แคมเปญมัลแวร์บน npm ที่ยังคงดำเนินอยู่ ซึ่งเกี่ยวข้องกับแพ็กเกจ 'indexed-btree' แสดงให้เห็นว่ากลุ่มผู้โจมตีสามารถ Bypass มาตรการป้องกันการโจมตีแบบ Supply Chain Attack ด้วยการซ่อนโค้ดอันตรายไว้ในพฤติกรรมการทำงานตามปกติของแพ็กเกจขณะ Runtime แทนที่จะซ่อนไว้ใน Installation Script (more…)

นักวิจัยด้านความปลอดภัยค้นพบช่องทางในการ Escape ออกจาก Sandbox ของ OpenAI Codex ถึงสองช่องทาง โดยหนึ่งในนั้นสามารถรันคำสั่งบนเครื่องของนักพัฒนาได้จากโหมดที่ถูกจำกัดสิทธิ์มากที่สุดของ Codex โดยไม่มีหน้าต่างขออนุมัติ และไม่มีการแสดงผลใด ๆ บนหน้าจอ (more…)

 

WordPress ได้มีการปล่อยแพตช์เพื่อแก้ไขช่องโหว่ชุดใหม่ในซอฟต์แวร์ Core ของตนเอง โดยหนึ่งในนั้นอาจทำให้ลิงก์ที่ถูกสร้างขึ้นมาเป็นพิเศษ เมื่อถูกเปิดโดยผู้ดูแลระบบที่เข้าสู่ระบบอยู่ สามารถติดตั้งธีมจากไดเรกทอรีอย่างเป็นทางการของ WordPress.

กลุ่มผู้โจมตีกำลังใช้รูปแบบการหลอกลวงที่คล้ายกับ ClickFix เพื่อส่ง Remote Access Trojan (RAT) ที่ก่อนหน้านี้ยังไม่เคยถูกพบมาก่อน ซึ่งมีชื่อว่า ChainScript (more…)

มีการเชื่อมโยงกลุ่มผู้โจมตีที่มุ่งหวังผลประโยชน์ทางการเงินเข้ากับการพัฒนา และเผยแพร่โปรแกรมขโมยข้อมูลที่เขียนด้วยภาษา JavaScript (JS) ซึ่งมีชื่อว่า PhantomRaven ผ่านทาง npm package registry

(more…)

ปฏิบัติการมัลแวร์ที่มุ่งเป้าไปยังระบบธนาคาร ซึ่งเคลื่อนไหวมาตั้งแต่ช่วงกลางปี 2025 มีการใช้ชุดเครื่องมือที่ชื่อว่า KREMLIN ในการติดตั้ง Extension ที่เป็นอันตรายบน Chrome และ Edge เพื่อขโมยข้อมูลยืนยันตัวตน, Session Token และข้อมูลที่มีความสำคัญ

(more…)

ปลั๊กอิน Admin Menu Editor Pro สำหรับ WordPress เวอร์ชันที่เป็นอันตราย ได้ถูกเผยแพร่ไปยังลูกค้ามากกว่า 200 ราย หลังจากที่กลุ่มผู้โจมตีสามารถเจาะระบบเว็บไซต์ของผู้ดูแลโปรเจกต์ และปล่อยอัปเดตที่มีการสร้างบัญชีผู้ใช้ที่ถูกซ่อนไว้

(more…)

 

ช่องโหว่ระดับ Critical ในระบบ Security Management และ Log Servers ของ Check Point อาจทำให้ผู้โจมตีที่ไม่มี credentials สำหรับเข้าสู่ระบบ สามารถรันโค้ดด้วยสิทธิ์ root บนเซิร์ฟเวอร์ดังกล่าวผ่านเครือข่ายได้

(more…)

 

Malware framework ที่ไม่เคยถูกพบมาก่อนในชื่อ BambooToken ซึ่งมีการเคลื่อนไหวมาตั้งแต่ปี 2023 เป็นอย่างน้อย ปัจจุบันได้หันมาใช้โปรโตคอล Message Queuing Telemetry Transport (MQTT) เพื่อสื่อสารกับระบบ Windows และ Linux

(more…)

กลุ่มจารกรรมทางไซเบอร์ FamousSparrow ซึ่งมีความเชื่อมโยงกับจีน กำลังใช้ Backdoor ตัวใหม่ชื่อ SparroWocky ในการโจมตีหน่วยงานรัฐบาลในภูมิภาคลาตินอเมริกา

ปฏิบัติการดังกล่าวดำเนินมานานกว่าหนึ่งปี โดย Malware ตัวใหม่นี้เข้ามาแทนที่ Custom Backdoor เดิมที่กลุ่มดังกล่าวเคยใช้งาน ซึ่งมีชื่อว่า SparrowDoor

นักวิจัยจาก ESET พบการใช้งาน SparroWocky ในการโจมตีองค์กรในอาร์เจนตินา, เอกวาดอร์, กัวเตมาลา, ฮอนดูรัส, ปานามา, เปรู, เปอร์โตริโก และเวเนซุเอลา

