Supply-Chain

กลุ่ม OceanLotus (APT32) เปลี่ยนเป้าจากต่างชาติมาจารกรรมคนในเวียดนามเอง โดยใช้ supply chain attack ฝังแบ็กดอร์ SPECTRALVIPER ผ่านระบบอัปเดตของซอฟต์แวร์หุ้น FireAnt Metakit ที่นักลงทุนเวียดนามใช้กันแพร่หลาย อีกแคมเปญของ OceanLotus คือ เจาะระบบบริษัทก่อสร้างโครงสร้างพื้นฐานเวียดนามนานกว่า 1 ปี ด้าน ESET ระบุว่าเป็นการเปลี่ยนแปลงทิศทางปฏิบัติการครั้งสำคัญของกลุ่มนี้

ผู้โจมตียึดแพ็กเกจที่ถูกละทิ้งกว่า 400 รายการบน Arch User Repository (AUR) แล้วแก้ไข PKGBUILD ให้ดาวน์โหลดมัลแวร์ขโมยข้อมูลเขียนด้วย Rust พร้อม eBPF rootkit เพิ่มเติม มัลแวร์ขโมยข้อมูลเบราว์เซอร์ SSH key โทเคน GitHub/npm/Slack/Discord/Teams และข้อมูล Docker ส่งผ่าน Tor Sonatype ติดตามเป็น Sonatype-2026-003775 ความรุนแรง CVSS 8.7

บริษัท Socket เผยแคมเปญใหม่ของ Shai-Hulud โจมตี PyPI เจาะ 19 แพ็กเกจสายชีวสารสนเทศ Dynamo Spateo CoolBox U-FISH และ Napari-UFISH ออก 37 รีลีสมุ่งร้ายจาก maintainer เดียว ใช้ไฟล์ .pth ที่ Python เปิดเองตอน start เพื่อโหลด Bun runtime จาก GitHub แล้วรัน _index.js ขโมย GitHub token ความลับ AWS GCP Azure SSH key Docker .env และ Claude/MCP configuration

Emphere สตาร์ทอัปจากซีแอตเทิลระดมทุน pre-seed 2.1 ล้านดอลลาร์จาก AI2 Incubator และ Outsiders Fund เพื่อพัฒนาแพลตฟอร์มแก้ช่องโหว่อัตโนมัติด้วย AI แนวทางของบริษัทตอบโจทย์ยุคที่ซอฟต์แวร์ประกอบจากแพ็กเกจโอเพนซอร์ส dependency และ OS layer แพลตฟอร์มจะวิเคราะห์ dependency graph เพื่อเข้าใจว่าช่องโหว่ใดถูกโจมตีได้จริง แล้วลงมือแพตช์ ตรวจสอบ และส่งผลลัพธ์อัตโนมัติโดยไม่ทำให้ระบบปลายน้ำพังหรือถูกเครื่องมือความปลอดภัยบล็อก

เวิร์ม Miasma ลามเข้าสู่รีโพ GitHub ของ Microsoft ถึง 73 รายการใน 4 องค์กร ทั้ง Azure, Azure-Samples, Microsoft และ MicrosoftDocs จน GitHub ต้องปิดการเข้าถึง จุดน่ากังวลคือการเจาะ durabletask ซ้ำที่เคยถูก TeamPCP เล่นงานเมื่อเดือนก่อน บ่งชี้ว่า credential อาจไม่เคยถูกกู้คืนเต็มที่ Miasma ยังฝัง payload 4.3MB ที่สั่งให้รันอัตโนมัติผ่าน Claude Code, Gemini CLI, Cursor และ VS Code เมื่อนักพัฒนาเปิดรีโพ สะท้อนช่องโหว่ของ trust model ในระบบโอเพนซอร์ส

