ช่องโหว่ด้านความปลอดภัยที่ถูกเปิดเผยล่าสุดใน Microsoft Teams บนระบบปฏิบัติการ Android ที่อาจทำให้ผู้โจมตีสามารถปลอมแปลงอุปกรณ์ภายในระบบได้ ซึ่งสร้างความกังวลให้กับองค์กร และผู้ใช้ทั่วไปที่ต้องพึ่งพาแพลตฟอร์มนี้สำหรับการสื่อสารในแต่ละวัน (more…)

Checkmarx ได้ออกมาแจ้งเตือนว่าพบ Jenkins Application Security Testing (AST) plugin เวอร์ชันที่เป็นอันตราย ได้ถูกเผยแพร่บน Jenkins Marketplace (more…)

นักวิจัยจาก Google Threat Intelligence Group (GTIG) เปิดเผยรายงานสำคัญระบุว่า มีการตรวจพบการใช้ zero-day exploit ที่มุ่งเป้าไปที่เครื่องมือการดูแลเว็บแบบโอเพ่นซอร์สยอดนิยม โดยวิเคราะห์ว่าโค้ดที่ใช้โจมตีนั้น น่าจะถูกสร้างขึ้นโดย AI (more…)

วันอังคารที่ 12 พฤษภาคมที่ผ่านมา Microsoft ออก Patch Tuesday ประจำเดือนพฤษภาคม 2026 ซึ่งมาพร้อมกับการอัปเดตด้านความปลอดภัยสำหรับแก้ไขช่องโหว่จำนวน 120 รายการ และไม่มีการเปิดเผยช่องโหว่แบบ Zero-day แต่อย่างใด (more…)

Trojan ใหม่ชื่อ TCLBanker ซึ่งมุ่งเป้าการโจมตีไปที่แพลตฟอร์มธนาคาร, Fintech และ Cryptocurrency ถึง 59 แห่ง โดยอาศัยตัวติดตั้ง MSI ของโปรแกรม Logitech AI Prompt Builder ที่ถูกฝังมัลแวร์ไว้เพื่อแพร่กระจายมัลแวร์เข้าสู่ระบบ

นอกจากนี้ มัลแวร์ยังมี Worm modules ที่สามารถแพร่กระจายตัวเองผ่านทาง WhatsApp และ Outlook เพื่อโจมตีเหยื่อรายใหม่ได้โดยอัตโนมัติ

Trojan ที่โจมตีระบบธนาคารใหม่นี้ถูกค้นพบโดย Elastic Security Labs โดยทีมนักวิจัยเชื่อว่ามันเป็นการพัฒนาต่อยอดครั้งสำคัญจากตระกูลมัลแวร์รุ่นเก่าอย่าง Maverick/Sorvepotel

แม้ว่าในปัจจุบัน TCLBanker จะดูเหมือนมุ่งเป้าไปที่ประเทศบราซิลเป็นหลัก แต่มัลแวร์จากกลุ่มประเทศละตินอเมริกา (LATAM) ในอดีตก็เคยมีการอัปเดตเพื่อขยายเป้าหมายการโจมตีมาแล้ว ดังนั้นความเสี่ยงที่ภัยคุกคามนี้จะขยายตัวลุกลามไปยังพื้นที่อื่นจึงมีอยู่จริง

ความสามารถของ TCLBanker

Elastic เตือนว่า TCLBanker มีระบบป้องกันการถูกวิเคราะห์ และการทำ Debugging ที่แน่นหนามาก โดยใช้กระบวนการถอดรหัส Payload ที่อิงตามสภาพแวดล้อม ซึ่งจะหยุดทำงานทันทีหากอยู่ในระบบ Sandbox หรือสภาพแวดล้อมของนักวิเคราะห์

นอกจากนี้ มัลแวร์ยังรัน Thread แบบ Watchdog ที่ทำงานแฝงตัวอยู่ตลอดเวลา เพื่อคอยสอดส่อง และตรวจจับเครื่องมือวิเคราะห์ต่าง ๆ อย่างต่อเนื่อง เช่น x64dbg, IDA, dnSpy, Frida, ProcessHacker, Ghidra, de4dot และโปรแกรมอื่น ๆ

