Socket

บริษัท Socket พบเอ็กซ์เทนชัน Firefox อันตราย 3 ตัวที่สวมรอยกระเป๋าคริปโต Phantom, Jupiter และ Bitget บนร้าน Firefox Add-ons ทั้งชื่อ ไอคอน และคำโฆษณา โค้ดดักจับ recovery phrase และ private key ที่ผู้ใช้กรอกหรือวาง แล้วส่งไปยังโดเมนย่อยของ bonto.io ตัวปลอม Phantom ยังมี loader ที่ส่งโค้ดไม่อันตรายระหว่างรีวิวและส่งตัวขโมยหลังผ่าน รวมถึงปั่นรีวิวจาก 275 เป็น 546 ใน 2 วัน ทั้ง 3 ตัวถูกถอดแล้ว ผู้ที่กรอก recovery phrase ต้องสร้างกระเป๋าใหม่บนเครื่องที่สะอาดแล้วย้ายเงินทันที

Rust 1.100 ที่กำหนดออกวันที่ 12 พฤศจิกายน 2569 จะรองรับ dependency cooldown ใน Cargo แบบ stable ให้ปฏิเสธเวอร์ชันแพ็กเกจที่อายุยังไม่ถึงเกณฑ์ที่ตั้งไว้ ฟีเจอร์นี้เป็นแบบ opt-in ค่าเริ่มต้นยังเป็นศูนย์ ต้องตั้ง global-min-publish-age เอง เหตุผลมาจากกรณี arrayref, internment และ append-only-vec ที่ถูกยึดเมื่อสิงหาคม และอยู่บน crates.io 86-107 นาทีก่อนถูกถอด รายการใน Cargo.lock เดิมไม่ถูกตรวจย้อนหลัง และ cooldown ไม่ได้พิสูจน์ว่าแพ็กเกจปลอดภัย

แคมเปญ GhostAction ใช้บัญชี GitHub ของผู้ดูแลโอเพนซอร์ส 2 ราย คือผู้สร้าง pyxel และผู้สร้าง athenadriver ของ Uber ฝังเวิร์กโฟลว์ security-audit.yml ปลอมลงใน 346 repo เมื่อ 8 ต.ค. เวิร์กโฟลว์ส่ง secret ของ GitHub Actions และกุญแจคลาวด์/AI ที่ค้นได้จากไฟล์ปัจจุบันและประวัติ git ทั้งหมดไปยัง 193.32.204[.]199 Socket พบบัญชีกว่า 500 บัญชีที่ commit เวิร์กโฟลว์นี้ไปยัง repo หลายหมื่นแห่งตั้งแต่ 7 ต.ค. แต่ยังไม่พบแพ็กเกจอันตรายที่ถูกเผยแพร่

บริษัท Socket พบเอ็กซ์เทนชัน Firefox อันตราย 16 ตัวที่ปลอมเป็นพอร์ทัลกระเป๋าคริปโต ยูทิลิตี และเครื่องมือเบราว์เซอร์ 4 ตัวเป็นร่างโคลนของ Rabby Wallet อีก 12 ตัวเลียนแบบ OKX Wallet โค้ดดักจับ recovery phrase และ private key ระหว่างขั้นตอนนำเข้ากระเป๋า แล้วส่งไปยัง Cloudflare Workers ของผู้โจมตี Socket ประเมินว่าเป็นแคมเปญต่อเนื่องจากระลอกเดือนสิงหาคม 2569 Mozilla ถอดเอ็กซ์เทนชันทั้งหมดแล้วเมื่อ 5 ต.ค. ผู้ที่กรอก seed phrase จริงต้องย้ายทรัพย์สินไปกระเป๋าใหม่

แพ็กเกจ npm tensorlake 0.5.144 ซึ่งเป็น SDK แซนด์บ็อกซ์เอเจนต์ AI ถูกฝัง worm ตระกูล ChainDrop/Shai-Hulud หลังคอมมิตอันตรายเข้า main branch ภายใต้ชื่อผู้ดูแลเมื่อ 7 ต.ค. 2569 มัลแวร์รันผ่าน preinstall hook ขโมย token npm, GitHub, คีย์คลาวด์, Kubernetes, Vault, SSH และคอนฟิกเครื่องมือ AI แล้วแพร่ต่อด้วยการ republish แพ็กเกจของเหยื่อ ยังวางไฟล์ .claude และ .vscode ให้รันซ้ำเมื่อเปิดโปรเจกต์ และล้างโฮมไดเรกทอรีหากเหยื่อเพิกถอน token ต้องถอดตัวเฝ้า token ก่อนเปลี่ยน credential

