Financial & Banking Weekly Report
ห้วงเวลา: 24-30 สิงหาคม 2569
TLP:CLEARภาพรวมภัยคุกคามภาคส่วนการเงินประจำสัปดาห์นี้ เผชิญกับการหลุดรั่วของรหัสต้นฉบับมัลแวร์โทรจันโมบายธนาคารและการขโมยข้อมูลชำระเงินที่ซับซ้อน นักวิจัยพบว่าซอร์สโค้ดของโทรจันบนอุปกรณ์เคลื่อนที่ชื่อดังได้รับการปล่อยตัวสู่สาธารณะส่งผลให้กลุ่มมิจฉาชีพดัดแปลงนำไปใช้งานได้ง่ายขึ้น อีกด้านหนึ่ง แคมเปญดักจับบัตรเครดิตร้านค้าออนไลน์ได้ขยายตัวโดยใช้ประโยชน์จากเครือข่ายบล็อกเชนในการซ่อนสคริปต์ดักข้อมูล นอกจากนี้ การแพร่กระจายของส่วนขยายเบราว์เซอร์ปลอมสวมรอยบริการเครือข่ายและการส่งเอกสารหลอกลวง PDF ยังคงเป็นช่องทางสำคัญในการดูดทรัพย์สินดิจิทัลและเจาะระบบสถาบันการเงิน
ทีมนักวิจัยความมั่นคงปลอดภัยจาก Censys รายงานข้อมูลการสืบสวนเครือข่ายเซิร์ฟเวอร์ควบคุมมัลแวร์กลุ่มโทรจันการเงินบน Android ตระกูล ERMAC 3.0 และ HookBot ภายหลังตรวจพบการรั่วไหลของซอร์สโค้ดต้นฉบับมัลแวร์ดังกล่าวสู่สาธารณะ มัลแวร์เหล่านี้สามารถสวมสิทธิ์การควบคุมหน้าจอของโทรศัพท์ผ่านฟีเจอร์ช่วยเหลือ (Accessibility Features) ดักจับรหัสผ่านแอปพลิเคชันธุรกรรมการเงิน ตลอดจนอ่านข้อมูลกล่องข้อความเพื่อขโมยรหัสผ่าน OTP ส่งออกไปยังพอร์ทของเซิร์ฟเวอร์ควบคุมของคนร้าย
น่าจะกระทบไทย (likely) - ผู้ใช้งานโทรศัพท์เคลื่อนที่ในไทยมีการทำธุรกรรมผ่านแอปพลิเคชันธนาคารบนระบบปฏิบัติการ Android สูงเป็นอันดับต้นๆ การหลุดรั่วของซอร์สโค้ดมัลแวร์ดังกล่าวทำให้กลุ่มมิจฉาชีพในประเทศสามารถนำไปปรับแต่งโจมตีผู้ใช้ชาวไทยได้ง่ายขึ้น
ยุทธศาสตร์: การเผยแพร่ซอร์สโค้ดของเครื่องมือโจมตีสำเร็จรูปส่งผลให้ขีดความสามารถการทำอาชญากรรมทางเทคโนโลยีแพร่กระจายตัวอย่างรวดเร็วไปยังผู้ไม่หวังดีหน้าใหม่
ยุทธการ: ผู้โจมตีเริ่มหันมาใช้เทคนิคการบันทึกภาพหน้าจอและการดักจับรหัสผ่าน เพื่อเข้าควบคุมอุปกรณ์จากระยะไกลและทำรายการโอนเงินได้โดยสมบูรณ์
ยุทธวิธี: ผู้ใช้งานควรจำกัดการติดตั้งแอปพลิเคชันนอกร้านค้าที่เป็นทางการ และธนาคารควรพัฒนาเทคโนโลยีคัดกรองพฤติกรรมการแชร์หน้าจอของโทรศัพท์แปลกปลอม
สถาบันการเงิน ผู้ให้บริการกระเป๋าเงินดิจิทัล และผู้ใช้งานสมาร์ทโฟนระบบปฏิบัติการ Android
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ตรวจพบแคมเปญโจมตีดักขโมยข้อมูลชำระเงินของกลุ่ม Magecart ในชื่อ HexMage โดยคนร้ายใช้วิธีฝังโค้ดอันตรายในรูปแบบ Smart Contract บนเครือข่ายบล็อกเชนของ Binance Smart Chain เพื่อเป็นที่เก็บสคริปต์สวมรอยชำระเงินหรือที่เรียกว่าเทคนิค EtherHiding โค้ดดังกล่าวจะทำหน้าที่ดักจับข้อมูลหน้าบัตรเครดิตและข้อมูลส่วนบุคคลของผู้ใช้ขณะทำการเช็คเอาท์สินค้าผ่านเว็บไซต์อีคอมเมิร์ซที่ถูกเจาะระบบ ก่อนจะส่งข้อมูลขโมยออกไปยังกลุ่มเซิร์ฟเวอร์ควบคุมภายนอก
น่าจะกระทบไทย (likely) - ผู้ซื้อสินค้าชาวไทยที่ทำธุรกรรมชำระเงินผ่านบัตรเครดิตในร้านค้าต่างประเทศหรือร้านค้าออนไลน์ที่มีช่องโหว่ความมั่นคงปลอดภัยมีความเสี่ยงถูกขโมยข้อมูลบัตรเครดิตและนำไปใช้ทำธุรกรรมโดยมิชอบ
ยุทธศาสตร์: การหันมาใช้โครงสร้างบล็อกเชนเป็นแหล่งเก็บโค้ดสคริปต์ส่งผลให้การตรวจจับของแอนตี้ไวรัสระดับเว็บเซิร์ฟเวอร์ไม่สามารถบล็อกการเข้าถึงได้โดยง่าย