มัลแวร์ตัวนี้จะถูกโหลดขึ้นมาทำงานภายใต้การทำงานของแอปพลิเคชัน Logitech ที่ถูกต้อง ผ่านเทคนิค DLL Side-loading ดังนั้นมันจึงไม่ไปกทำให้เกิดการแจ้งเตือนใด ๆ จากโปรแกรมรักษาความปลอดภัยที่ปกป้องเครื่องคอมพิวเตอร์ที่ติดมัลแวร์อยู่

นักวิจัยตั้งข้อสังเกตว่า แม้ตัว Loader ของมัลแวร์จะมีฟีเจอร์การทำงานที่หลากหลาย แต่ก็ไม่มีฟีเจอร์ใดที่มีความซับซ้อนขั้นสูงอย่างแท้จริง และจากร่องรอยในโค้ดก็แสดงให้เห็นว่าอาจมีการนำ AI มาช่วยในการพัฒนามัลแวร์ตัวนี้ด้วย

สำหรับ Module ที่ใช้ในการโจมตีระบบธนาคาร มันจะคอยตรวจสอบ Address bar ของ Browser ในทุก ๆ วินาที โดยอาศัย Windows UI Automation API เพื่อเฝ้าดูว่าเหยื่อได้เปิดเว็บไซต์ใดเว็บไซต์หนึ่งจาก 59 แพลตฟอร์มที่เป็นเป้าหมายหรือไม่

เมื่อเหตุการณ์นั้นเกิดขึ้น มันจะสร้างการเชื่อมต่อ WebSocket session กับเซิร์ฟเวอร์ Command-and-Control (C2) ทำการส่งข้อมูลของเหยื่อ และข้อมูลระบบกลับไป จากนั้นจะเริ่มกระบวนการควบคุมระบบจากระยะไกล

โดยความสามารถที่แฮ็กเกอร์ สามารถสั่งการได้นั้น ประกอบไปด้วย

การสตรีมหน้าจอแบบ Real-time
การจับภาพหน้าจอ
การดักจับข้อมูลการกด Keyboard
การขโมยข้อมูลที่คัดลอกไว้ใน Clipboard
การรันคำสั่งระบบผ่าน Shell command
การจัดการหน้าต่างโปรแกรม
การเข้าถึงระบบไฟล์
การตรวจสอบ และแสดงรายการโปรเซสที่กำลังทำงาน
การควบคุม Mouse และ Keyboard จากระยะไกล

ในระหว่างที่มี Sessions การทำงาน โปรเซส Task Manager จะถูกสั่งปิดเพื่อป้องกันไม่ให้ผู้ใช้เข้ามาขัดจังหวะ และเพื่อซ่อนกิจกรรมที่เป็นอันตรายไม่ให้เหยื่อสังเกตเห็น

เพื่อช่วยในการขโมยข้อมูล TCLBanker จะใช้ระบบ Overlay ที่ทำงานบนพื้นฐานของ WPF ซึ่งสามารถแสดงหน้าต่างปลอมต่าง ๆ เพื่อหลอกลวงเหยื่อได้ เช่น หน้าต่างแจ้งให้กรอกข้อมูล Credential ปลอม, Keypads สำหรับกดรหัส PIN, แบบฟอร์มเก็บข้อมูลเบอร์โทรศัพท์, หน้าจอรอรับการช่วยเหลือจากฝ่ายสนับสนุนของธนาคารปลอม, หน้าจอการอัปเดต Windows ปลอม และหน้าจอแสดงความคืบหน้าปลอมในรูปแบบต่าง ๆ

นอกจากนี้ ยังมีการใช้ Overlays แบบ Cutout ที่จะแสดงทับอยู่ด้านบนสุดเสมอ โดยจะยอมให้เหยื่อมองเห็นเฉพาะบางส่วนของแอปพลิเคชันจริงที่ถูกเลือกไว้เท่านั้น ในขณะที่ส่วนอื่น ๆ จะถูกบดบังเอาไว้

Worms บน WhatsApp และ Outlook

สิ่งที่น่าสนใจอีกอย่างหนึ่งของ TCLBanker คือความสามารถในการแพร่กระจายตัวเองได้โดยอัตโนมัติไปยังรายชื่อผู้ติดต่อที่เชื่อมโยงกับเหยื่อรายแรก

