์เซอร์