CGI-CTI-WEEKLY-20260824-TRN - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการขนส่งและโลจิสติกส์ ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบการโจมตีติดตั้งบอตเน็ตบนอุปกรณ์ควบคุมในรถยนต์และความปลอดภัยของกล้องวงจรปิด รวมถึงสหรัฐฯ แจ้งเตือนภัยคุกคามสคริปต์ที่สร้างด้วย AI เพื่อโจมตีระบบควบคุมอุตสาหกรรม (PLC)

ภาพรวมประจำสัปดาห์

สัปดาห์นี้ ภัยคุกคามไซเบอร์ในภาคการขนส่งและโลจิสติกส์มุ่งเน้นไปที่ระบบอุปกรณ์เชื่อมต่ออัจฉริยะ (IoT) และระบบควบคุมการผลิต (OT) เป็นสำคัญ ประการแรก มีการตรวจพบการโจมตีฝังมัลแวร์บนเฟิร์มแวร์ในอุปกรณ์ควบคุมในรถยนต์ (Head Unit) เพื่อใช้เป็นเครื่องมือสร้างบอตเน็ตพรางตา ประการต่อมา สหรัฐฯ ออกประกาศเตือนภัยคุกคามเกี่ยวกับการใช้ปัญญาประดิษฐ์ (AI) ช่วยเขียนโค้ดเพื่อสแกนและควบคุมระบบอุปกรณ์ควบคุมอุตสาหกรรม (PLC) ของ Siemens ซึ่งสคริปต์เหล่านี้ทำให้เกิดความเสี่ยงต่อระบบคมนาคมและทางราง และประการสุดท้าย มีการเผยปฏิบัติการ CameraSwarm เจาะเข้าควบคุมกล้องวงจรปิด Dahua นับหมื่นเครื่อง ย้ำเตือนถึงความเสี่ยงต่อความปลอดภัยทางกายภาพและคลังสินค้าอย่างมีนัยสำคัญ

เหตุการณ์เด่นประจำสัปดาห์

มัลแวร์ระบบ Android แพร่กระจายตัวดาวน์โหลด JarService และบอตเน็ต Zhima ผ่านเฟิร์มแวร์อุปกรณ์ควบคุมในรถยนต์

เผยแพร่: 21 สิงหาคม 2569 · แหล่งที่มา: Kaspersky · Admiralty A2

นักวิจัยความปลอดภัยตรวจพบมัลแวร์ระบบ Android ที่มีเป้าหมายเป็นอุปกรณ์ควบคุมในรถยนต์ (Head Unit) ของผู้ผลิต DoFun โดยผู้โจมตีเจาะระบบการอัปเดตของแอปพลิเคชันระบบ TWCore เพื่อบังคับให้อุปกรณ์ดาวน์โหลดตัวติดตั้ง JarService โดยไม่มีปฏิสัมพันธ์จากผู้ใช้ จากนั้นตัวมัลแวร์จะดาวน์โหลดโมดูล “zhima” (แปล: เมล็ดงา) ทำหน้าที่เป็น Residential Proxy เพื่อเปลี่ยนระบบยานยนต์ให้กลายเป็นโหนดของบอตเน็ตพรางตาในการให้บริการแบนด์วิดท์สำหรับฉ้อโกงทางโฆษณาและส่งผ่านปริมาณข้อมูลที่น่าสงสัยของกลุ่มผู้โจมตี MoYu Group

ผลกระทบต่อประเทศไทย

ยังไม่พบรายงานผลกระทบโดยตรงต่อระบบขนส่งในประเทศไทย แต่ประเมินว่ามีความเสี่ยงทางอ้อมในระดับสูง เนื่องจากอุปกรณ์ควบคุมในรถยนต์ระบบ Android ที่ผลิตจากผู้ผลิตภายนอกมีการนำเข้าและติดตั้งใช้งานอย่างแพร่หลายในรถยนต์ส่วนบุคคลและฝูงรถโลจิสติกส์ของไทย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การขยายพื้นที่การโจมตีไปยังระบบไอทีในยานยนต์อัจฉริยะสะท้อนถึงการเจาะห่วงโซ่อุปทานของผู้ผลิตชิ้นส่วนยานยนต์เพื่อสร้างบอตเน็ตพรางตาในระยะยาว