ยุทธการ: ผู้โจมตีขยายพฤติกรรมโดยการรวบรวมร้านค้าเป้าหมายทั่วโลกเพื่อสร้างระบบดักจับและส่งข้อมูลออกแบบอัตโนมัติผ่านช่องทางพรางตัว
ยุทธวิธี: ผู้ให้บริการเว็บไซต์ร้านค้าออนไลน์ควรตรวจสอบประวัติการรันสคริปต์ภายนอก และเปิดการใช้งาน Content Security Policy (CSP) อย่างรัดกุม
ธุรกิจการค้าอิเล็กทรอนิกส์ (E-Commerce) ผู้ซื้อสินค้าออนไลน์ และผู้รับชำระเงินผ่านบัตรเครดิต
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ตรวจพบการระบาดของแคมเปญส่งมัลแวร์ Superior ผ่านการล่อลวงให้เหยื่อดาวน์โหลดส่วนขยาย (Extension) ปลอมบน Google Chrome และ Microsoft Edge โดยสวมรอยเป็นบริการมีประโยชน์ เช่น โปรแกรมเปลี่ยนไอพีเครือข่ายส่วนบุคคล (VPN) หรือเครื่องมือทำงานสำนักงาน เมื่อส่วนขยายถูกติดตั้ง จะเข้าทำการดักจับคุกกี้สิทธิ์การเข้าใช้งานบราวเซอร์ รวมถึงเข้าแทรกแซงและรันสคริปต์กระเป๋าเงินคริปโทเคอร์เรนซี (Wallet Drainer) เพื่อดูดโอนทรัพย์สินเงินดิจิทัลของเหยื่อออกไปทั้งหมดโดยไม่ได้รับอนุญาต
น่าจะกระทบไทย (likely) - มีผู้ใช้งานกระเป๋าเงินสินทรัพย์ดิจิทัลและกลุ่มลงทุนคริปโทเคอร์เรนซีในไทยที่ใช้งานบราวเซอร์ Chrome และ Edge เป็นจำนวนมาก มีโอกาสโดนล่อลวงติดตั้งบริการเสี่ยงเหล่านี้
ยุทธศาสตร์: ความนิยมในสินทรัพย์ดิจิทัลกระตุ้นให้เกิดความพยายามเจาะช่องโหว่ของผู้ใช้ปลายทางโดยการสวมรอยเป็นระบบอำนวยความสะดวกทั่วไป
ยุทธการ: ผู้โจมตีเปลี่ยนพฤติกรรมจากการฝังซอฟต์แวร์ขนาดใหญ่ มาเป็นการฝังโค้ดขนาดเล็กในส่วนขยายเบราว์เซอร์เพื่อความทนทานและการหลบหลีก
ยุทธวิธี: ผู้ใช้งานควรปิดการติดตั้งส่วนขยายจากภายนอกที่ไม่น่าเชื่อถือ และหมั่นตรวจสอบสิทธิ์การอ่านข้อมูลเว็บของส่วนขยายต่างๆ
ผู้ถือครองสินทรัพย์ดิจิทัล (Cryptocurrency) ผู้ใช้งานเว็บบราวเซอร์ทั่วไป และระบบผู้ให้บริการแลกเปลี่ยนเงินคริปโต
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
รายงานข้อมูลการตรวจพบแคมเปญส่งเมลล่อลวงด้วยเอกสารแนบ PDF ที่มีเป้าหมายหลักในภาคการเงิน โครงการล่อลวงจะพยายามพาเหยื่อไปดาวน์โหลดและติดตั้งชุดคำสั่งสั่งงานอัตโนมัติ ซึ่งจะส่งผลให้ระบบดึงโปรแกรมควบคุมระยะไกลเชิงพาณิชย์ (ScreenConnect) ที่แฮกเกอร์ฝังตัวสิทธิ์เข้าถึง และรันคำสั่งยิงมัลแวร์ดักขโมยข้อมูล (XLoader หรือ FormBook) เข้าสู่หน่วยความจำกระบวนการทำงานเพื่อขโมยข้อมูลการสนทนา รหัสผ่าน และขีดความต้องการรักษาสิทธิ์ของเครือข่ายภายในองค์กร
ยังไม่พบการระบุถึงเป้าหมายหรือความเสียหายในไทยโดยตรง (none-in-report) - แต่เป็นภัยแฝงระดับองค์กรที่ผู้ดูแลระบบความปลอดภัยของหน่วยงานการเงินไทยต้องทบทวนสิทธิ์การรันคำสั่งสคริปต์ของพนักงาน
ยุทธศาสตร์: ความคุ้นชินในการเปิดไฟล์เอกสารแนบยังคงเป็นช่องทางเข้าถึงเริ่มแรกที่มีการแสวงหาประโยชน์และได้ผลดีต่อภาคส่วนที่มีมูลค่าข้อมูลสูง
ยุทธการ: ผู้โจมตีใช้ประโยชน์จากเครื่องมือจัดการระบบอย่างเป็นทางการเพื่อพรางตาจากการสแกนความปลอดภัยปกติและรักษาการเชื่อมต่ออย่างทนทาน
ยุทธวิธี: ผู้ดูแลระบบควรจำกัดพฤติกรรมการเรียกใช้งานระบบจัดการ RMM ที่องค์กรไม่ได้ใช้งาน และเปิดใช้งานระบบตรวจจับไฟล์สคริปต์อันตรายในอีเมลขาเข้า
สถาบันการเงินและโครงสร้างการดำเนินงานของฝ่ายบริการลูกค้าเทคโนโลยีสารสนเทศ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง