Spyware

นักวิจัย Ovi เปิดโปง uCreator ชุดสปายแวร์แอนดรอยด์ให้เช่าที่ซ่อนโค้ดในสำเนาแอป Telegram และ WeChat ที่ถูกดัดแปลงซึ่งแจกนอก Google Play โค้ดรันด้วยสิทธิ์ของแอปจริง จึงอ่านแชตและเก็บรหัส 2FA ของ Telegram ไปยึดบัญชีและซ่อนเซสชันของผู้โจมตีได้ ส่วน Telegram ตรงกับ Baohuo ที่ Doctor Web พบติดกว่า 58,000 เครื่องในปี 2568 รวมถึงในอินโดนีเซีย ยังยืนยันจำนวนเหยื่อไม่ได้และพบโค้ดรองรับราว 20 แอป รวมถึง LINE, Zalo, GCash และ MoMo ผู้ใช้ควรติดตั้งแอปจากสโตร์ทางการเท่านั้นและตรวจลายเซ็นแอป

Citizen Lab ยืนยันด้วยความมั่นใจสูงว่าไอโฟนของนาย Vladan Đokić อธิการบดีมหาวิทยาลัยเบลเกรด ติดสปายแวร์ Pegasus ของ NSO Group แบบ zero-click ในปี 2569 การเปิดเผยเกิดขึ้น 6 วันก่อนเลือกตั้งรัฐสภาเซอร์เบียวันที่ 25 ตุลาคม อีกรายคืออัยการผู้เคยทำคดีทุจริต Generalštab ที่ได้รับคำเตือนภัยจาก Apple 2 ครั้งในเดือนสิงหาคม รายงานไม่ระบุผู้อยู่เบื้องหลัง ช่องโหว่ที่ใช้ หรือข้อมูลที่ถูกขโมย ยอดผู้ถูกเล็งเป้าในภาคประชาสังคมเซอร์เบียปีนี้เพิ่มเป็นอย่างน้อย 16 ราย

นักวิจัยจากบริษัท Calif สาธิต untethered jailbreak บน iOS 27.0.1 ใน iPhone 18 Pro บนเวที Hexacon 2026 ที่ปารีสเมื่อ 16 ต.ค. 2569 เครื่องรีบูตแล้ว jailbreak กลับมาเองโดยไม่ต้องต่อคอมพิวเตอร์ และล็อกอิน SSH เป็น root ได้ นับเป็นสัญญาณแรก ๆ ว่ามือถือและ iOS รุ่นล่าสุดถูกเจาะได้เต็มรูปแบบไม่กี่สัปดาห์หลังวางจำหน่าย ทีมวิจัยยังไม่เปิดเผยช่องโหว่ที่ใช้และไม่มีเครื่องมือสาธารณะ

Citizen Lab เผยหลักฐานทางเทคนิคครั้งแรกว่าสปายแวร์รับจ้างถูกส่งเข้าอุปกรณ์จริงผ่านโฆษณาออนไลน์แบบเจาะกลุ่ม โดยเชื่อมโยงบริษัทโฆษณา Discover-Tech ของอิสราเอลกับผู้ผลิตสปายแวร์ Candiru อุปกรณ์ของ Al Jazeera อย่างน้อย 45 เครื่องถูกโจมตีแบบ zero-click ระหว่างปี 2567-2568 โค้ดในโฆษณาส่ง advertising ID และ IP กลับไปให้เซิร์ฟเวอร์คัดเลือกเป้าหมายก่อนส่งโค้ดโจมตี โฆษณาของบริษัทนี้ปรากฏในเว็บไซต์ 120,000 แห่งและแอป 75,000 แอป Google และ IAB Europe ถอดบริษัทออกแล้ว

บริษัท iVerify เปิดเผย P7 DarkSword ชุดเจาะ iOS รุ่นใหม่ที่ลดร่องรอยบนเครื่อง ขโมย keychain และกระเป๋าคริปโต และรับคำสั่งจาก C2 ทุก 15 วินาที Report URI พบชุดเจาะนี้แพร่ผ่านโดเมน ecomtrack[.]io ของสตาร์ตอัปที่ปิดตัวแล้วถูกจดใหม่ ขณะที่แท็กยังฝังอยู่บนร้านค้าออนไลน์ Censys พบโฮสต์ 5 แห่งที่เก็บ DarkSword และ Coruna พร้อมแผงตัวแทนจำหน่ายภาษาจีน ชุดเจาะใช้ CVE-2025-24201 และ CVE-2025-31200 ที่เพิ่งถูกระบุว่าอยู่ในชุดนี้ ผู้ใช้ iPhone ควรอัปเดต iOS เป็นเวอร์ชันล่าสุด

