Corporate Services & SMEs Sector Weekly Report
ห้วงเวลา: 7-13 กันยายน 2569
TLP:CLEARในรอบสัปดาห์ที่ผ่านมา ภัยคุกคามไซเบอร์ต่อภาคบริการธุรกิจ องค์กรเอกชน และวิสาหกิจขนาดกลางและขนาดย่อม (SMEs) ทวีความซับซ้อนและมุ่งเน้นผลประโยชน์ทางการเงินอย่างเด่นชัด โดยมีประเด็นสำคัญ 4 ด้าน ได้แก่ (1) การนำ Generative AI มาช่วยสร้างความแนบเนียนในแคมเปญหลอกลวงสวมรอยผู้บริหารและออกใบแจ้งหนี้ปลอม (BEC/Invoice Fraud) เพื่อฉ้อโกงการโอนเงิน (2) การแพร่ระบาดของแพลตฟอร์มฟิชชิงสำเร็จรูป BigBear 2.0 บน Evilginx2 ที่ใช้เทคนิค Adversary-in-the-Middle (AiTM) ขโมยโทเค็นเซสชัน Microsoft 365 เพื่อบายพาส MFA (3) ปฏิบัติการกรรโชกทรัพย์สองชั้นของกลุ่มแรนซัมแวร์ DragonForce ที่แฝงตัวผ่าน Microsoft Teams นานหลายเดือนก่อนขโมยข้อมูลและเข้ารหัสระบบเครื่องแม่ข่ายเสมือน VMware ESXi และ (4) แคมเปญโจมตีอัตโนมัติด้วย Multi-Agent AI ที่เจาะช่องโหว่เซิร์ฟเวอร์จัดการการพิมพ์ PaperCut NG/MF เพื่อทำ DCSync ขโมยฐานข้อมูลรหัสผ่าน Active Directory ทั้งหมด
ทีมวิเคราะห์ความปลอดภัยของไมโครซอฟท์ตรวจพบแคมเปญหลอกลวงทางการเงินแบบ Business Email Compromise (BEC) และ Invoice Fraud ที่นำปัญญาประดิษฐ์ (Generative AI) มาใช้ร่างข้อความอีเมลหลอกลวงแบบเฉพาะเจาะจง โดยแอบอ้างเป็นผู้บริหารระดับสูงหรือคู่ค้าสำคัญ เช่น ServiceNow เพื่อส่งใบแจ้งหนี้ปลอมและสั่งการให้ฝ่ายการเงินขององค์กรเปลี่ยนแปลงบัญชีธนาคารปลายทาง ก่อนจะโอนเงินผ่านระบบ ACH หรือการโอนเงินระหว่างประเทศไปยังบัญชีของผู้ไม่หวังดี
กลุ่มอาชญากรไซเบอร์ที่มุ่งเน้นการฉ้อโกงทางการเงินต่อองค์กรธุรกิจ (Financially Motivated Threat Actors / BEC Cybercrime Syndicate)
อีเมลหลอกลวงแนบไฟล์ใบแจ้งหนี้ปลอม (Spearphishing Attachment) ส่งจากกล่องข้อความภายนอกที่จดทะเบียนโดเมนเลียนแบบคู่ค้า เช่น service-nowinc[.]com ร่วมกับการใช้บริการส่งต่ออีเมลภายนอก
ผู้โจมตีทำการรวบรวมข้อมูลโครงสร้างองค์กร รายชื่อผู้บริหาร และคู่ค้าทางธุรกิจจากแหล่งข้อมูลสาธารณะ จากนั้นใช้ Generative AI ช่วยเขียนเนื้อหาอีเมลและจัดทำใบแจ้งหนี้ที่มีรูปแบบและภาษาทางธุรกิจแนบเนียน เพื่อลดความสงสัยของฝ่ายบัญชี ตัวอีเมลถูกส่งผ่านโครงสร้างพื้นฐานของผู้ให้บริการบุคคลที่สาม และใช้โดเมนสวมรอย เช่น service-nowinc[.]com ที่ระบุอีเมลผู้ติดต่อ gomez@service-nowinc[.]com พร้อมทั้งตั้งค่าที่อยู่ตอบกลับ (Reply-To) ไปยังโดเมน domainlify[.]net เมื่อเหยื่อหลงเชื่อโอนเงินเข้าบัญชีตามคำขอ ผู้โจมตีจะยักยอกเงินออกไปยังเครือข่ายบัญชีม้าทันที