ยุทธการ: ผู้โจมตีกลุ่ม MoYu Group นำโครงสร้างพื้นฐานเดิมของบอตเน็ต BADBOX มาพัฒนาต่อเนื่องเพื่อควบคุมอุปกรณ์อัจฉริยะนอกเหนือจากสมาร์ตทีวี

ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยของฝูงรถขนส่งควรตรวจสอบและปิดกั้นการเข้าถึงที่ผิดปกติไปยังโดเมนและไอพีภายนอกของอุปกรณ์ควบคุมระบบ Android

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ยานยนต์ (Automotive) และผู้ใช้ระบบควบคุมระบบ Android ในรถยนต์

MITRE ATT&CK

T1195.002 Compromise Software Supply Chain T1090.002 External Proxy T1105 Ingress Tool Transfer T1071.001 Web Protocols

IOC ที่สำคัญ

ovcloudcontrol.cdn.cardoor[.]cn 144.217.243[.]201

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

Kaspersky: First Android malware targeting automotive head units

สหรัฐฯ แจ้งเตือนความเสี่ยงการใช้สคริปต์ที่สร้างด้วยปัญญาประดิษฐ์และไลบารี Snap7 ในการพุ่งเป้าควบคุมอุปกรณ์ควบคุมอุตสาหกรรม Siemens S7

เผยแพร่: 19 สิงหาคม 2569 · แหล่งที่มา: CISA · Admiralty A1

หน่วยงานความมั่นคงร่วมของสหรัฐฯ ออกประกาศเตือนว่าผู้ไม่หวังดีใช้สคริปต์สแกนและควบคุมที่สร้างขึ้นด้วยปัญญาประดิษฐ์ (AI) ในการพุ่งเป้าโจมตีอุปกรณ์ควบคุมอุตสาหกรรม (PLC) ตระกูล Siemens S7 ผ่านพอร์ต TCP 102 เครื่องมือเหล่านี้ใช้ไลบารีสาธารณะ snap7 และสคริปต์ python-snap7 ในการจำลองตัวตนเป็นซอฟต์แวร์วิศวกรรมที่ถูกต้องเพื่อส่งคำสั่งอ่านและเขียนค่าลงในหน่วยความจำและตัวควบคุมของ PLC ซึ่งจะช่วยให้ผู้โจมตีขโมยข้อมูลการตั้งค่าและแทรกแซงการทำงานทางกายภาพได้โดยตรง

ผลกระทบต่อประเทศไทย

ยังไม่พบเหตุการณ์ในไทยในรายงานฉบับนี้ ทว่าอุปกรณ์ควบคุมอุตสาหกรรม Siemens S7 ถูกใช้งานแพร่หลายในระบบอาณัติสัญญาณรถไฟ ระบบจัดขบวนรถไฟฟ้า และระบบควบคุมท่าเรือของไทย จึงมีความเสี่ยงเชิงยุทธศาสตร์ที่ผู้ไม่หวังดีจะใช้วิธีนี้โจมตีโครงสร้างพื้นฐานคมนาคมไทย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การลดอุปสรรคด้านความรู้ทางเทคนิคด้วย AI ทำให้กลุ่มผู้โจมตีทั่วไปสามารถเขียนชุดคำสั่งโจมตีระบบเทคโนโลยีปฏิบัติการ (OT) ได้รวดเร็วขึ้น

ยุทธการ: ผู้คุกคามมุ่งเป้าโจมตีอุปกรณ์ควบคุมที่เชื่อมต่อโดยตรงกับอินเทอร์เน็ตสาธารณะหรือไม่มีการแบ่งแยกส่วนเครือข่ายไอทีกับโอทีที่เข้มงวดพอ

