CGI-CTI-WEEKLY-20260914-HLT  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคส่วนสาธารณสุขและการแพทย์ ประจำสัปดาห์

Healthcare & Public Health Sector Weekly Report

ห้วงเวลา: 7-13 กันยายน 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบแคมเปญฟิชชิงเจาะจงหลอกลวงบุคลากรทางการแพทย์ด้วยแบบฟอร์มคัดกรองสุขภาพ (DocuSign Lure) และแคมเปญฟิชชิง Browser-in-the-Browser หลอกติดตั้งโปรแกรม ScreenConnect สำหรับองค์กรทั่วไป รวมถึงรายงานวิเคราะห์โปรไฟล์กลุ่ม Scattered Spider ที่ใช้การหลอกลวง Helpdesk เพื่อข้าม MFA และปล่อยแรนซัมแวร์ ตลอดจนแคมเปญ AI Agent อัตโนมัติที่เจาะช่องโหว่เซิร์ฟเวอร์ระบบพิมพ์ PaperCut ในสถานพยาบาล

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ที่ผ่านมา ภาคส่วนสาธารณสุขและการแพทย์เผชิญกับภัยคุกคามทางไซเบอร์ที่มุ่งเป้าต่อข้อมูลเวชระเบียนและความต่อเนื่องในการให้บริการทางการแพทย์ โดยมีประเด็นสำคัญ 4 ประการ ได้แก่ (1) แคมเปญฟิชชิงแนบไฟล์หรือลิงก์ DocuSign ปลอมแปลงเป็นแบบฟอร์มคัดกรองสุขภาพและใบอนุญาตทางการแพทย์ เพื่อล่อลวงบุคลากรโรงพยาบาลให้เปิดไฟล์มัลแวร์ HTA และติดตั้งโปรแกรมควบคุมระยะไกล ScreenConnect (2) การแพร่ระบาดของแคมเปญฟิชชิงแบบ Browser-in-the-Browser (BitB) ที่จำลองหน้าต่างเบราว์เซอร์ได้อย่างสมจริงเพื่อหลอกติดตั้งซอฟต์แวร์ซัพพอร์ตระยะไกล (3) รายงานวิเคราะห์โปรไฟล์เชิงลึกของกลุ่ม Scattered Spider ที่ใช้กลลวงทางสังคมโทรหลอกลวง IT Helpdesk เพื่อรีเซ็ตข้อมูลและบายพาส MFA ก่อนเจาะลึกไปเข้ารหัสระบบ VMware ESXi และ (4) แคมเปญ AI Agent อัตโนมัติเจาะช่องโหว่เซิร์ฟเวอร์จัดการการพิมพ์ PaperCut NG/MF ที่พบในโรงพยาบาลและสถาบันการศึกษาเพื่อยึดครองโดเมน

เหตุการณ์เด่นประจำสัปดาห์

การใช้เอกสาร DocuSign แอบอ้างการตรวจคัดกรองสุขภาพส่งมัลแวร์ HTA และติดตั้ง ScreenConnect

เผยแพร่: 10 กันยายน 2569  ·  แหล่งที่มา: Menlo Security  ·  Admiralty B2

ผู้ไม่หวังดีเปิดตัวแคมเปญฟิชชิงบนเว็บโดยแอบอ้างบริการลงนามเอกสาร DocuSign ร่วมกับเนื้อหาแจ้งเตือนการตรวจคัดกรองประวัติสุขภาพของผู้ถือใบอนุญาตทางการแพทย์ในรัฐฟลอริดา เพื่อหลอกลวงให้เหยื่อดาวน์โหลดไฟล์บันทึกข้อมูลอันตรายรูปแบบ HTA สคริปต์ดังกล่าวจะขอสิทธิ์ผู้ดูแลระบบผ่านหน้าต่าง UAC ปิดการทำงานของฟังก์ชันความปลอดภัย Microsoft Defender SmartScreen ใน Windows Registry และลักลอบติดตั้งโปรแกรม ConnectWise ScreenConnect Access ในโหมดเงียบเพื่อสร้างช่องทางควบคุมเครื่องระยะไกลแบบถาวร

ผู้ดำเนินการคุกคาม

ยังไม่ระบุกลุ่มผู้ก่อภัยคุกคามอย่างเป็นทางการ (Unattributed Threat Actor) โดยมีรูปแบบพฤติกรรมมุ่งเน้นการใช้วิศวกรรมสังคมเจาะจงกลุ่มบุคลากรทางการแพทย์ร่วมกับโครงสร้างพื้นฐานคลาวด์สาธารณะ

เวกเตอร์การโจมตี

หน้าเว็บฟิชชิงบน Cloudflare Pages เลียนแบบหน้าส่งเอกสาร DocuSign และสร้างกระบวนการตรวจสอบเบราว์เซอร์ปลอมสไตล์ Cloudflare เพื่อส่งมอบไฟล์บีบอัด ZIP ผ่าน Cloudflare Workers