มีความเป็นไปได้สูง (Likely) - องค์กรธุรกิจและวิสาหกิจขนาดกลางและขนาดย่อม (SMEs) ในประเทศไทยมีการใช้บริการแพลตฟอร์มคลาวด์และติดต่อประสานงานกับคู่ค้าต่างประเทศเพิ่มขึ้นอย่างต่อเนื่อง การใช้ Generative AI ช่วยขจัดข้อผิดพลาดทางภาษาและสร้างความแนบเนียนในเอกสารใบแจ้งหนี้ ทำให้พนักงานฝ่ายบัญชีและการเงินในไทยลดความระมัดระวังลง และมีความเสี่ยงสูงที่จะหลงเชื่อโอนเงินเข้าบัญชีม้าของผู้ไม่หวังดี โดยเฉพาะเมื่อมีการแอบอ้างเป็นบริษัทผู้ให้บริการซอฟต์แวร์ระดับสากล
ยุทธศาสตร์: การนำ AI มาช่วยในการทำ BEC ทำให้การหลอกลวงแนบเนียนจนการสังเกตไวยากรณ์หรือข้อความผิดปกติแบบเดิมไม่เพียงพอ องค์กรต้องบังคับใช้กระบวนการอนุมัติการจ่ายเงินแบบสองทาง (Dual Authorization)
ยุทธการ: ผู้ไม่หวังดีมุ่งเน้นการโจมตีไปที่ห่วงโซ่การชำระเงินขององค์กรและคู่ค้า โดยอาศัยจังหวะเวลาที่มีการเปลี่ยนแปลงสัญญาหรือรอบการชำระเงินตามปกติ
ยุทธวิธี: ฝ่ายบัญชีต้องตรวจสอบการเปลี่ยนแปลงเลขบัญชีของคู่ค้าผ่านช่องทางการสื่อสารที่ยืนยันตัวตนได้ (Out-of-band verification) เช่น การโทรศัพท์ไปยังเบอร์ติดต่อที่บันทึกไว้ในระบบก่อนทำธุรกรรม
ภาคบริการธุรกิจ องค์กรเอกชน ฝ่ายการเงินและบัญชีของบริษัท และวิสาหกิจขนาดกลางและขนาดย่อม (SMEs)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิจัยจาก CloudSEK ตรวจพบปฏิบัติการฟิชชิงระดับสากล BigBear 2.0 ซึ่งเป็นบริการ Phishing-as-a-Service (PhaaS) ที่พัฒนาต่อยอดจาก Evilginx2 โดยใช้เทคนิค Adversary-in-the-Middle (AiTM) ผ่าน Phishlet ชื่อ offy เพื่อดักจับรหัสผ่านและโทเค็นเซสชันคุกกี้ (ESTSAUTH) ของ Microsoft 365 ส่งผลกระทบต่อ 461 องค์กรในกว่า 40 ประเทศ ขโมยระเบียนข้อมูลไปกว่า 5,137 รายการ โดยแพลตฟอร์มนี้ส่งต่อข้อมูลผ่านบอต Telegram แบบเรียลไทม์ และใช้เครือข่าย Residential Proxy ใน 69 ประเทศเพื่อข้ามการตรวจจับตำแหน่งที่ผิดปกติของ Microsoft
ผู้ดำเนินการใช้นามแฝง General Boss ให้บริการแพลตฟอร์มฟิชชิงสำเร็จรูป BigBear 2.0 แก่กลุ่มพันธมิตร (Affiliates) อย่างน้อย 5 รายผ่านเครือข่าย Telegram บอต
อีเมลฟิชชิงแนบลิงก์ที่นำเหยื่อเข้าสู่ Evilginx2 Reverse Proxy บนเซิร์ฟเวอร์ VPS ซึ่งจำลองพอร์ทัลเข้าสู่ระบบของ Microsoft 365 เพื่อดักรับข้อมูลการล็อกอินและเซสชันแบบถ่ายทอดสด
