Supply-Chain

บริษัท JFrog เปิดเผยมัลแวร์ใหม่ IronWorm ที่เจาะ 36 แพ็กเกจบน npm เป็น infostealer เขียนด้วย Rust ซ่อนหลัง eBPF kernel rootkit และสื่อสารกับผู้ควบคุมผ่านเครือข่าย Tor มุ่งเป้า environment variable 86 ตัวและไฟล์ credential 20 ไฟล์ที่อาจมี OpenAI, AWS, Anthropic, npm token, SSH key และ wallet Exodus มันแพร่ตัวเองด้วย npm token ที่ขโมยมา เริ่มจากบัญชี asteroiddao ที่ถูกเจาะ โดย Ox Security ระบุว่าหยุดได้เร็วก่อนลามไปแพ็กเกจยอดนิยม

บริษัท StepSecurity เปิดเผยเวิร์มแพร่ตัวเองสายพันธุ์ใหม่ของ Miasma ตั้งชื่อเทคนิคว่า Phantom Gyp ที่ใช้ไฟล์ตั้งค่าเล็ก ๆ ชื่อ binding.gyp (157 ไบต์) กระตุ้นโค้ดอันตรายตอน npm install แทนการซ่อนใน package.json เลี่ยง preinstall/postinstall ที่ scanner ส่วนใหญ่ตรวจ เจาะ 57 แพ็กเกจ 286+ เวอร์ชันใน 2 ชั่วโมงเมื่อ 3 มิ.ย. เป้าใหญ่สุดคือ @vapi-ai/server-sdk (408,000 ดาวน์โหลด/เดือน) ขโมย credential คลาวด์ใน CI/CD ฝัง backdoor ใน Claude Code/Cursor/Gemini ทิ้งข้อความเย้ย Shai-Hulud

แคมเปญ supply chain attack ชื่อ Miasma โจมตี npm packages ในกลุ่ม @redhat-cloud-services จำนวน 32 packages กว่า 96 เวอร์ชัน ซึ่งมียอดดาวน์โหลดรวมกันกว่า 117,000 ครั้งต่อสัปดาห์ มัลแวร์เป็น variant ใหม่ของ Mini Shai-Hulud worm ที่แพร่กระจายตัวเองโดยขโมย credentials จาก developer machine และ CI/CD pipeline ผู้โจมตีเจาะเข้าระบบผ่าน GitHub Actions OIDC token ของพนักงาน Red Hat ทำให้ commit ที่อันตรายปรากฏเป็น verified และ signed เสมือนถูกกฎหมาย

Socket.dev และ SlowMist เปิดเผยแคมเปญ TrapDoor ที่ฝังแพ็กเกจอันตราย 34 ตัว (รวม 384 เวอร์ชัน) ข้าม npm, PyPI และ Crates.io ขโมย AWS key, GitHub token, OpenAI API key, SSH key และไฟล์ wallet เพียงแค่ติดตั้งหรือ build ก็ทำงานทันที จุดเด่นคือเขียนคำสั่งซ่อนใน .cursorrules และ CLAUDE.md ด้วยอักขระ zero-width เพื่อหลอกให้เครื่องมือ AI อย่าง Cursor และ Claude Code รันคำสั่งอันตราย ส่งข้อมูลออกผ่าน GitHub Pages และ webhook.site ที่ firewall มักไว้ใจ

Wiz เปิดโปงกลุ่ม JINX-0164 ที่มีแรงจูงใจทางการเงิน ใช้โปรไฟล์ LinkedIn ปลอมหลอกนักพัฒนาคริปโตด้วยข้อเสนองาน แล้วส่งลิงก์ประชุมปลอมเพื่อปล่อยมัลแวร์ macOS สองตระกูลคือ AUDIOFIX และ MINIRAT ขโมย credential เบราว์เซอร์ กระเป๋าคริปโต SSH key และ token คลาวด์ จากนั้นลามผ่าน supply chain ด้วยการฝังโค้ดในแพ็กเกจ npm @velora-dex/sdk และ push โค้ดร้ายเข้า repo ภายใน เปลี่ยนโครงสร้างพัฒนาขององค์กรให้กลายเป็นช่องแพร่เชื้อ