นักวิจัยเชื่อว่าเป้าหมายของ Threat Actor คือการรวบรวมข่าวกรองเกี่ยวกับการตอบสนองของรัฐบาลในลาตินอเมริกาต่อแรงกดดันจากสหรัฐฯ ที่เพิ่มขึ้นต่อผลประโยชน์ทางเศรษฐกิจของจีน

จากการวิเคราะห์ของ ESET พบว่า SparroWocky เป็น C++ Backdoor แบบ Modular ที่มาพร้อมความสามารถหลากหลาย และมีการนำ Code จากโครงการ Open Source มาใช้งาน

Malware ดังกล่าวมี Mechanism สำหรับหลบเลี่ยงการวิเคราะห์หลายรูปแบบ เช่น การ Manipulate โครงสร้างระดับ Low-level ภายใน Memory และการ Patch Code ระหว่าง Runtime โดย SparroWocky มีความสามารถดังต่อไปนี้:

รัน Commands และ Executable Files
Load และ Execute Beacon Object Files (BOF) ภายใน Memory
รวบรวมข้อมูลเกี่ยวกับ System, Network, User, Domain และ Windows Version
Enumerate Drives, Directories, Files, Displays และ Active User Sessions
Upload, Download, Copy, Move, Rename และ Delete Files
Capture Screenshots ทุก ๆ 500 มิลลิวินาที โดยหลังจากส่งภาพหน้าจอแบบเต็มเป็นครั้งแรกแล้ว Malware จะส่งเฉพาะส่วนของหน้าจอที่มีการเปลี่ยนแปลง
สร้าง Process ภายใน Session ของ User อื่นที่ Login อยู่
ทำงานเป็น TCP Proxy และ Forward Connections
ลบ Persistence ของตัวเอง และลบ Files ของ Malware

ตามข้อมูลของนักวิจัย Malware ถูก Deploy ผ่านเทคนิค DLL Side-loading หลังจาก Loader ทำการ Decrypt Payload ที่ถูกเข้ารหัสด้วย RC4 และเก็บอยู่ภายในไฟล์ .dat จากนั้นจึง Map Payload เข้า Memory โดยตรงเพื่อหลบเลี่ยงการตรวจจับ

Malware ยังมี Mechanism สำหรับ Evasion อีกหลายรูปแบบ ได้แก่ Call Stack และ Threat Origin Spoofing, Dynamic API Resolving รวมถึงการปลอม Code และ DLL ที่เป็นอันตรายซึ่งอยู่ใน Memory ให้ดูเหมือนเป็น Components ที่ถูกต้องของ Windows

เพื่อหลบเลี่ยงการตรวจจับจาก Security Solutions, SparroWocky จะ Intercept กระบวนการสร้าง Thread ของ Windows เพื่อแก้ไข Start Address

ESET อธิบายว่า SparroWocky ใช้ Library MinHook เพื่อ Hook ฟังก์ชัน CreateThread และซ่อนค่า lpStartAddress เดิมจาก Security Products

กล่าวโดยสรุป Thread ที่ถูกสร้างโดย SparroWocky จะกำหนดให้ AnimateWindow เป็น Start Address ซึ่งมีแนวโน้มที่จะถูก Security Product มองว่า Thread ดังกล่าวเป็นการทำงานที่ถูกต้องตามปกติ

SparroWocky สร้าง Persistence ได้ 2 วิธี ได้แก่ การทำงานผ่าน Windows Service ที่ชื่อ ProcAuditManager หรือการเพิ่ม Windows Registry Key ชื่อ SnapCart ภายใต้ HKLM หรือ HKCU โดยวิธีที่เลือกใช้จะขึ้นอยู่กับระดับ Privileges ที่ Malware สามารถเข้าถึงได้

นักวิจัยระบุว่า Architecture และเทคนิค Evasion ของ Malware แสดงให้เห็นถึงความรู้ความเข้าใจอย่างลึกซึ้งเกี่ยวกับเทคนิค Anti-analysis และ Windows Internals ซึ่งสอดคล้องกับการประเมินว่าเบื้องหลังการโจมตีคือ Threat Group ที่มีทรัพยากร และมีประสบการณ์สูง

ระหว่างการวิเคราะห์การโจมตี ESET พบ Command-and-Control (C2) Addresses อย่างน้อย 18 รายการ ที่สื่อสารกับ Malware โดยตรงผ่าน Port 443 หรือ 8080 หรือสื่อสารผ่าน HTTP และ SOCKS5 Proxies

ข้อมูล Telemetry ของ ESET ระบุว่า ตั้งแต่ช่วงกลางปี 2025 เป็นต้นมา FamousSparrow มุ่งเป้าหมายหลักไปยังองค์กรในภูมิภาคลาตินอเมริกา

รายงานของ ESET ประกอบด้วยการวิเคราะห์ทางเทคนิคของ SparroWocky Backdoor รวมถึงเผยแพร่รายการ Indicators of Compromise (IoCs) ที่เกี่ยวข้องกับกิจกรรมดังกล่าว
**

ที่มา : bleepingcomputer.