Zscaler

Zscaler พบ ArmorSteal มัลแวร์ตระกูลใหม่เขียนด้วย Python แพร่ผ่านเว็บปลอมของ Chocolatey และ Microsoft Activation Scripts ที่ดันขึ้นผลการค้นหาด้วย SEO poisoning เหยื่อที่รันคำสั่ง PowerShell บนเว็บปลอมจะได้มัลแวร์พร้อมตัวติดตั้งจริง จึงไม่รู้ตัว มัลแวร์มีโมดูลควบคุมระยะไกลที่รันเฉพาะคำสั่งที่ลงนาม RSA โมดูลดักคีย์บอร์ดและสลับที่อยู่คริปโต และโมดูลขโมยรหัสผ่าน คุกกี้ และกระเป๋าคริปโต ผู้โจมตีย้ายโครงสร้างไปโดเมนใหม่หลังเว็บล่อถูกปิด

Zscaler ThreatLabz พบแคมเปญใช้ช่องโหว่ CVE-2026-88771 ใน Citrix NetScaler ADC และ Gateway คะแนน CVSS 9.8 รันคำสั่งจากระยะไกลโดยไม่ต้องยืนยันตัวตน ผู้โจมตีวางเนื้อหาเข้ารหัสลงล็อกเว็บก่อน แล้วส่งคำขอยืนยันตัวตนปลอมให้สคริปต์ Perl ประมวลผลจนรันคำสั่ง จากนั้นพยายามฝัง web shell และดาวน์โหลด implant FreeBSD เซิร์ฟเวอร์ดาวน์โหลดเคยปรากฏในการโจมตี Magento ด้วย StyleSmuggler แต่ยังไม่ยืนยันว่าเป็นกลุ่มเดียวกัน แพตช์อย่างเดียวไม่ลบ implant ที่ฝังไปแล้ว

Zscaler ThreatLabz รายงานว่าแก๊งแรนซัมแวร์ใช้ GenAI ช่วยเขียนฟิชชิง สำรวจระบบ และคัดเอกสารที่อ่อนไหวที่สุดไปขู่เปิดเผย แทนการพึ่งการเข้ารหัสไฟล์อย่างเดียว แก๊งใหญ่ 10 อันดับแรกขโมยข้อมูลรวม 896.2 TB ระหว่างเมษายน 2568 ถึงมีนาคม 2569 เพิ่มขึ้น 275.8% แต่ตัวเลขนี้ไม่ได้วัดว่าส่วนใดมาจาก AI ในเหตุ Payouts King พบการส่งข้อมูลออกผ่าน SFTP ภายในไม่กี่ชั่วโมงหลังเจาะได้ และพบสคริปต์ที่น่าจะสร้างด้วย AI หลายเวอร์ชัน Zscaler เสนอให้วัด time to exfiltration แทนการตรวจจับการเข้ารหัส

Zscaler ThreatLabz พบ Terraform provider ปลอมชื่อ terraform-provider-awsbeta ที่แอบรันโค้ดอันตรายเมื่อ Terraform โหลดปลั๊กอิน แต่ยังทำงานแบบ provider ปกติ ตัวโหลดดึงไฟล์ฟอนต์ .woff ที่ซ่อนมัลแวร์เข้ารหัสตามระบบปฏิบัติการ ทั้ง Linux, macOS และ Windows มัลแวร์ FLATROOF ขโมยข้อมูลเบราว์เซอร์ คีย์เชน และกระเป๋าคริปโต ส่วน ROOFDECK หาที่อยู่ C2 ผ่าน Pastebin ที่มีลายเซ็น RSA และโปรไฟล์ Nostr Zscaler ชี้ว่าคล้าย TraderTraitor ของเกาหลีเหนือ แต่ยังไม่มีหลักฐานพอฟันธง

บริษัท Zscaler ThreatLabz เปิดเผยแคมเปญฟิชชิงด้วยเสียง (Vishing) ที่แฮ็กเกอร์โทรผ่าน Microsoft Teams แอบอ้างเป็นฝ่ายไอทีของบริษัท หลอกให้พนักงานอนุมัติเซสชัน Quick Assist เพื่อยึดการควบคุมเครื่องจากระยะไกล จากนั้นใช้ PowerShell สำรวจระบบและติดตั้งแบ็กดอร์ตัวใหม่ชื่อ GoGRPC ที่เขียนด้วยภาษา Go นักวิจัยพบมัลแวร์อีก 4 สายพันธุ์และเครื่องมือเสริมหลายตัว โดยประเมินว่าผู้ก่อเหตุน่าจะทำหน้าที่เป็นนายหน้าขายการเข้าถึงเครือข่าย (Initial Access Broker) ให้กลุ่มแรนซัมแวร์

นักวิจัย Zscaler ThreatLabz พบแคมเปญจารกรรมโจมตีหน่วยงานรัฐในตะวันออกกลาง ปล่อยมัลแวร์ใหม่ 3 ตัว คือ TELESHIM, MIXEDKEY และ BINDCLOAK โดย TELESHIM เป็นแบ็กดอร์ที่ใช้ Telegram API เป็นช่องทางสั่งการ (C2) เพื่ออำพรางให้กลืนกับทราฟฟิกปกติ ห่วงโซ่โจมตีเริ่มจากไฟล์ ISO และเทคนิค DLL side-loading พร้อมการอำพรางโค้ดหนัก ประเมินด้วยความมั่นใจปานกลางถึงสูงว่าผู้โจมตีมาจากเอเชียตะวันออก

บริษัท Zscaler ThreatLabz เปิดเผยสองแคมเปญที่ใช้ SEO poisoning ร่วมกับ HTML ซ่อนคำสั่ง เพื่อโจมตี AI agent ที่ท่องเว็บแทนผู้ใช้ ด้วยเทคนิค indirect prompt injection ฝังคำสั่งในโค้ดที่มนุษย์มองไม่เห็นแต่ AI อ่านเจอ แคมเปญหนึ่งปลอมเป็นเอกสารไลบรารี Python หลอกจ่ายค่าไลเซนส์ปลอม อีกแคมเปญปลอมโดเมน DeBank ในการทดสอบ AI บางตัวถึงขั้นจ่ายเงินจริงและรับรองเว็บปลอมว่าน่าเชื่อถือ