บริษัท Socket พบส่วนขยาย VPN และพร็อกซีฟรี 737 ตัวบน Chrome Web Store ที่ผลักทราฟฟิกทั้งเซสชันของผู้ใช้ผ่านพร็อกซี SOCKS5 พอร์ต 1082 ของผู้ให้บริการรายเดียว ส่วนขยายชุดนี้เผยแพร่จากบัญชีนักพัฒนาอย่างน้อย 40 บัญชี มียอดติดตั้งรวม 75,486 ครั้ง และ 274 ตัวปลอมเป็นแบรนด์ VPN ที่มีชื่อเสียง 66 ราย เป้าหมายหลักคือผู้ใช้ที่พูดภาษารัสเซียซึ่งต้องการเข้าถึงบริการที่ถูกปิดกั้น ขณะนี้ถูกถอดออกแล้ว 221 ตัว แต่อีก 516 ตัวยังอยู่บนสโตร์

นักวิจัยของ Socket พบแพ็กเกจ npm ประสงค์ร้าย 18 รายการที่เจาะจงเล่นงานนักพัฒนาซึ่งใช้เครื่องมือภายในของ Alibaba Group แพ็กเกจชั้นบนเลียนชื่อแพ็กเกจส่วนตัวใต้สโคป @ali เพื่อล่อให้ระบบติดตั้งสายพันธุ์ dependency ที่ซ่อนโค้ดโหลดเดอร์ไว้เป็นชิ้น ๆ ปลายทางคือแบ็กดอร์ที่ทำงานได้ทั้งบน Windows, Linux และ macOS พร้อมความสามารถขยายผลในเครือข่าย ร่องรอยภาษาจีนและเขตเวลา UTC+08:00 ชี้ว่าผู้ก่อเหตุน่าจะพูดภาษาจีน โดยเป้าหมายที่คาดคือการจารกรรมทางอุตสาหกรรม

บริษัท Jscrambler เปิดเผยว่าผู้โจมตีเผยแพร่แพ็กเกจ npm เวอร์ชันอันตรายของบริษัท ครอบคลุมรุ่น 8.14, 8.16, 8.17 และ 8.20 โดยฝังมัลแวร์ขโมยข้อมูล (Infostealer) ที่ทำงานตอน preinstall hook แพ็กเกจนี้เปิดอยู่ราว 2 ชั่วโมงและถูกดาวน์โหลด 1,479 ครั้ง มัลแวร์ล้วงซอร์สโค้ด ข้อมูลรับรองนักพัฒนา คีย์คลาวด์ ค่าคอนฟิกเครื่องมือ AI และกระเป๋าคริปโต ต้นเหตุมาจากข้อมูลรับรองการเผยแพร่ npm ที่ถูกขโมย

ผู้ก่อภัยคุกคามเจาะ GitHub repository ของโครงการ Injective Labs SDK แล้วใช้ปล่อยแพ็กเกจอันตรายบน npm เพื่อขโมย private key และ mnemonic seed phrase ของกระเป๋าคริปโต เวอร์ชันที่ถูกเจาะคือ @injectivelabs/sdk-ts@1.20.21 ฝังฟังก์ชัน telemetry ปลอมที่ขโมยข้อมูลกระเป๋า พร้อมกระจายเวอร์ชันเดียวกันไปยังอีก 17 แพ็กเกจในเครือ การโจมตีใช้บัญชี maintainer ที่ไว้ใจได้ผ่าน trusted-publisher (OIDC) pipeline ผู้ใช้ที่ติดตั้งควรอัปเดตเป็นเวอร์ชันสะอาด 1.20.23 และเปลี่ยนกุญแจทั้งหมดทันที

บริษัท Socket เผยแคมเปญใหม่ของ Shai-Hulud โจมตี PyPI เจาะ 19 แพ็กเกจสายชีวสารสนเทศ Dynamo Spateo CoolBox U-FISH และ Napari-UFISH ออก 37 รีลีสมุ่งร้ายจาก maintainer เดียว ใช้ไฟล์ .pth ที่ Python เปิดเองตอน start เพื่อโหลด Bun runtime จาก GitHub แล้วรัน _index.js ขโมย GitHub token ความลับ AWS GCP Azure SSH key Docker .env และ Claude/MCP configuration