ยุทธวิธี: องค์กรที่ดูแลระบบขนส่งมวลชนควรยกเลิกการเผยแพร่พอร์ต TCP 102 ออกสู่อินเทอร์เน็ต และตรวจสอบการปิดการใช้งานฟังก์ชัน PUT/GET บนตัวอุปกรณ์ PLC

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โครงสร้างพื้นฐานทางคมนาคมขนส่ง พลังงาน การผลิต และระบบควบคุมทางวิศวกรรมที่พึ่งพา PLC ตระกูล Siemens S7

MITRE ATT&CK

T1588.007 Artificial Intelligence T0821 Modify Controller Tasking T0834 Native API T1059.006 Python

IOC ที่สำคัญ

ยังไม่มี IOC เครือข่ายสาธารณะ - ติดตามคำแนะนำการป้องกันทางวิศวกรรมจากต้นทาง

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

CISA: AA26-231A - Threat Actors Exploiting Siemens S7 PLCs using AI-assisted scripts and Snap7

ปฏิบัติการ CameraSwarm แสวงหาผลประโยชน์จากช่องโหว่บายพาสสิทธิ์และระบบคลาวด์คุมกล้องวงจรปิด Dahua กว่า 14,000 เครื่องในรัสเซียและยูเครน

เผยแพร่: 18 สิงหาคม 2569 · แหล่งที่มา: Hunt.io · Admiralty B2

นักวิจัยความปลอดภัยเปิดเผยปฏิบัติการตรวจพบการเจาะเข้าควบคุมกล้องวงจรปิด Dahua จำนวน 14,530 เครื่อง โดยผู้โจมตีใช้ช่องทางหลัก 3 วิธี คือ การโจมตีรหัสผ่านที่อ่อนแอผ่านพอร์ต 37777 การบายพาสสิทธิ์ผ่านช่องโหว่ความรุนแรงสูง (CVE-2021-33044 และ CVE-2021-33045) เพื่อฝังบัญชีผู้ใช้งานถาวร และการเชื่อมต่อผ่านระบบ P2P Cloud เพื่อควบคุมกล้องที่อยู่หลังการแปลงที่อยู่เครือข่าย (NAT) ปฏิบัติการนี้ใช้ซอฟต์แวร์ขโมยข้อมูล SalatStealer เคียงคู่กับเครื่องมือเจาะระบบเพื่อส่งข้อมูลภาพและรหัสผ่านกลับไปยังช่องทางโทรเลขของผู้คุมบอตเน็ต

ผลกระทบต่อประเทศไทย

ยังไม่มีการยืนยันถึงความเสียหายในประเทศไทยจากรายงานฉบับนี้ แต่อุปกรณ์กล้องวงจรปิด Dahua มีการใช้งานอย่างแพร่หลายในอาคารสนามบิน คลังสินค้าโลจิสติกส์ และระบบขนส่งสาธารณะของไทย ซึ่งเสี่ยงต่อการถูกสอดแนมการเคลื่อนย้ายสินค้าทางกายภาพ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ความปลอดภัยทางกายภาพของโครงสร้างพื้นฐานคมนาคมและคลังสินค้ายึดโยงอยู่กับอุปกรณ์ IoT หากขาดการอัปเดตช่องโหว่จะถูกแปลงสภาพเป็นช่องทางข้ามเครือข่ายได้ง่าย

ยุทธการ: ผู้ไม่หวังดีใช้โครงสร้างพื้นฐานคลาวด์ P2P ของตัวผู้ผลิตเองในการเชื่อมต่อและค้นหาเป้าหมายโดยตรง ซึ่งเลี่ยงการตรวจจับความปลอดภัยของไฟร์วอลล์ทั่วไป