มัลแวร์ตัวนี้จะค้นหาโปรไฟล์ของ Browser ตระกูล Chromium เพื่อหาข้อมูล IndexedDB ของ WhatsApp Web ที่มีการเข้าสู่ระบบค้างไว้ จากนั้นจะสั่งรันหน้าต่าง Chromium แบบซ่อนตัวขึ้นมาเพื่อทำการยึดบัญชีของเหยื่อ

จากนั้น มันจะรวบรวมรายชื่อผู้ติดต่อ ทำการคัดกรองเอาเฉพาะเบอร์โทรศัพท์ของประเทศบราซิล และส่งข้อความสแปมไปหาคนเหล่านั้นจากบัญชีของเหยื่อ เพื่อหลอกล่อให้เป้าหมายให้กดเข้าไปยังแพลตฟอร์มที่ใช้สำหรับแพร่กระจายมัลแวร์ TCLBanker

ส่วน Worm module อีกตัวหนึ่งจะโจมตี Microsoft Outlook ผ่านระบบ COM automation โดยจะสั่งเปิดแอปพลิเคชัน เพื่อรวบรวมรายชื่อผู้ติดต่อรวมถึง email address ของผู้ส่ง แล้วทำการส่งอีเมล Phishing ออกไปโดยใช้บัญชีอีเมลของเหยื่อ

Elastic สรุปทิ้งท้ายว่า TCLBanker ถือเป็นตัวอย่างที่ชัดเจนที่แสดงให้เห็นถึงวิวัฒนาการของมัลแวร์ในกลุ่มประเทศละตินอเมริกา (LATAM) ซึ่งมีฟีเจอร์การโจมตีต่าง ๆ ให้กับอาชญากรทางไซเบอร์ระดับล่าง จากที่ในอดีตฟีเจอร์เหล่านี้จะมีให้ใช้งานเฉพาะในเครื่องมือที่มีความซับซ้อนขั้นสูงเท่านั้น

 

ที่มา : bleepingcomputer.

เหตุการณ์โจมตี Source code repository ของ Trellix ที่ถูกเปิดเผยเมื่อสัปดาห์ที่แล้ว ทางกลุ่มแฮ็กเกอร์ RansomHouse ได้ออกมาอ้างความรับผิดชอบ พร้อมทั้งปล่อยภาพจำนวนหนึ่งออกมาเพื่อเป็นหลักฐานในการโจมตีครั้งนี้ (more…)

ช่องโหว่ Zero-day ใหม่บน Linux ที่มีชื่อว่า Dirty Frag อาจทำให้ผู้โจมตีที่สามารถเข้าถึงเครื่องของเหยื่อได้ และได้รับสิทธิ์ Root บน Major Linux Distributions ส่วนใหญ่ได้ด้วยการใช้คำสั่งเพียงคำสั่งเดียว

Hyunwoo Kim นักวิจัยด้านความปลอดภัยเป็นผู้เปิดเผยช่องโหว่นี้เมื่อวันที่ 8 พฤษภาคมที่ผ่านมา พร้อมทั้งเผยแพร่ชุดโค้ด Proof-of-concept (PoC) โดยระบุว่า ช่องโหว่ Local privilege escalation นี้เกิดขึ้นมาเมื่อราว ๆ 9 ปีก่อนในส่วน Algorithm interface การเข้ารหัส algif_aead ของ Linux kernel

Dirty Frag ทำงานโดยการเชื่อมโยงช่องโหว่ 2 รายการของ Kernel เข้าด้วยกัน ได้แก่ ช่องโหว่ xfrm-ESP Page-Cache Write และช่องโหว่ RxRPC Page-Cache Write เพื่อทำการแก้ไขไฟล์ระบบที่ได้รับการปกป้องไว้ในหน่วยความจำโดยไม่ได้รับอนุญาต และทำให้สามารถยกระดับสิทธิ์ได้ในที่สุด

นอกจากนี้ แม้ว่า Dirty Frag จะจัดอยู่ในช่องโหว่ประเภทเดียวกันกับ Dirty Pipe และ Copy Fail บน Linux แต่มันก็ทำการโจมตีผ่าน Fragment field ของโครงสร้างข้อมูล Kernel ที่แตกต่างออกไป

