Supply-Chain

นักวิจัยจาก JFrog Security Research พบ Shai-Hulud payload ที่พก Hades malware กลับมาอีกระลอก ฝังในแพ็กเกจ npm ที่พุ่งเป้านักพัฒนาสาย cloud และ serverless ขยายไปยังระบบนิเวศ Leo/RStreams ของ AWS เมื่อติดตั้งแพ็กเกจ payload จะขโมย credential จาก GitHub, npm, คลาวด์, CI/CD และ SSH ส่งไปยัง repository ของผู้โจมตี แพ็กเกจที่กระทบมียอดดาวน์โหลดราว 45,000 ครั้งต่อเดือน ใช้ไฟล์ binding.gyp ซ่อนโค้ดหลบ scanner

นักวิจัย Novee Security เปิดโปงช่องโหว่ workflow CI/CD รูปแบบใหม่ชื่อ Cordyceps ที่เปิดทางให้ผู้โจมตียึด workflow และเจาะ open-source supply chain ได้ จากการสแกน repo สำคัญ 30,000 แห่ง พบกว่า 300 แห่งถูกเจาะได้เต็มรูปแบบ รวมถึง repo ของ Microsoft, Google, Apache และ Cloudflare ผู้ใช้ที่ไม่ผ่านการยืนยันตัวตนและมีบัญชีฟรีก็สามารถปลอมการอนุมัติ push โค้ด หรือขโมย credential ได้

นักวิจัยพบแคมเปญมัลแวร์ขนาดใหญ่บน GitHub กว่า 10,000 repository ที่กระจายไฟล์ ZIP ฝังโทรจัน ผู้โจมตีโคลน repository จริงพร้อมประวัติ commit และโปรไฟล์ผู้ร่วมพัฒนาเพื่อสร้างความน่าเชื่อถือ แล้วแก้ไฟล์ README ให้ลิงก์ไปยังไฟล์ ZIP อันตราย ไฟล์แต่ละชิ้นมักไม่ถูกตรวจจับบน VirusTotal แต่เมื่อดาวน์โหลดทั้งชุดจะพบโทรจัน แคมเปญนี้ใช้มาตั้งแต่ต้นปี 2025 และเชื่อมโยงกับ SmartLoader และ StealC

บริษัท Microsoft ระบุว่าเหตุโจมตี supply chain ของ Mastra AI ที่ทำให้ npm package กว่า 140 ตัวถูกบุกรุก เป็นฝีมือกลุ่มแฮ็กเกอร์รัฐบาลเกาหลีเหนือ Sapphire Sleet (BlueNoroff) ผู้โจมตียึดบัญชี maintainer ’ehindero’ แล้วปล่อยอัปเดตอันตรายในสโคป @mastra ที่ฝัง dependency ชื่อ easy-day-js ซึ่งเป็น typosquat ของ dayjs เมื่อติดตั้งจะรัน post-install hook ปล่อย infostealer ข้ามแพลตฟอร์มที่ขโมย credential, API key, token และเล็งกระเป๋าคริปโต 166 ตัว

Rocket.Chat แพลตฟอร์มสื่อสารที่ได้รับการรับรอง DoD ATO ระดับ IL6 ติดอยู่บน Node.js 14 ที่หมดอายุตั้งแต่เมษายน 2566 เพราะเฟรมเวิร์ก Meteor ยังพึ่งไลบรารี node-fibers จนกระทั่ง Meteor 3.0 ออกในกรกฎาคม 2567 ถอด Fibers ย้ายไป async/await และรองรับ Node.js 20 กรณีนี้สะท้อนความเสี่ยง supply chain ที่ไม่มี CVE ไม่มี exploit แต่ runtime ที่ไม่มีการซัพพอร์ตสร้างความเสี่ยงด้าน audit แพตช์ และการเปิดเผยช่องโหว่ในระบบนิเวศปลายน้ำ

แพลตฟอร์ม market intelligence ของบริษัท Klue ถูกเจาะระบบ backend ทำให้กลุ่มผู้โจมตีใหม่ชื่อ Icarus ขโมย OAuth token ที่ลูกค้าใช้เชื่อมต่อกับ Salesforce CRM แล้วนำไปดึงข้อมูล business contacts, sales communications, price quotes และ competitive intelligence จากหลายองค์กร บริษัท Huntress ยืนยันว่าตนเองก็ตกเป็นเหยื่อ Salesforce ได้ปิดการเชื่อมต่อ Klue Battlecards จากแพลตฟอร์มแล้ว

นักวิจัยจากบริษัท Aikido Security เปิดโปงแคมเปญมัลแวร์บน JetBrains Marketplace จำนวน 15 ปลั๊กอิน ปลอมตัวเป็น AI coding assistant แต่แอบส่ง API key ของผู้ใช้ไปยังเซิร์ฟเวอร์ผู้โจมตี ขณะเดียวกันพบส่วนเสริม Chrome อีก 2 ตัวที่แฝงฟีเจอร์ดักจับบทสนทนา AI chatbot ทั้ง 8 แพลตฟอร์มรวมถึง ChatGPT และ Claude โดยรวมมีผู้ดาวน์โหลดกว่า 150,000 ราย

นักวิจัยจาก Proofpoint เปิดโปงแคมเปญ UNK_DeadDrop ที่เชื่อมโยงกับเกาหลีเหนือ โจมตีนักพัฒนาในเกือบ 100 องค์กรด้วยอีเมลฟิชชิงหลอกให้โคลน GitHub Repository อันตรายแล้วเปิดใน VS Code ซึ่งจะรันมัลแวร์อัตโนมัติทั้งบน Windows, macOS และ Linux พร้อมกันนี้ยังพบ VS Code Extension ที่เป็น Backdoor บน Marketplace อย่างเป็นทางการอีกด้วย

นักวิจัยจากบริษัท Tenet Security เปิดเผยการโจมตีรูปแบบใหม่ชื่อ Agentjacking ที่ฉีด payload อันตรายเข้าไปใน Sentry error event แล้วหลอกให้ AI coding agent อย่าง Claude Code และ Cursor รันโค้ดมุ่งร้ายบนเครื่องนักพัฒนา ทดสอบกับกว่า 100 องค์กรพบอัตราสำเร็จ 85% โดย Sentry ยอมรับปัญหาแต่ระบุว่าไม่สามารถแก้ไขในเชิงเทคนิคได้

GitHub ประกาศว่า npm เวอร์ชัน 12 ที่คาดว่าจะออกในเดือนกรกฎาคมจะเปลี่ยนพฤติกรรมสำคัญ โดย npm install จะไม่รันสคริปต์ preinstall, install หรือ postinstall จาก dependency อีกต่อไป ยกเว้นได้รับอนุญาตอย่างชัดแจ้ง เพื่อปิดช่องทางโจมตี supply chain ที่ถูกใช้ในเหตุการณ์ใหญ่หลายครั้งช่วงที่ผ่านมา