ยุทธวิธี: ผู้ดูแลคลังสินค้าและหน่วยงานคมนาคมควรปิดบริการ P2P บนตัวกล้องวงจรปิดหากไม่มีความจำเป็น และเร่งติดตั้งเฟิร์มแวร์เพื่อแก้ไขช่องโหว่ปี 2564 ดังกล่าว

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

อุปกรณ์กล้องวงจรปิด Dahua ที่ติดตั้งในระบบความปลอดภัย โครงสร้างพื้นฐาน คลังสินค้า และอุตสาหกรรมโทรคมนาคม

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1110 Brute Force T1136.001 Local Account T1567.004 Exfiltration Over Webhook

IOC ที่สำคัญ

154.86.119[.]60 de03a0ae5c7aa0c237ae36a649875f986fd9701ac06857dd214054367ce5090c

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

Hunt.io: Operation CameraSwarm: Dahua IP Cameras Compromised

แคมเปญมัลแวร์เรียกค่าไถ่ Medusa ยกระดับการเจาะระบบโครงสร้างพื้นฐานสำคัญผ่านช่องโหว่ซอฟต์แวร์จัดการและเครื่องมือควบคุมระบบภายใน

เผยแพร่: 19 สิงหาคม 2569 · แหล่งที่มา: SafeBreach · Admiralty B2

รายงานภัยคุกคามฉบับปรับปรุงระบุว่ากลุ่มผู้โจมตีมัลแวร์เรียกค่าไถ่ Medusa ได้ยกระดับขีดความสามารถในการโจมตีโครงสร้างพื้นฐานสำคัญทั่วโลก โดยใช้ช่องโหว่ความรุนแรงสูงในซอฟต์แวร์การจัดการระบบ เช่น ScreenConnect และ Fortinet EMS เพื่อติดตั้งเน็ตเวิร์กประตูหลังและแฝงตัวเข้าเครือข่าย จากนั้นผู้โจมตีจะใช้เครื่องมือที่มีอยู่แล้วในระบบเพื่อขโมยข้อมูลประจำตัว และเข้ารหัสไฟล์ข้อมูลเพื่อทำการรีดไถสองทาง โดยใช้อุปกรณ์โปรแกรมขับระบบและซอฟต์แวร์หลบหลีกการตรวจจับในการยุติบริการความปลอดภัย

ผลกระทบต่อประเทศไทย

ไม่พบรายงานองค์กรไทยได้รับผลกระทบโดยตรงในรอบการอัปเดตสัปดาห์นี้ อย่างไรก็ตาม บริษัทขนส่งและโลจิสติกส์ในไทยที่พึ่งพาโซลูชันการทำงานระยะไกลจำเป็นต้องเฝ้าระวังอย่างเข้มงวดเพื่อป้องกันไม่ให้ระบบจัดส่งและคลังสินค้าถูกปิดกั้นจากการเข้ารหัสข้อมูล

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ภัยคุกคามในรูปแบบบริการ (RaaS) ของ Medusa ที่ร่วมมือกับตัวแทนนายหน้าเข้าถึงระบบระบบไอทีเบื้องต้น (IAB) แสดงถึงห่วงโซ่อุปทานอาชญากรรมทางไซเบอร์ที่มีการแบ่งงานทำอย่างเป็นระบบ

ยุทธการ: ผู้โจมตีเน้นการแสวงประโยชน์จากช่องโหว่ของซอฟต์แวร์ที่ไม่มีการแพตช์ทันที และขโมยบัญชีผู้ใช้องค์กรผ่านการพ่นรหัสผ่านเพื่อเข้าถึงระบบที่ไม่มี MFA

ยุทธวิธี: หน่วยงานควรเปิดการใช้งานการยืนยันตัวตนแบบหลายปัจจัย (MFA) ทุกจุดเข้าใช้งานจากภายนอก และตรวจสอบบันทึกการทำงานของ PowerShell เพื่อค้นหาพฤติกรรมสคริปต์ที่พยายามปิดกั้นระบบป้องกันภัย

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โครงสร้างพื้นฐานสำคัญ เทคโนโลยีสารสนเทศ การผลิต ระบบสาธารณสุข และการขนส่ง

