Supply-Chain

แคมเปญ GhostAction ใช้บัญชี GitHub ของผู้ดูแลโอเพนซอร์ส 2 ราย คือผู้สร้าง pyxel และผู้สร้าง athenadriver ของ Uber ฝังเวิร์กโฟลว์ security-audit.yml ปลอมลงใน 346 repo เมื่อ 8 ต.ค. เวิร์กโฟลว์ส่ง secret ของ GitHub Actions และกุญแจคลาวด์/AI ที่ค้นได้จากไฟล์ปัจจุบันและประวัติ git ทั้งหมดไปยัง 193.32.204[.]199 Socket พบบัญชีกว่า 500 บัญชีที่ commit เวิร์กโฟลว์นี้ไปยัง repo หลายหมื่นแห่งตั้งแต่ 7 ต.ค. แต่ยังไม่พบแพ็กเกจอันตรายที่ถูกเผยแพร่

บริษัท Bitdefender เปิดโปง Midnight Mimosa มัลแวร์ที่ฝังมาในเฟิร์มแวร์มือถือ Android ราคาถูกที่ใช้ชิป MediaTek ตัวมัลแวร์เป็นแอประบบที่ลงนามด้วย platform key ผู้ใช้ถอนไม่ได้ และติดตั้ง/ลบแอปพร้อมให้สิทธิ์ได้เงียบ ๆ ช่วง 2 ปีพบเครื่องติดเชื้อหลายพันเครื่องในกว่า 150 ประเทศ เป้าหมายหลักคือโกงคลิกโฆษณาและขายเครื่องเป็น residential proxy นอกจากนี้ยังพบแอป 13 ตัวบน Google Play ที่มีโค้ดตระกูลเดียวกัน

รัฐฟลอริดา ไอโอวา มอนทานา และเนแบรสกาฟ้อง TP-Link Systems เมื่อ 6 ต.ค. รวมเป็น 5 รัฐหลังเท็กซัสฟ้องไปเมื่อ ก.พ. คำฟ้องกล่าวหาว่าบริษัทโฆษณาความปลอดภัยของเราเตอร์เกินจริง แจ้งว่าแยกจากจีนเกินความจริง และนโยบายความเป็นส่วนตัวละเลยความเสี่ยงจากกฎหมายข่าวกรองจีน วันถัดมาอัยการ 21 รัฐยื่นจดหมายถึง FCC เรื่องการขออนุมัติเราเตอร์รุ่นใหม่ TP-Link ปฏิเสธข้อกล่าวหาและจะสู้คดี

Zscaler ThreatLabz พบ Terraform provider ปลอมชื่อ terraform-provider-awsbeta ที่แอบรันโค้ดอันตรายเมื่อ Terraform โหลดปลั๊กอิน แต่ยังทำงานแบบ provider ปกติ ตัวโหลดดึงไฟล์ฟอนต์ .woff ที่ซ่อนมัลแวร์เข้ารหัสตามระบบปฏิบัติการ ทั้ง Linux, macOS และ Windows มัลแวร์ FLATROOF ขโมยข้อมูลเบราว์เซอร์ คีย์เชน และกระเป๋าคริปโต ส่วน ROOFDECK หาที่อยู่ C2 ผ่าน Pastebin ที่มีลายเซ็น RSA และโปรไฟล์ Nostr Zscaler ชี้ว่าคล้าย TraderTraitor ของเกาหลีเหนือ แต่ยังไม่มีหลักฐานพอฟันธง

แพ็กเกจ npm tensorlake 0.5.144 ซึ่งเป็น SDK แซนด์บ็อกซ์เอเจนต์ AI ถูกฝัง worm ตระกูล ChainDrop/Shai-Hulud หลังคอมมิตอันตรายเข้า main branch ภายใต้ชื่อผู้ดูแลเมื่อ 7 ต.ค. 2569 มัลแวร์รันผ่าน preinstall hook ขโมย token npm, GitHub, คีย์คลาวด์, Kubernetes, Vault, SSH และคอนฟิกเครื่องมือ AI แล้วแพร่ต่อด้วยการ republish แพ็กเกจของเหยื่อ ยังวางไฟล์ .claude และ .vscode ให้รันซ้ำเมื่อเปิดโปรเจกต์ และล้างโฮมไดเรกทอรีหากเหยื่อเพิกถอน token ต้องถอดตัวเฝ้า token ก่อนเปลี่ยน credential