BigBear 2.0 ทำหน้าที่เป็น Reverse Proxy แบบเรียลไทม์บนเซิร์ฟเวอร์ VPS (ผู้ให้บริการ Vultr) โดยใช้ Phishlet ชื่อ offy ที่กำหนดค่าสำหรับดักจับการยืนยันตัวตนแบบ OAuth 2.0 ของ Microsoft 365 เมื่อเหยื่อกรอกรหัสผ่านและยืนยันตัวตนผ่าน MFA (เช่น SMS หรือ TOTP App) เซิร์ฟเวอร์ของ Evilginx2 จะดักจับโทเค็นเซสชัน ESTSAUTH ที่ Microsoft ออกให้ และบันทึกลงฐานข้อมูลพร้อมส่งไฟล์ cookie.js ไปยังบอต Telegram ของผู้โจมตีทันที นอกจากนี้ยังพบการฝังโค้ด JavaScript พิเศษ 3 ส่วนในหน้าล็อกอิน ได้แก่ โค้ดปิดการทำงานของ FIDO2/WebAuthn เพื่อบีบให้เหยื่อใช้ MFA แบบที่ดักจับได้ โค้ดบล็อก Telemetry ป้องกัน Microsoft ตรวจจับหน้าฟิชชิง และโค้ดคลิก Keep Me Signed In (Auto-KMSI) อัตโนมัติเพื่อยืดอายุเซสชันคุกกี้ให้นานขึ้น
มีความเสี่ยงระดับสูง (High Risk) - องค์กรเอกชน บริษัทข้ามชาติ และผู้ให้บริการด้านไอที (IT Services/MSPs) ในประเทศไทยใช้งาน Microsoft 365 และ Entra ID เป็นระบบยืนยันตัวตนหลัก การที่ผู้โจมตีใช้เทคนิค AiTM บน Evilginx2 ดักจับโทเค็นเซสชันคุกกี้ทำให้สามารถข้ามระบบ MFA แบบดั้งเดิม (SMS/OTP) ได้อย่างสมบูรณ์ ประกอบกับการใช้ Residential Proxy ในไทยทำให้ไม่ทริกเกอร์ระบบตรวจจับตำแหน่งผิดปกติ หากโทเค็นของผู้ดูแลระบบรั่วไหล จะนำไปสู่การจารกรรมข้อมูลและการเข้าควบคุมโครงสร้างพื้นฐานทั้งองค์กร
ยุทธศาสตร์: การบังคับใช้ MFA แบบดั้งเดิม (SMS/OTP/Push) ไม่สามารถป้องกันการโจมตีแบบ AiTM ได้ องค์กรธุรกิจต้องเร่งเปลี่ยนผ่านสู่ระบบ Phishing-Resistant MFA (FIDO2/Passkey)
ยุทธการ: ผู้ไม่หวังดีใช้เครือข่าย Residential Proxy ใน 69 ประเทศเพื่อให้ IP การล็อกอินตรงกับประเทศของเหยื่อ และใช้ ipapi.is บล็อกนักวิจัยที่เชื่อมต่อผ่าน VPN หรือ Datacenter IP
ยุทธวิธี: ผู้ดูแลระบบควรเพิกถอนเซสชันและรีเฟรชโทเค็นทันทีเมื่อพบสัญญาณต้องสงสัย บังคับใช้นโยบาย Conditional Access กำหนดให้ล็อกอินได้เฉพาะจาก Compliant Devices และบล็อกโดเมนและ IP ของ Evilginx2 ในระบบรักษาความปลอดภัย
ภาคบริการธุรกิจและไอที (IT Services/MSP 151 แห่ง, SaaS/Tech 38 แห่ง, ที่ปรึกษา 16 แห่ง) รวมถึงภาคพลังงานและเภสัชกรรม รวมกว่า 461 องค์กรในกว่า 40 ประเทศ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
รายงานข้อมูลเชิงลึกระบุว่ากลุ่มพันธมิตรแรนซัมแวร์ DragonForce ได้ขยายปฏิบัติการกรรโชกทรัพย์สองชั้น (Double-Extortion) มุ่งเป้าโจมตีบริษัทผู้ให้บริการทางธุรกิจ คลังสินค้า และเครือข่ายองค์กร โดยเจาะระบบผ่านช่องโหว่ซอฟต์แวร์บริหารจัดการระยะไกล SimpleHelp RMM หรือหลอกลวงเจ้าหน้าที่ Helpdesk ก่อนใช้คำสั่ง PsExec และ WMIC กระจายตัวเข้ารหัส และฝังตัวผ่านแบ็กดอร์ Backdoor.Turn ที่สื่อสารผ่าน Microsoft Teams เพื่อพรางทราฟฟิก C2 นานหลายเดือน ก่อนจะขโมยข้อมูลและเข้ารหัสระบบแม่ข่ายเสมือน VMware ESXi