Kim ระบุว่า "เช่นเดียวกับช่องโหว่ Copy Fail ก่อนหน้านี้ Dirty Frag อาจทำให้สามารถยกระดับสิทธิ์เป็น Root ได้ในทันทีบน Major distributions ทั้งหมด และมันทำงานโดยการเชื่อมโยงช่องโหว่ 2 รายการที่แยกจากกันเข้าด้วยกัน"

"Dirty Frag เป็นกรณีที่ขยายขอบเขตของ Bug class ที่ Dirty Pipe และ Copy Fail จัดอยู่ เนื่องจากมันเป็น Deterministic logic bug ซึ่งไม่ได้ขึ้นอยู่กับช่วงเวลา จึงไม่จำเป็นต้องอาศัยเงื่อนไข Race condition ส่งผลให้ Kernel ไม่เกิดการหยุดทำงานกะทันหันแม้การโจมตีจะไม่สำเร็จ และทำให้มีอัตราความสำเร็จที่สูงมาก"

การยกระดับสิทธิ์ระดับ Kernel นี้ส่งผลกระทบต่อ Linux distros เป็นวงกว้าง รวมถึง Ubuntu, Red Hat Enterprise Linux, CentOS Stream, AlmaLinux, openSUSE Tumbleweed และ Fedora ซึ่งในขณะนี้ยังไม่ได้รับการแพตช์แก้ไข

Kim ได้เผยแพร่เอกสารรายละเอียดของ Dirty Frag ฉบับสมบูรณ์ และชุดโค้ด PoC โดยได้รับความยินยอมจากผู้ดูแล Distribution หลังจากข้อตกลงในการระงับการเปิดเผยข้อมูลต่อสาธารณะถูกละเมิดเมื่อวันที่ 7 พฤษภาคม 2026 เนื่องจากมีบุคคลที่สามที่ไม่เกี่ยวข้องได้เผยแพร่วิธีการโจมตีดังกล่าวออกมา

Kim ระบุว่า "เนื่องจากข้อตกลงระงับการเปิดเผยข้อมูลถูกละเมิดไปแล้ว จึงยังไม่มีแพตช์แก้ไขหรือหมายเลข CVE ออกมารองรับในขณะนี้ หลังจากได้ปรึกษากับเหล่าผู้ดูแลผ่านทาง linux-distros@vs.

Microsoft แก้ไข 3 ช่องโหว่ระดับ Critical บน Microsoft 365 Copilot ที่อาจทำให้ข้อมูลสำคัญรั่วไหลได้

Microsoft ได้เปิดเผย และแก้ไขช่องโหว่ด้านความปลอดภัยระดับ Critical จำนวน 3 รายการ ที่ส่งผลกระทบโดยตรงต่อ Microsoft 365 Copilot และ Copilot Chat ใน Microsoft Edge โดยช่องโหว่ทั้งหมดได้รับการแก้ไขเรียบร้อยแล้วเมื่อวันที่ 7 พฤษภาคม 2026 ซึ่งผู้ใช้งานทั่วไป และผู้ดูแลระบบ ไม่จำเป็นต้องดำเนินการใด ๆ เพิ่มเติม (more…)

กลุ่มแฮ็กเกอร์ ShinyHunters ได้ทำการโจมตีระบบของ Instructure ซึ่งเป็นยักษ์ใหญ่ด้านเทคโนโลยีการศึกษาอีกครั้ง โดยคราวนี้ได้อาศัยช่องโหว่เพื่อแฮ็กเปลี่ยนหน้าเว็บ Portals สำหรับล็อกอิน Canvas ของวิทยาลัย และมหาวิทยาลัยอีกหลายร้อยแห่ง (more…)

Cisco ได้ออกอัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ประเภท Denial-of-Service (DoS) บนระบบ Crosswork Network Controller (CNC) และ Network Services Orchestrator (NSO) ซึ่งหากถูกโจมตี จะทำให้ระบบที่ตกเป็นเป้าหมายต้องทำการรีบูตอุปกรณ์ด้วยตนเองเพื่อกู้คืนการทำงานของระบบ (more…)