Supply-Chain-Attack

ESET ระบุว่า DeceptiveDevelopment กลุ่มสายเกาหลีเหนือ ขยับจากการหลอกนักพัฒนาด้วยงานปลอมมาเป็นการโจมตีซัพพลายเชน ระหว่างเมษายนถึงกันยายน 2569 กลุ่มนี้ใช้สิทธิ์ Git, SSH และ token ที่ขโมยจากนักพัฒนาแก้โค้ดใน repository ของเหยื่อ แล้วแต่ง commit history แพ็กเกจที่ถูกฝังกระจายผ่าน npm, Go module mirror, Packagist, PyPI และร้านส่วนขยายเบราว์เซอร์ ปลายทางเป็น OmniStealer และ DEV#POPPER RAT ที่ฝังตัวใน VS Code, Cursor และ Discord นักพัฒนาไม่ควรรันโค้ดจากผู้สรรหาบนเครื่องทำงาน

Kaspersky GReAT เปิดโปง NetamLoader มัลแวร์ที่เล็ง Windows 10 รุ่นพิเศษของหน่วยงานรัฐในเอเชีย มัลแวร์ซ่อนในไฟล์ CAB ในโฟลเดอร์อัปเดตของ Windows ยืมไฟล์ Patch My PC และโมดูลที่ Microsoft เซ็นเพื่อรันโค้ดผ่าน AppDomainManager injection และ BinaryFormatter แล้วปิด AMSI ลบล็อก และรันตัวสุดท้ายใน dllhost.exe ตัวสุดท้ายรอ 20-40 นาทีก่อนติดต่อ openaigpt4v[.]com เพื่อหลบ sandbox พบเหยื่อรายเดียวและยังไม่โยงกับกลุ่มใด ผู้ดูแลควรเฝ้าไฟล์ .config แปลกในโฟลเดอร์อัปเดตและส่งล็อกขึ้นศูนย์กลาง

Trezor เตือนว่าลูกค้าชาวอินโดนีเซียพบแผงวงจรแปลกปลอมพร้อมโมดูลเครือข่ายมือถือใน Trezor Safe 5 ที่ซื้อจาก CryptoBilis ผ่าน Tokopedia แผงนี้อ่านหน้าจอรวม recovery phrase แล้วส่งออกทุกครั้งที่เสียบเครื่อง Trezor ยังไม่ได้ตรวจเครื่องในแล็บแต่เห็นว่าน่าเชื่อพอจะเตือนทันที คล้ายกรณีชิปฝังใน Ledger ที่ขายผ่านตัวแทนรายเดียวกัน ตำรวจสิงคโปร์ก็เตือนเรื่อง Ledger ที่ถูกดัดแปลงในร้านค้าปลีก ผู้ที่ซื้อ Trezor ผ่าน CryptoBilis ตั้งแต่มีนาคม 2569 ควรย้ายเงินไปกระเป๋าใหม่ที่ใช้ recovery phrase ใหม่

อัปเดตปลอมของส่วนขยาย Claude Code เวอร์ชัน 2.1.313 ถูกปล่อยบน Cursor Marketplace ภายใต้ ID ทางการ anthropic.claude-code เมื่อ 29 ตุลาคม 2569 กระทบผู้ใช้สูงสุด 5,000 ราย โค้ดอันตราย 66 บรรทัดเพิ่มกุญแจ SSH ของผู้โจมตี เปิดอุโมงค์ย้อนกลับไปยัง 134.209.82[.]225 ตั้งกลไกคงอยู่ และส่งข้อมูลเครื่องรวมชื่อตัวแปรที่เก็บความลับออกไป ยังไม่ทราบว่าผู้โจมตีปล่อยอัปเดตได้อย่างไร และไม่พบใน Open VSX หรือ VS Code Marketplace ผู้ที่ติดตั้งช่วงนั้นควรแยกเครื่อง ลบกุญแจและกลไกคงอยู่ แล้วหมุนเวียนความลับทั้งหมด

GitGuardian รายงานว่าระหว่าง 13-21 ตุลาคม ผู้อยู่เบื้องหลัง GhostAction push 72,000 commit เข้า 23,000 repo สาธารณะผ่านบัญชีนักพัฒนาที่ยึดไว้ โดยมี 8,000 repo เป็นเป้าใหม่ ผู้โจมตีส่ง payload 5 แบบตามชนิด runner รวมถึงตัวขอโทเคน OIDC เพื่อสวมบทบาท AWS และ stealer ในไฟล์ฟอนต์ปลอมที่ลอกจาก PolinRider GitHub ตรวจพบและสกัดเวิร์กโฟลว์อันตรายไว้ได้ แต่ผู้โจมตียังเข้าถึงบัญชีที่ยึดไว้ได้ 1,792 บัญชี เจ้าของ repo ควรลบไฟล์ตาม IoC ทุก branch เพิกถอนโทเคน และหมุนเวียน secret ทั้งหมด

ผู้อยู่เบื้องหลังแคมเปญ GhostAction ขยายจากการฝังเวิร์กโฟลว์อันตรายใน GitHub Actions มาฟิชชิงผู้ดูแลโอเพนซอร์สผ่านโดเมน my-github[.]com หน้าล็อกอินปลอมทำงานเป็น reverse proxy ขโมยรหัสผ่านและรหัส 2FA แล้วอนุมัติ OAuth device flow ให้เองโดยเหยื่อไม่ต้องกดยืนยัน ผู้โจมตียังวาง stealer ในไฟล์ฟอนต์ปลอมที่ VS Code รันอัตโนมัติเมื่อเปิดโฟลเดอร์ พบแล้วใน 94 repo ของ 66 เจ้าของ ขั้นนี้มาถึงหกวันหลัง GitHub เริ่มบล็อกเวิร์กโฟลว์เดิม

Rank Math PRO ปลั๊กอิน SEO แบบเสียเงินของ WordPress ที่ดาวน์โหลดหรืออัปเดตจาก rankmath.com ช่วง 20:02 UTC 15 ต.ค. ถึง 07:12 UTC 16 ต.ค. 2569 ถูกฝังมัลแวร์ เว็บที่ติดตั้งและเปิดใช้ต้องถือว่าถูกบุกรุก เพราะมัลแวร์สร้างแบ็กดอร์คืนได้ทุกครั้งที่มีผู้เข้าเว็บ เวอร์ชัน 3.0.124 ที่สะอาดไม่ลบไฟล์ บัญชีแอดมิน และงานตั้งเวลาที่มัลแวร์วางไว้ Wordfence ให้รหัส CVE-2026-111862 คะแนน 9.8 นับเป็นอย่างน้อยครั้งที่สามของปีที่ช่องทางอัปเดตของปลั๊กอินพรีเมียมถูกยึด

Google Threat Intelligence Group, Mandiant และ ManageEngine เปิดเผยว่ากลุ่ม UNC7017 แก้ไฟล์ที่ AOMEI Backupper ดึงจากเซิร์ฟเวอร์อัปเดตของผู้ผลิตเอง เป็นช่วงสั้น ๆ 5-10 นาทีระหว่างพฤษภาคมถึงกรกฎาคม 2569 เครื่องที่เช็กอัปเดตตรงช่วงนั้นจะดาวน์โหลดตัวโหลด CROSSROAD และแบ็กดอร์ SHINYROAD โดยไม่ต้องใช้ช่องโหว่ พบองค์กรเหยื่อใน 11 ประเทศ รวมสิงคโปร์ AOMEI แจ้งว่าแก้เซิร์ฟเวอร์แล้ว แต่เครื่องที่ติดไปแล้วยังไม่สะอาด