นาย Ron Deibert ผู้อำนวยการ Citizen Lab ขึ้นปาฐกถาหลักที่งาน SecTor 2026 ในโทรอนโต วิจารณ์ว่ารัฐบาลสหรัฐฯ ภายใต้ประธานาธิบดี Trump และผู้บริหารบริษัทเทคโนโลยีบางรายกำลังผลักดันการสอดแนมวงกว้างและแนวคิดที่เขาเรียกว่า techno-fascism เขาชี้ว่าความคืบหน้าในการคุมสปายแวร์เชิงพาณิชย์ เช่น การคว่ำบาตร Intellexa อาจถูกพลิก โดยยก ICE ที่กลับมาใช้สัญญากับ Paragon และ NSO Group ที่ล็อบบี้ให้หลุดบัญชีคว่ำบาตร เขายังเตือนว่า AI ทำให้ภัยที่ Citizen Lab ติดตามมา 25 ปีรุนแรงขึ้น

บริษัท Google ประกาศว่าใน Android 17 เมื่อเปิดโหมด Advanced Protection ระบบจะจำกัดสิทธิ์ AccessibilityService ให้เฉพาะแอปที่ผ่านการรับรองในหมวด Accessibility Tools เท่านั้น API นี้เป็นช่องทางหลักที่โทรจันธนาคารและสปายแวร์ใช้อ่านหน้าจอ ดักการพิมพ์ ครอบหน้าล็อกอินปลอม และสั่งโอนเงินแทนผู้ใช้ Android 17 ยังเพิ่ม Intrusion Logging สำหรับงานพิสูจน์หลักฐาน การป้องกันผ่าน USB การปิด WebGPU และการล็อกเครื่องเมื่อยืนยันตัวตนผิดซ้ำ ฟีเจอร์ทั้งหมดทำงานเฉพาะผู้ที่เปิด Advanced Protection

บริษัท Have I Been Squatted เปิดโปงสปายแวร์แอนดรอยด์ชื่อ Corp MDM ที่เจาะบริษัทในภาคโลจิสติกส์ ผ่านหน้า Google Play ปลอมที่สวมแบรนด์ CEVA และ TKW Logistics เพื่อแจกไฟล์ APK ที่ปลอมเป็นบริการระบบ มัลแวร์ดักข้อความ SMS ที่เข้ามาใหม่ เปิดการโอนสายอัตโนมัติ และคงบริการเบื้องหลังแบบซ่อน ส่งข้อมูลออกผ่าน HTTP แบบไม่เข้ารหัส คาดว่าเชื่อมโยงกับกลุ่มอาชญากรรมสาย Diesel Vortex ที่มีเบาะแสอาร์เมเนีย-รัสเซีย

องค์กร Citizen Lab ร่วมกับมูลนิธิ SHARE ยืนยันว่าไอโฟนของสมาชิกขบวนการประท้วงนักศึกษาในเซอร์เบียถูกฝังสปายแวร์ Pegasus ของบริษัท NSO Group ผ่านช่องโหว่ zero-click ทาง iMessage โดยพบร่องรอยการติดเชื้อระดับความเชื่อมั่นสูงในช่วงเดือนธันวาคม 2568 ถึงมกราคม 2569 ทั้งที่ Apple แก้ช่องโหว่นี้ไปแล้วใน iOS 18.4.1 ตั้งแต่เดือนเมษายน 2568 มูลนิธิ SHARE ระบุว่ามีผู้ถูกเล็งเป้าอย่างน้อย 14 รายตั้งแต่ต้นปี 2569 และพบสปายแวร์แอนดรอยด์ตัวใหม่ถูกติดตั้งขณะเจ้าของเครื่องถูกควบคุมตัว

บริษัท Socket พบแพ็กเกจธีม Composer อันตราย 13 ตัวบนคลัง Packagist ที่ฝัง JavaScript ลงเว็บดูหนังและอ่านการ์ตูนของเวียดนามซึ่งติดตั้งธีมเหล่านั้น โค้ดที่ฝังทำงานสองทาง คือฉ้อโกงโฆษณากับเปลี่ยนเส้นทางไปเว็บพนัน และปล่อยชุดเจาะ WebKit สู่เคอร์เนลใส่ผู้ใช้ iPhone ที่ยังไม่อัปเดต ผู้โจมตีเปลี่ยนเพย์โหลดใหม่เมื่อ 12 สิงหาคม 2569 ให้ดูดวลีกู้กระเป๋าคริปโตจากคีย์เชนเพิ่ม เซิร์ฟเวอร์ที่ใช้เจาะอยู่บนโครงสร้างพื้นฐานของ Funnull ที่สหรัฐฯ คว่ำบาตร