บริษัท Google หยุดรับรายงานช่องโหว่ผลิตภัณฑ์ผ่านโครงการ OSS VRP ตั้งแต่ 1 ตุลาคม ครอบคลุมโครงการอย่าง Go, Angular และ Protocol Buffers โดยให้เหตุผลว่ามีรายงานอัตโนมัติเพิ่มขึ้นมาก และส่วนใหญ่ไม่ถูกต้อง Google เรียกว่าเป็นการหยุดชั่วคราวและจะอัปเดตในไตรมาสแรกของปี 2570 แต่ไม่ได้กำหนดวันกลับมารับรายงาน รางวัลสำหรับช่องโหว่ห่วงโซ่อุปทานและปัญหาความปลอดภัยอื่นยังคงอยู่ ผู้วิจัยถูกแนะนำให้ไปใช้ Cloud VRP, Patch Rewards หรือโครงการรางวัลอื่นแทน

บริษัท Checkmarx รายงานแคมเปญ MALFEX ที่เผยแพร่แพ็กเกจอันตรายบน npm มาตั้งแต่สิงหาคม 2566 มียอดดาวน์โหลดรวมกว่า 40,000 ครั้ง ผู้โจมตีปล่อยแพ็กเกจ 12 ตัว เป็นอันตราย 8 ตัว และยังติดตั้งได้อยู่ 3 ตัว ได้แก่ function-flag, function-color และ cdn-img-fetch แพ็กเกจ function-flag อันตรายมาตั้งแต่กรกฎาคม 2568 มียอดดาวน์โหลดกว่า 37,000 ครั้ง แต่ยังไม่มี advisory แจ้งเตือน แคมเปญส่ง Overlord RAT และตัวขโมยข้อมูล movinlike ผ่าน 3 เส้นทาง โดย payload ทำงานได้จริงเฉพาะบน Windows

ทางการสหรัฐฯ จับกุมนาย Greg Lui เจ้าของบริษัท Earthmade Computer ในแคลิฟอร์เนีย ฐานต้องสงสัยลักลอบส่งเซิร์ฟเวอร์ GPU ที่ถูกควบคุมการส่งออกมูลค่ากว่า 300 ล้านดอลลาร์ให้จีน โดยปลอมเอกสารลูกค้าและส่งผ่านมาเลเซียและสิงคโปร์ก่อนส่งต่อเข้าจีน ถูกตั้ง 3 ข้อหาทั้งละเมิดกฎหมายควบคุมการส่งออก ลักลอบส่งออก และสมคบฟอกเงิน อัยการระบุว่า Earthmade รับเงินกว่า 176 ล้านดอลลาร์จากบริษัทขนส่งมาเลเซีย 2 แห่ง

กระทรวงยุติธรรมสหรัฐฯ ฟ้อง Oxygen Forensics โดยกล่าวหา CEO นาย Lee Reiber และผู้ร่วมก่อตั้งชาวรัสเซียว่าปกปิดการที่บริษัทถูกคนรัสเซียเป็นเจ้าของและซอฟต์แวร์ถูกพัฒนาในรัสเซีย ขณะขายเครื่องมือนิติวิทยาศาสตร์ให้หน่วยงานสหรัฐฯ รายงานของ Politico เผยว่าเครื่องมือนี้ยังถูกใช้ในตำรวจเยอรมนี สเปน อิตาลี โปแลนด์และอีกหลายประเทศ และเจ้าของกลุ่มเดียวกันยังคุมบริษัทรัสเซียที่ขายเทคโนโลยีเดียวกันให้ FSB และกระทรวงมหาดไทยรัสเซีย

บริษัท Microsoft เผยการวิเคราะห์มัลแวร์ตระกูล NeedyMantis ที่ผู้โจมตีใช้คงการเข้าถึงเครือข่ายที่เจาะได้แล้วในระยะยาว พบในการบุกรุกแบบเจาะจงจำนวนน้อยที่โทรคมนาคม มหาวิทยาลัย องค์กรการแพทย์ องค์กรระหว่างรัฐบาล และผู้รับเหมาภาครัฐ ย้อนไปอย่างน้อยตุลาคม 2025 มัลแวร์มาเป็นชุดสามส่วนและอาศัย DLL sideloading ผ่านโปรแกรมถูกกฎหมายอย่าง Poedit, curl, Vim และ TightVNC บริษัท Microsoft ติดตามกลุ่มหนึ่งที่ใช้มันในชื่อ Storm-3069 ซึ่งประเมินว่ามาจากจีน และเชื่อมโยงกับการโจมตีซัพพลายเชนของ DAEMON Tools