Tor

Unit 42 ของบริษัท Palo Alto Networks พบบ็อตเน็ต Kimwolf/AISURU เวอร์ชันใหม่ที่เพิ่มการยิง DDoS แบบ HTTP/2 พร้อมสร้างลายนิ้วมือเบราว์เซอร์ครบชุด ทำให้ทราฟฟิกโจมตีแยกจากการท่องเว็บจริงได้ยาก เวอร์ชันนี้ยังย้ายที่อยู่เซิร์ฟเวอร์สั่งการไปผูกกับชื่อโดเมน ENS บนอีเทอเรียม พร้อมสำรองด้วยบริการซ่อนตัวบน Tor และตัดโมดูลสแกนกับเจาะช่องโหว่ออกทั้งหมด ช่องทางแพร่กระจายหลักยังคงเป็นพอร์ต ADB 5555 ที่เปิดทิ้งไว้บนกล่องแอนดรอยด์ทีวี

โครงการ Arch Linux ระงับการรับช่วง (adopt) แพ็กเกจบน AUR ชั่วคราว หลังพบคลื่นยึดแพ็กเกจเพื่อฝังมัลแวร์ตั้งแต่วันที่ 29 กรกฎาคม 2569 เริ่มจาก openconnect-sso การติดเชื้อมีสองขั้น ขั้นแรกเป็นโหลดเดอร์ที่ตรวจจับแซนด์บ็อกซ์และฝังตัวผ่าน systemd กับ cron ขั้นที่สองเป็นอินโฟสตีลเลอร์ภาษา Rust ที่ขโมยรหัสผ่านเบราว์เซอร์ กระเป๋าคริปโท กุญแจ SSH และคีย์ API ของบริการ AI พร้อมสั่งงานระยะไกลผ่าน Tor และแพร่ตัวเองด้วยกุญแจ SSH ที่ขโมยมา มีรายงานว่าลามเกิน 200 แพ็กเกจแต่ยังไม่มีการยืนยันอิสระ

บริษัท Microsoft เปิดเผยรายละเอียดแคมเปญ Clipper malware บน Windows ที่โจมตีผู้ใช้มาตั้งแต่กุมภาพันธ์ 2569 แพร่กระจายผ่านไฟล์ LNK shortcut ใน USB drive โดย deploy Tor client แบบ portable เชื่อมต่อ C2 ผ่าน hidden service ตรวจจับ clipboard ทุก 500 มิลลิวินาทีเพื่อขโมย seed phrase, private key และแทนที่ wallet address ของเหยื่อ พร้อมถ่ายภาพหน้าจอส่งผ่าน Tor และรันโค้ดจากระยะไกลได้

บริษัท JFrog เปิดเผยมัลแวร์ใหม่ IronWorm ที่เจาะ 36 แพ็กเกจบน npm เป็น infostealer เขียนด้วย Rust ซ่อนหลัง eBPF kernel rootkit และสื่อสารกับผู้ควบคุมผ่านเครือข่าย Tor มุ่งเป้า environment variable 86 ตัวและไฟล์ credential 20 ไฟล์ที่อาจมี OpenAI, AWS, Anthropic, npm token, SSH key และ wallet Exodus มันแพร่ตัวเองด้วย npm token ที่ขโมยมา เริ่มจากบัญชี asteroiddao ที่ถูกเจาะ โดย Ox Security ระบุว่าหยุดได้เร็วก่อนลามไปแพ็กเกจยอดนิยม