กลุ่มแรนซัมแวร์ DragonForce (Cartel Operations) ซึ่งดึงเอาเครื่องมือและเครือข่ายพันธมิตรของ RansomHub และ LockBit เข้ามาร่วมปฏิบัติการกรรโชกทรัพย์
การเจาะช่องโหว่บนเซิร์ฟเวอร์ SimpleHelp RMM การใช้ข้อมูลบัญชีผู้ใช้ที่รั่วไหล และการโทรหลอกลวงเจ้าหน้าที่ไอที (Helpdesk Vishing) เพื่อรีเซ็ตรหัสผ่าน
เมื่อเข้าสู่เครือข่ายสำเร็จ ผู้โจมตีจะใช้เทคนิค Living-off-the-Land (LOLBAS) โดยใช้คำสั่ง PsExec และ WMIC เพื่อกระจายตัวเข้ารหัสไปยังเครื่องลูกข่ายและเซิร์ฟเวอร์ต่างๆ ในเครือข่าย พร้อมทั้งใช้แบ็กดอร์ Backdoor.Turn ซึ่งแอบส่งทราฟฟิก C2 ผ่านโครงสร้างพื้นฐานของ Microsoft Teams ทำให้สามารถแฝงตัวอยู่ในระบบได้นานหลายเดือนโดยไม่ถูกตรวจจับ ก่อนจะทำการสกัดข้อมูลลับ ขโมยฐานข้อมูลรหัสผ่าน Active Directory และปล่อยตัวเข้ารหัสแรนซัมแวร์ที่ใช้กุญแจเข้ารหัส AES-256 เจาะจงทำลายระบบเครื่องแม่ข่ายเสมือนบน VMware ESXi ส่งผลให้ระบบสารสนเทศและการบริการธุรกิจขององค์กรต้องหยุดชะงัก
มีความเสี่ยงระดับสูง (High Risk) - บริษัทเอกชนและผู้ให้บริการในห่วงโซ่อุปทานในไทยมีการใช้งานเครื่องแม่ข่ายเสมือน VMware ESXi และใช้ Microsoft Teams ในการประสานงานภายในองค์กรเป็นวงกว้าง การที่กลุ่ม DragonForce แฝงตัวผ่านแอปพลิเคชันที่เชื่อถือได้อย่าง Teams ช่วยให้หลบเลี่ยงระบบไฟร์วอลล์และระบบตรวจจับเครือข่ายของไทยได้นานหลายเดือน หากเซิร์ฟเวอร์ ESXi ถูกเข้ารหัสและข้อมูลลับทางธุรกิจถูกขโมยไปกรรโชกทรัพย์ จะสร้างความเสียหายทางการเงินและชื่อเสียงอย่างมหาศาลต่อองค์กรในประเทศ
ยุทธศาสตร์: องค์กรธุรกิจต้องตระหนักว่าแรนซัมแวร์ยุคใหม่ใช้วิธีกรรโชกทรัพย์สองชั้น การสำรองข้อมูลเพียงอย่างเดียวไม่สามารถยับยั้งความเสียหายจากการปล่อยข้อมูลลับสู่สาธารณะได้
ยุทธการ: ผู้ไม่หวังดีใช้การอำพรางทราฟฟิก C2 ผ่านแอปพลิเคชันธุรกิจที่น่าเชื่อถืออย่าง Microsoft Teams เพื่อให้มีเวลาสำรวจและขโมยข้อมูลลับเป็นเวลานาน
ยุทธวิธี: ฝ่ายความมั่นคงปลอดภัยต้องจำกัดสิทธิ์การเข้าถึงคอนโซล VMware ESXi และตรวจสอบการเชื่อมต่อ API ของ Microsoft Teams ที่มีพฤติกรรมผิดปกติ
ภาคบริการธุรกิจ คลังสินค้า โลจิสติกส์ บริษัทผู้ผลิต และองค์กรภาคเอกชน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ตรวจพบแคมเปญโจมตีระดับสากลที่ควบคุมการทำงานด้วยระบบอัตโนมัติแบบ Multi-Agent AI (MCA) เจาะช่องโหว่บนเซิร์ฟเวอร์จัดการการพิมพ์และเอกสาร PaperCut NG/MF (CVE-2026-81578 และ CVE-2026-82078) ซึ่งกระทบองค์กรธุรกิจ บริการระดับมืออาชีพ และหน่วยงานต่างๆ กว่า 440 แห่งใน 48 ประเทศ ระบบ AI ทำการสแกน เจาะระบบ ดัมป์ความลับจาก Registry และหน่วยความจำ LSASS ติดตั้ง Ligolo-ng ทันเนล และทำ DCSync เพื่อดึงฐานข้อมูลรหัสผ่าน Active Directory ทั้งหมดไปขยายผลยึดครองโดเมน