แฮ็กเกอร์เจาะบัญชี GitHub ของพนักงาน Red Hat และใช้ OIDC token ปล่อยมัลแวร์ Miasma เข้าสู่ 32 แพ็กเกจ npm ใน namespace @redhat-cloud-services ซึ่งมียอดดาวน์โหลดสูงถึง 117,000 ครั้งต่อสัปดาห์ มัลแวร์เป็น worm แพร่ตัวเองโดยขโมย cloud token ของ AWS, Azure, GCP รวมถึง API key ของ Claude และ Gemini นักพัฒนาที่ใช้แพ็กเกจเหล่านี้ต้องตรวจสอบ lockfile และ rotate credentials ด่วน

บริษัท JFrog เปิดเผยมัลแวร์ใหม่ IronWorm ที่เจาะ 36 แพ็กเกจบน npm เป็น infostealer เขียนด้วย Rust ซ่อนหลัง eBPF kernel rootkit และสื่อสารกับผู้ควบคุมผ่านเครือข่าย Tor มุ่งเป้า environment variable 86 ตัวและไฟล์ credential 20 ไฟล์ที่อาจมี OpenAI, AWS, Anthropic, npm token, SSH key และ wallet Exodus มันแพร่ตัวเองด้วย npm token ที่ขโมยมา เริ่มจากบัญชี asteroiddao ที่ถูกเจาะ โดย Ox Security ระบุว่าหยุดได้เร็วก่อนลามไปแพ็กเกจยอดนิยม

บริษัท StepSecurity เปิดเผยเวิร์มแพร่ตัวเองสายพันธุ์ใหม่ของ Miasma ตั้งชื่อเทคนิคว่า Phantom Gyp ที่ใช้ไฟล์ตั้งค่าเล็ก ๆ ชื่อ binding.gyp (157 ไบต์) กระตุ้นโค้ดอันตรายตอน npm install แทนการซ่อนใน package.json เลี่ยง preinstall/postinstall ที่ scanner ส่วนใหญ่ตรวจ เจาะ 57 แพ็กเกจ 286+ เวอร์ชันใน 2 ชั่วโมงเมื่อ 3 มิ.ย. เป้าใหญ่สุดคือ @vapi-ai/server-sdk (408,000 ดาวน์โหลด/เดือน) ขโมย credential คลาวด์ใน CI/CD ฝัง backdoor ใน Claude Code/Cursor/Gemini ทิ้งข้อความเย้ย Shai-Hulud

แคมเปญ supply chain attack ชื่อ Miasma โจมตี npm packages ในกลุ่ม @redhat-cloud-services จำนวน 32 packages กว่า 96 เวอร์ชัน ซึ่งมียอดดาวน์โหลดรวมกันกว่า 117,000 ครั้งต่อสัปดาห์ มัลแวร์เป็น variant ใหม่ของ Mini Shai-Hulud worm ที่แพร่กระจายตัวเองโดยขโมย credentials จาก developer machine และ CI/CD pipeline ผู้โจมตีเจาะเข้าระบบผ่าน GitHub Actions OIDC token ของพนักงาน Red Hat ทำให้ commit ที่อันตรายปรากฏเป็น verified และ signed เสมือนถูกกฎหมาย

Socket.dev และ SlowMist เปิดเผยแคมเปญ TrapDoor ที่ฝังแพ็กเกจอันตราย 34 ตัว (รวม 384 เวอร์ชัน) ข้าม npm, PyPI และ Crates.io ขโมย AWS key, GitHub token, OpenAI API key, SSH key และไฟล์ wallet เพียงแค่ติดตั้งหรือ build ก็ทำงานทันที จุดเด่นคือเขียนคำสั่งซ่อนใน .cursorrules และ CLAUDE.md ด้วยอักขระ zero-width เพื่อหลอกให้เครื่องมือ AI อย่าง Cursor และ Claude Code รันคำสั่งอันตราย ส่งข้อมูลออกผ่าน GitHub Pages และ webhook.site ที่ firewall มักไว้ใจ