Socks5

ESET พบว่า UAC-0099 เจาะบริษัทโลจิสติกส์ยูเครนด้วยอีเมลฟิชชิงเมื่อ 16 ก.ค. 2568 แล้วส่งต่อให้ Sandworm ล้างข้อมูลเมื่อ 17 ก.ย. 2568 ระหว่างนั้น UAC-0099 ใช้แบ็กดอร์ตัวใหม่ชื่อ MythicRatatoskr ที่ติดต่อเซิร์ฟเวอร์สั่งการภายในเครือข่ายเมช Yggdrasil แบ็กดอร์นี้รันคำสั่ง ถ่ายภาพหน้าจอ รับส่งไฟล์ และเปิดพร็อกซี SOCKS5 ได้ Sandworm ปิดฉากด้วยการกระจาย SDelete ผ่าน Group Policy ของ Active Directory ESET ระบุว่านี่เป็นกรณีแรกที่มีการบันทึกว่ากลุ่มที่รัฐหนุนใช้ Yggdrasil ในลักษณะนี้

นักวิจัย Qrator เปิดโปงบอตเน็ต Windows ตัวใหม่ชื่อ x47.c ที่ผู้โจมตีชื่อ WraithTools ขายเป็นบริการ ตั้งราคาแพ็กเกจเต็ม 950 ดอลลาร์ จุดเด่นคือใช้ xAI Grok เลือกวิธีคงการฝังตัวบนเครื่องเหยื่อ และมีโหมด AI API drain ที่ใช้คีย์ API ของเหยื่อยิงตรงไปยัง OpenAI/xAI เพื่อผลาญเครดิตที่จ่ายเงินไปแล้ว ตัวบอตยังทำ DDoS 18 วิธี ขโมย credential คุกกี้ โทเคน Discord และข้อมูลกระเป๋าเงินคริปโต

บริษัท Arctic Wolf เปิดเผยมัลแวร์ Go ที่ไม่เคยมีเอกสารมาก่อนชื่อ GoCaracal พบในเหตุเจาะองค์กรสื่อสารแห่งหนึ่งในเวเนซุเอลาเมื่อมิถุนายน 2569 มัลแวร์มาสองโปรไฟล์ ตัวเบาให้เชลล์และรันเพย์โหลด ตัวเต็มเพิ่มขโมยข้อมูลเบราว์เซอร์ คีย์ล็อก รีโมตเดสก์ท็อป WebRTC และพร็อกซี SOCKS5 จุดที่แปลกที่สุดคือเมื่อติดต่อเซิร์ฟเวอร์ควบคุมหลักไม่ได้ซ้ำ ๆ มันจะยิง eth_getStorageAt ไปยังโหนด Ethereum สาธารณะเพื่ออ่านที่อยู่สำรอง บริษัทเชื่อมโยงกับกลุ่ม Dark Caracal ด้วยความมั่นใจระดับปานกลาง

นักวิจัยจาก FortiGuard Labs เปิดโปงบ็อตเน็ต Linux ตัวใหม่ชื่อ Evooo1Bot ที่ต่อยอดจากซอร์สโค้ด Mirai ที่หลุดสู่สาธารณะ แต่เพิ่มความสามารถเข้าไปอีกมาก ทั้งการสื่อสาร C2 แบบเข้ารหัส ตัวสแกนเดารหัสผ่าน SSH โมดูลรีเลย์ SOCKS ตัวดักข้อมูลยืนยันตัวตน และคลังโค้ดโจมตีช่องโหว่ที่รู้จักแล้วกว่าสิบรายการ เป้าหมายคืออุปกรณ์ที่เปิดสู่อินเทอร์เน็ตอย่างเราเตอร์ ไฟร์วอลล์ และกล้องไอพี เพื่อเปลี่ยนให้เป็นพร็อกซีสำหรับฟอกทราฟฟิกของผู้โจมตี

บริษัท Socket พบส่วนขยาย VPN และพร็อกซีฟรี 737 ตัวบน Chrome Web Store ที่ผลักทราฟฟิกทั้งเซสชันของผู้ใช้ผ่านพร็อกซี SOCKS5 พอร์ต 1082 ของผู้ให้บริการรายเดียว ส่วนขยายชุดนี้เผยแพร่จากบัญชีนักพัฒนาอย่างน้อย 40 บัญชี มียอดติดตั้งรวม 75,486 ครั้ง และ 274 ตัวปลอมเป็นแบรนด์ VPN ที่มีชื่อเสียง 66 ราย เป้าหมายหลักคือผู้ใช้ที่พูดภาษารัสเซียซึ่งต้องการเข้าถึงบริการที่ถูกปิดกั้น ขณะนี้ถูกถอดออกแล้ว 221 ตัว แต่อีก 516 ตัวยังอยู่บนสโตร์

บริษัท IIJ เปิดเผยว่ากลุ่ม BlackTech นำแบ็กดอร์ BlueShell เวอร์ชัน Linux มาใช้โจมตีองค์กรในญี่ปุ่น โดยพบตัวอย่างใหม่ 3 รูปแบบเมื่อเดือนพฤษภาคม 2569 ผู้โจมตีเข้าถึงระบบแล้วเคลื่อนตัวด้านข้างผ่าน SSH ก่อนปล่อยโหลดเดอร์ที่คลายมัลแวร์ ปลอมชื่อโปรเซสเป็น kworker แล้วลบไฟล์ทิ้งทันที จุดใหม่คือความสามารถติดต่อเซิร์ฟเวอร์ควบคุมผ่านพร็อกซีของเหยื่อเอง ทำให้ทราฟฟิกอันตรายกลืนกับการใช้งานปกติ

มัลแวร์ TrickMo เวอร์ชันใหม่ที่ ThreatFabric ค้นพบ ใช้เครือข่าย TON Blockchain แทน DNS ปกติเพื่อซ่อนการสื่อสาร C2 พร้อมเพิ่มความสามารถ SSH tunnelling และ SOCKS5 proxy เปลี่ยนมือถือ Android ที่ติดมัลแวร์เป็น network pivot กำลังโจมตีผู้ใช้ธนาคารและ crypto wallet ในยุโรป