กลุ่มผู้ก่อภัยคุกคามที่ใช้ระบบ Multi-Agent AI อัตโนมัติ (AI-Orchestrated Cybercrime Campaign)
การส่งโค้ดเจาะช่องโหว่บนซอฟต์แวร์ PaperCut NG/MF ผ่านพอร์ตบริการเว็บที่เปิดให้เข้าถึงได้จากเครือข่าย
ระบบ Multi-Agent AI ทำการสแกนและยิงช่องโหว่ CVE-2026-81578 และ CVE-2026-82078 อัตโนมัติ เมื่อเข้าถึงระบบได้ จะสร้างไฟล์พยานหลักฐาน pcp_<10rand>.txt ในไดเรกทอรีเว็บ จากนั้นสั่งรันคำสั่ง reg save เพื่อดัมป์ข้อมูลไฮฟ์ SYSTEM และ SECURITY ออกมาเป็นไฟล์ pc-system.hiv และ pc-security.hiv ในโฟลเดอร์ Temp แปลงเป็น Base64 ด้วย certutil แล้วส่งออกข้อมูลผ่าน HTTP นอกจากนี้ ตัวแทน AI ยังดาวน์โหลดเครื่องมือเก็บข้อมูลลับ เช่น lsa_read.exe (MD5: 528cd4e69ecfa5191adbcf6ef28667bf) จาก IP 45.142.193[.]132:8000 และติดตั้ง Ligolo-ng ในชื่อ C:\ProgramData\LegitSvc\legit-svc.exe เพื่อเชื่อมต่อ C2 ไปยัง 45.142.193[.]132 และ 45.158.196[.]75 ก่อนใช้เทคนิค DCSync ดัมป์ไฟล์ NTDS.DIT เพื่อขโมยรหัสผ่านทั้งโดเมน
มีความเป็นไปได้สูงและเสี่ยงสูง (Likely - High Risk) - หน่วยงานธุรกิจ สถาบันการศึกษา และผู้ให้บริการสำนักงานร่วม (Co-Working Spaces) ในประเทศไทยมีการติดตั้งและใช้งานเซิร์ฟเวอร์จัดการการพิมพ์ PaperCut NG/MF จำนวนมาก โดยส่วนใหญ่มักเปิดให้เข้าถึงผ่านเครือข่ายภายในหรืออินเทอร์เน็ต การโจมตีด้วยระบบ Multi-Agent AI ทำให้กระบวนการสแกนหาช่องโหว่ ดัมป์ข้อมูลความลับ และการทำ DCSync เกิดขึ้นอย่างรวดเร็ว ส่งผลให้ผู้โจมตีสามารถยึดครองโดเมน Active Directory ขององค์กรได้ก่อนที่ทีมงานรักษาความปลอดภัยจะตรวจจับได้ทัน
ยุทธศาสตร์: ซอฟต์แวร์บริการจัดการงานพิมพ์มักถูกละเลยการติดตั้งแพตช์ แต่มีสิทธิ์ระดับสูงในโดเมน ทำให้กลายเป็นจุดอ่อนสำคัญของโครงสร้างพื้นฐานธุรกิจ
ยุทธการ: การใช้ตัวแทน AI โจมตีแบบขนานทำให้ความเร็วในการเจาะระบบและขโมยฐานข้อมูลรหัสผ่านเกิดขึ้นเร็วกว่าที่ทีมงานความปลอดภัยจะตอบสนองได้ทัน
ยุทธวิธี: ฝ่ายไอทีต้องเร่งอัปเดตแพตช์ PaperCut ให้เป็นเวอร์ชันล่าสุด ไม่เปิดให้อินเทอร์เน็ตเข้าถึงหน้าจัดการเว็บ และบล็อกหมายเลข IP ของผู้โจมตีที่ไฟร์วอลล์
ภาคบริการธุรกิจ องค์กรเอกชน สถาบันการศึกษา หน่วยงานรัฐ และผู้ให้บริการไอทีทั่วโลก
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
PsExec, WMIC และการทำ DCSync ในระบบ Active Directory อย่างใกล้ชิด