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1486 Data Encrypted for Impact T1059.001 PowerShell T1567.002 Exfiltration to Cloud Storage

IOC ที่สำคัญ

83.138.53[.]139 erp.ranasons[.]com

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

SafeBreach: SafeBreach Coverage of CISA Advisory (AA25-071A) Medusa Ransomware

ข้อสังเกตประจำสัปดาห์

ความมั่นคงปลอดภัยของภาคการขนส่งและโลจิสติกส์ถูกคุกคามผ่านช่องทางห่วงโซ่อุปทานไอที (Supply Chain) มากขึ้น ทั้งการโจมตีซอฟต์แวร์ระบบในยานยนต์และการฝังบัญชีควบคุมกล้องวงจรปิด ทำให้ยากแก่การตรวจจับด้วยการป้องกันระดับเครือข่ายทั่วไป
การลดลงของอุปสรรคทางเทคนิคในการโจมตีระบบควบคุมอุตสาหกรรม (OT) จากการนำ AI มาช่วยเขียนโค้ด ทำให้ระบบคมนาคมที่พึ่งพา Siemens PLCs มีความเสี่ยงที่จะเป็นเป้าหมายของการป่วนระบบเชิงยุทธศาสตร์มากขึ้น
ผู้ให้บริการมัลแวร์เรียกค่าไถ่แบบ RaaS เช่น กลุ่ม Medusa ยังคงมุ่งเน้นโจมตีโครงสร้างพื้นฐานสำคัญ โดยประสานงานกับกลุ่มนายหน้าเข้าถึงระบบ (IAB) เพื่อหาช่องทางแทรกซึมผ่านระบบภายนอกที่ไม่มีการรักษาความปลอดภัยอย่างหนาแน่น

ข้อเสนอแนะ

สำรวจสัญญากล้องวงจรปิด Dahua และอุปกรณ์ Android Head Unit ในฝูงรถยนต์ เพื่อปิดโปรโตคอล P2P และช่องทางเชื่อมต่ออินเทอร์เน็ตที่ไม่มีความจำเป็น
ยกเลิกการเผยแพร่พอร์ต TCP 102 ของ Siemens PLCs ทุกรุ่นออกสู่สาธารณะโดยทันที และแยกส่วนเครือข่ายควบคุมอุตสาหกรรม (OT) ออกจากเครือข่ายสำนักงาน (IT)
บังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) กับบัญชีควบคุมระบบการจัดการทางไกล เช่น ScreenConnect และระบบความปลอดภัยขององค์กรอย่างเข้มงวด
ตั้งค่าการตรวจสอบและจำกัดสิทธิ์การรันคำสั่ง PowerShell และสคริปต์สแกนเครื่องมือภายในองค์กรเพื่อขัดขวางการสำรวจระบบของผู้ไม่หวังดี
ติดตั้งอัปเดตเฟิร์มแวร์อุปกรณ์ควบคุมในรถยนต์และกล้องวงจรปิดอย่างสม่ำเสมอ โดยเฉพาะช่องโหว่หมายเลข CVE-2021-33044 และ CVE-2021-33045

สรุป: รายงานเฝ้าระวังภัยคุกคามไซเบอร์รายสัปดาห์ฉบับนี้ชี้ให้เห็นถึงความจำเป็นในการตรวจสอบอุปกรณ์ IoT และระบบควบคุมอุตสาหกรรมที่ใช้งานในอุตสาหกรรมขนส่งและโลจิสติกส์ของไทย การวางมาตรการสกัดกั้นตั้งแต่ต้นทางรวมถึงการอัปเดตความปลอดภัยอย่างสม่ำเสมอจะช่วยลดความเสี่ยงจากการหยุดชะงักทางธุรกิจและการรั่วไหลของข้อมูลองค์กร

TLP:CLEAR

ห้วงเวลาข้อมูล: 17-23 สิงหาคม 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)