Vbscript

บริษัท Arctic Wolf พบแคมเปญฟิชชิงอ้างเอกสารศาลที่เล็งองค์กรในโคลอมเบียและส่งมัลแวร์ XWorm ผ่านสคริปต์ VBScript และ JavaScript ที่ซ่อนโค้ดหลายชั้น สคริปต์ถอดรหัส PowerShell แล้วโหลด DLL .NET ชื่อ RSG_UnityApp เข้าหน่วยความจำเพื่อฉีด XWorm เข้า RegAsm.exe DLL ตัวนี้ตรงกับเคสที่เชื่อมกับอังกฤษเมื่อ 10 กันยายน 2569 ทุกไบต์ แต่ payload และ C2 ต่างกัน Arctic Wolf ย้ำว่าหลักฐานยืนยันแค่การใช้ loader ซ้ำ ไม่ใช่ผู้โจมตีกลุ่มเดียวกัน ผู้ดูแลควรบล็อกการรันสคริปต์จากไฟล์แนบอีเมลและบล็อก C2 ใน IoCs

บริษัท ESET เผยแพร่ผลวิเคราะห์ MatchBoil ดาวน์โหลดเดอร์ภาษา C# ของกลุ่มจารกรรม UAC-0099 ที่เชื่อว่าสอดคล้องกับผลประโยชน์รัสเซีย ตัวอย่างระหว่าง เม.ย. 2567 ถึง เม.ย. 2569 แสดงการพัฒนาต่อเนื่องจาก downloader ที่ทำงานครั้งเดียวเป็นตัวที่ติดต่อ C2 ทุก 2 นาที เวอร์ชันใหม่ใช้ .NET Reactor ตรวจ sandbox จากเวลา uptime ใน Event Log และแสดงหน้าต่างแอปปลอม เหยื่อที่พบทั้งหมดอยู่ในยูเครน ไล่จากขนส่ง การผลิต สู่พลังงาน ESET ประเมินว่ากลุ่มนี้อาจเป็นนายหน้าส่งต่อสิทธิ์เข้าถึงให้ Sandworm

Microsoft Threat Intelligence พบ ClickFix รูปแบบใหม่ที่ใช้เว็บไซต์ถูกเจาะโหลดสคริปต์อันตรายเข้าแคชเบราว์เซอร์ล่วงหน้าโดยปลอมเป็นไฟล์ PNG เมื่อเหยื่อวางคำสั่งในหน้าต่าง Run คำสั่งจะค้นไฟล์แคชตามขนาดไบต์แล้วคัดลอกออกมารันเป็น VBScript วิธีนี้ทำให้คำสั่งที่เหยื่อเห็นสั้นและหลบข้อจำกัดราว 260 ตัวอักษรของหน้าต่าง Run ได้ ห่วงโซ่จบด้วย .NET assembly ที่ inject เข้า timeout.exe เพื่อขโมยข้อมูลรับรองในเบราว์เซอร์และเครื่อง Microsoft แนะนำให้ล่าพฤติกรรมจาก RunMRU และโปรเซสลูกของ WScript/PowerShell

นักวิจัย Securonix เปิดโปงแคมเปญใหม่ชื่อ TASK#STOMP ที่ปล่อยแบ็กดอร์ PowerShell เพื่อขโมยเอกสารธุรกิจ รหัส Wi-Fi และข้อมูลคลิปบอร์ดจากเครื่องเหยื่อ การติดเชื้อเริ่มจากไฟล์ VBScript บนเดสก์ท็อปที่สร้าง scheduled task ปลอมเป็นบริการระบบ แล้วรันโมดูล PowerShell สองตัวที่คอยเฝ้าไฟล์ จับภาพหน้าจอ และรับคำสั่งจากเซิร์ฟเวอร์ C2 สองแห่งแบบสำรอง มัลแวร์อาศัยเครื่องมือ Windows ในตัวเพื่อกลมกลืนกับกิจกรรมปกติและหลบการตรวจจับ

บริษัท Huntress เปิดเผยกิจกรรมที่มีพฤติกรรมคล้าย worm ซึ่งอาศัย ConnectWise ScreenConnect กระจายห่วงโซ่ VBScript สี่ขั้นไปยังเครื่องที่เชื่อมต่อเข้ามาใหม่ พบสามเหตุการณ์ที่ไม่เกี่ยวข้องกันในเดือนสิงหาคม 2569 ใช้ช่องทางเข้าถึงต่างกันทั้งสแกมหลอกให้เปิด Quick Assist ตัวติดตั้ง MSI จากฟิชชิง และแบบฟอร์มคืนเงิน Geek Squad ปลอม สคริปต์จะสำรวจเครื่องแล้วเลือกเพย์โหลดตามค่าสถานะสามบิต ตั้งแต่แบ็กดอร์ระดับผู้ใช้ไปจนถึงการยกสิทธิ์และโปรแกรมขุดเหรียญ

แคมเปญมัลแวร์ใหม่กระจายผ่าน WhatsApp โดยส่งไฟล์ VBScript ปลอมเป็นเอกสารการเงินจากบัญชีที่ถูกยึด เมื่อเหยื่อเปิดไฟล์จะดาวน์โหลดและติดตั้ง ManageEngine Endpoint Central แบบเงียบ เชื่อมต่อกับเซิร์ฟเวอร์ของผู้โจมตีเพื่อควบคุมเครื่องจากระยะไกล พบเหยื่อกระจายใน 11 ประเทศรวมถึงสิงคโปร์และมาเลเซีย พบร่องรอยเชื่อมโยงกับโครงสร้างพื้นฐานของ ValleyRAT และ Gh0st RAT