นักวิจัยเปิดเผยช่องโหว่ใน extension Remote-SSH ของ Visual Studio Code ที่เปิดทางให้ผู้โจมตีซึ่งยึดเครื่องนักพัฒนาได้แล้ว เด้งต่อเข้าสู่สภาพแวดล้อมคลาวด์และ production VS Code สร้างสคริปต์ bootstrap ไว้ในไดเรกทอรีชั่วคราวที่ผู้ใช้เขียนได้ โดยไม่มีการตรวจสอบความถูกต้องหรือลายเซ็น เกิดเป็น race condition แบบ TOCTOU ผู้โจมตีแทรกเพย์โหลดก่อนสคริปต์ถูกรันบนเซิร์ฟเวอร์ปลายทาง การโจมตีเกิดหลังล็อกอินสำเร็จจึงทำให้ MFA ไม่ช่วย กระทบ extension รวมกว่า 76 ล้านการติดตั้ง

นักวิจัย Socket พบแพ็กเกจ NuGet ประสงค์ร้ายชื่อ Sicoob.Sdk ปลอมเป็น SDK ทางการของธนาคาร Sicoob ในบราซิล ลอบขโมยใบรับรอง PFX พร้อมรหัสผ่านและ client ID ของนักพัฒนาแล้วส่งออกไปยัง Sentry ซึ่งเป็นแพลตฟอร์มมอนิเตอร์ที่น่าเชื่อถือ เพื่อให้กลมกลืนกับ telemetry ปกติและหลบการตรวจจับ แพ็กเกจปล่อยหลายเวอร์ชัน 2.0.0–2.0.4 มียอดดาวน์โหลด 484 ครั้งก่อนถูกถอด เป็นการโจมตี supply chain ที่ repo GitHub ดูสะอาดแต่ binary ถูกฝังโค้ดร้าย

CrowdStrike ร่วมกับ Google และ Shadowserver Foundation ปิด C2 infrastructure ทั้ง 4 ช่องของ GlassWorm พร้อมกัน มัลแวร์ตัวนี้โจมตี developer ผ่าน VS Code extension ปลอม, npm และ Python package เป็นเวลากว่าหนึ่งปี ปนเปื้อน GitHub repository กว่า 300 แห่งด้วย credential ที่ขโมยมา โดดเด่นด้วยการซ่อน C2 address ไว้บน Solana blockchain, BitTorrent DHT และ Google Calendar เพื่อต้านการถูก Takedown

Google Mandiant รายงาน Zero-day CVE-2026-5426 ใน KnowledgeDeliver LMS ระบบ e-learning ยอดนิยมในญี่ปุ่น เกิดจาก hard-coded ASP.NET machineKey ที่ทำให้ผู้โจมตีไม่ต้องล็อกอินก็ craft ViewState payload เพื่อ RCE ได้ หลังเข้าระบบผ่าน Godzilla web shell ผู้โจมตีฝัง Cobalt Strike Beacon ลงเครื่องของผู้ใช้ที่เยี่ยมชมไซต์

GitHub เปิดตัว Staged Publishing บน npm ซึ่งบังคับให้ Maintainer ผ่านการยืนยัน 2FA ก่อนที่แพ็กเกจจะเผยแพร่สู่สาธารณะ พร้อมเพิ่ม Install Source Flag สามตัวใหม่เพื่อควบคุมแหล่งที่มาของ Package ที่ติดตั้ง มาตรการนี้รองรับทั้ง CI/CD Pipeline แบบ non-interactive และ Trusted Publishing ด้วย OIDC ตอบสนองต่อการโจมตี Supply Chain ที่พุ่งสูงขึ้นอย่างรวดเร็วในช่วงที่ผ่านมา