Typosquatting

Zscaler พบ ArmorSteal มัลแวร์ตระกูลใหม่เขียนด้วย Python แพร่ผ่านเว็บปลอมของ Chocolatey และ Microsoft Activation Scripts ที่ดันขึ้นผลการค้นหาด้วย SEO poisoning เหยื่อที่รันคำสั่ง PowerShell บนเว็บปลอมจะได้มัลแวร์พร้อมตัวติดตั้งจริง จึงไม่รู้ตัว มัลแวร์มีโมดูลควบคุมระยะไกลที่รันเฉพาะคำสั่งที่ลงนาม RSA โมดูลดักคีย์บอร์ดและสลับที่อยู่คริปโต และโมดูลขโมยรหัสผ่าน คุกกี้ และกระเป๋าคริปโต ผู้โจมตีย้ายโครงสร้างไปโดเมนใหม่หลังเว็บล่อถูกปิด

นักวิจัยจาก Have I Been Squatted พบ 2 กรณีขอบในการตรวจชื่อโดเมนสากล (IDN) ของ Chromium ที่ทำให้โดเมนหน้าตาเหมือนแบรนด์ดังแสดงเป็นตัวอักษรปกติแทน Punycode และไม่มีคำเตือนโดเมนคล้าย ตัวอย่างคือ аррӏө.com ที่เลียนแบบ apple.com และ oƙta.com ที่เลียนแบบ okta.com ซึ่งเปิดได้บน Chrome 154 พร้อมใบรับรองที่ถูกต้อง ในการทดสอบอีเมล Gmail แสดงโดเมนทั้ง 20 ชื่อเป็นตัวอักษรปกติทั้งหมด ผลทดสอบนี้ไม่ได้รวม Safe Browsing หรือการตรวจชื่อเสียงโดเมน จึงไม่ใช่การหลบระบบกันฟิชชิงทุกชั้น

บริษัท Manifold Security พบว่าโดเมน third-party.com ที่นิยมใช้เป็น placeholder ในเอกสาร กลายเป็นแหล่งเสิร์ฟกล ClickFix ให้ผู้ใช้วินโดวส์ ขณะแสดงหน้าลวงไม่มีพิษภัยให้ผู้ใช้อื่น เพราะโดเมนนี้ไม่ได้ถูกสงวนโดย IANA จึงมีคนจดทะเบียนไปใช้ ทำให้ทุกเอกสาร เทสต์ และ skill ที่ฝังโดเมนนี้ไว้ชี้ไปยังโครงสร้างของผู้โจมตี พบถูกอ้างในกว่า 1,700 รีโพสาธารณะ และยังพบอีก 13 โดเมน placeholder ที่ไม่ถูกสงวน บางตัวเสิร์ฟสแกมและ scareware

crate ยอดนิยมของภาษา Rust สามตัวคือ arrayref, append-only-vec และ internment ถูกดัดแปลงให้ดึงแพ็กเกจปลอมชื่อ proc-macro1 เข้ามาเป็น dependency ซอร์สโค้ดที่มองเห็นไม่ถูกแตะต้องเลย โค้ดอันตรายซ่อนอยู่ในไฟล์ build.rs ที่ Cargo รันเองทุกครั้งที่คอมไพล์ เพย์โหลดเป็นอินโฟสตีลเลอร์ข้ามแพลตฟอร์มที่ดูดรหัสผ่านจากเบราว์เซอร์ตระกูล Chromium ทีม Rust Security Response ถอนเวอร์ชันที่ปนเปื้อนและล็อกบัญชีผู้ดูแลภายในราวสองชั่วโมง

นักวิจัยพบแพ็กเกจประสงค์ร้ายเกือบ 800 รายการบน npm ที่ตั้งชื่อสุ่มเลียนแบบชื่อที่ AI มักมโนขึ้นมา แต่ไม่ใช้ lifecycle hook อย่าง preinstall กลับใส่ README สั่งให้นักพัฒนาเรียกใช้ผ่าน require() ปลายทางคือดาวน์โหลดเดอร์ WEL1DROPPER ที่เลือก payload ตามระบบปฏิบัติการและสถาปัตยกรรมซีพียู โดยดึงจาก Cloudflare Workers และสำรองด้วย DNS TXT เมื่อ HTTPS ล้มเหลว ตัวอย่างบน Windows แพตช์ ETW และ AMSI ส่วนบน Linux ปิดท้ายด้วยเฟรมเวิร์ก Sliver

ทีมข่าวกรองภัยคุกคามของ Amazon เผยแพร่งานวิจัยที่ประเมินด้วยความเชื่อมั่นระดับกลางว่า กลุ่มเกาหลีเหนือที่อยู่เบื้องหลังการยึดแพ็กเกจ axios เมื่อเดือนมีนาคม 2569 คือกลุ่มเดียวกับที่ยึดแพ็กเกจ debug และ chalk เมื่อเดือนกันยายน 2568 ซึ่งกระทบแพ็กเกจอย่างน้อย 18 ตัวที่มียอดดาวน์โหลดรวมกว่า 2 พันล้านครั้งต่อสัปดาห์ พร้อมชี้ว่าแพ็กเกจ typo-crypto เป็นการซ้อมมือก่อนหน้า อย่างไรก็ตามหลักฐานที่เปิดเผยยังไม่ระบุว่าชิ้นใดโยงกับเหตุการณ์ใด

บริษัท Checkmarx พบแพ็กเกจ npm อันตราย 7 ตัวปลอมตัวเป็นเครื่องมือในระบบนิเวศ Vite ภายใต้แคมเปญชื่อ ViteVenom ซึ่งเป็นการขยายตัวของแคมเปญ ChainVeil ที่ใช้โครงสร้าง C2 บนบล็อกเชน 4 ชั้นครอบคลุม Tron, Aptos และ Binance Smart Chain มัลแวร์ทำงานตอน import ไม่ใช่ตอนติดตั้ง เพื่อเลี่ยงการตรวจจับ ปลายทางคือโทรจันควบคุมระยะไกลที่เปิด reverse shell ขโมยข้อมูลรับรองและส่งไฟล์ออก ผู้ที่ติดตั้งไปแล้วควรถอนออกและหมุนเปลี่ยนข้อมูลรับรองทั้งหมดทันที