การวิเคราะห์ทางเทคนิค

การโจมตีเริ่มต้นที่หน้าเว็บฟิชชิงซึ่งแสดงตราสัญลักษณ์ DocuSign และระบุว่าเป็นหนังสือแจ้งเตือนการตรวจคัดกรองสุขภาพ เมื่อเหยื่อผ่านขั้นตอนการตรวจสอบปลอม ระบบจะดาวน์โหลดไฟล์ ZIP ที่บรรจุไฟล์สคริปต์ Florida Background Screening Notice.hta (SHA-256: 1d5ab21ee92e4212ece319a383dd7593e3b4a998df135bfefc7fad7874c90587) เมื่อรันไฟล์ สคริปต์จะตรวจสอบสิทธิ์ผู้ดูแลระบบและเปิดหน้าต่างขอสิทธิ์ UAC ผ่านคำสั่ง runas ของ mshta.exe หากได้รับการยินยอม สคริปต์จะเข้าไปแก้ไข Registry เพื่อปิด SmartScreen (ตั้งค่า SmartScreenEnabled เป็น Off และ EnableSmartScreen เป็น 0) จากนั้นใช้คำสั่ง curl.exe หรือ PowerShell ดาวน์โหลดตัวติดตั้ง ScreenConnect.ClientSetup.msi จากโดเมน admin.rshiahub[.]com และรันคำสั่ง msiexec /i "%TEMP%\Installer.msi" /qn /norestart เพื่อติดตั้งแบบไม่แสดงผล พร้อมทั้งเปิดไฟล์ PDF ลวง f1040.pdf บังหน้าเพื่อลดความสงสัย

ผลกระทบต่อประเทศไทย

มีความเสี่ยงระดับสูง (High Risk) - บุคลากรทางการแพทย์ แพทย์ พยาบาล และเจ้าหน้าที่โรงพยาบาลในประเทศไทยต้องติดต่อรับส่งเอกสารแบบฟอร์มสุขภาพ ใบอนุญาตประกอบวิชาชีพ และหนังสือแจ้งเตือนจากหน่วยงานกำกับดูแลอย่างสม่ำเสมอ การใช้หัวข้อการคัดกรองสุขภาพร่วมกับตราสัญลักษณ์ DocuSign เป็นกลลวงทางจิตวิทยาที่มีประสิทธิผลสูง หากบุคลากรหลงเชื่อเปิดไฟล์ HTA และติดตั้ง ScreenConnect แบบซ่อนตัว ผู้โจมตีจะสามารถควบคุมเครื่องปลายทางและแทรกซึมเข้าสู่ระบบสารสนเทศโรงพยาบาล (Hospital Information System: HIS) ได้อย่างลึกซึ้ง

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: บุคลากรทางการแพทย์ตกเป็นเป้าหมายของการหลอกลวงด้วยเอกสารรับรองวิชาชีพและประวัติสุขภาพ องค์กรต้องบังคับใช้นโยบายควบคุมการติดตั้งซอฟต์แวร์ระยะไกลอย่างเคร่งครัด

ยุทธการ: ผู้โจมตีใช้ประโยชน์จากบริการคลาวด์ที่น่าเชื่อถืออย่าง Cloudflare Pages และ Workers เพื่อหลบเลี่ยงการตรวจจับระดับเครือข่ายและระบบคัดกรองเว็บแบบดั้งเดิม

ยุทธวิธี: ผู้ดูแลระบบควรตั้งค่ายับยั้งการรันไฟล์ .hta ผ่าน mshta.exe ตรวจสอบการแก้ไข Registry ในส่วนของ SmartScreen และตรวจจับการเรียกใช้งานโปรแกรม RMM ที่ไม่ได้รับอนุญาต

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคสาธารณสุขและการแพทย์ บุคลากรทางการแพทย์ ผู้ถือใบอนุญาตประกอบวิชาชีพเวชกรรม และโรงพยาบาล

MITRE ATT&CK
T1566.002 Spearphishing Link T1218.005 Mshta T1059.001 PowerShell T1219 Remote Access Software T1562.001 Disable or Modify Tools
IOC ที่สำคัญ
floridalicense.pages[.]dev/floridahealthcarescreeningnoticeforlicenseholders docusig-document-sign6702.docusign-sign.workers[.]dev/download admin.rshiahub[.]com 1d5ab21ee92e4212ece319a383dd7593e3b4a998df135bfefc7fad7874c90587

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: From Fake DocuSign to ScreenConnect: Inside a Web Attack Stopped Before Payload Delivery

แคมเปญฟิชชิง Browser-in-the-Browser หลอกติดตั้งโปรแกรม ScreenConnect เพื่อฝังตัวถาวร

เผยแพร่: 9 กันยายน 2569 (รายงาน 2 เหตุการณ์เมื่อ 25 และ 31 ส.ค. 2569)  ·  แหล่งที่มา: Huntress  ·  Admiralty B2

นักวิจัยจาก Huntress ตรวจพบแคมเปญฟิชชิงที่ใช้เทคนิค Browser-in-the-Browser (BiTB) จำลองหน้าต่างเว็บเบราว์เซอร์และแสดง URL ปลอมของ Adobe (เช่น get.adobe.com) ภายในหน้าเว็บ จาก 2 เหตุการณ์ที่เกิดขึ้นในช่วงปลายเดือนสิงหาคม 2569 โดยกรณีแรกส่งผ่านอีเมลล่อลวงของ Gmail และกรณีที่สองส่งผ่านการแจ้งเตือน RingCentral / AT&T Office@Hand เพื่อหลอกลวงให้ผู้ใช้ดาวน์โหลดและติดตั้งตัวติดตั้งโปรแกรม ScreenConnect สองตัวซ้ำซ้อนกันเพื่อสร้างช่องทางเข้าถึงระบบแบบถาวร พร้อมทั้งรันโปรแกรมเสริมเพื่อซ่อนเคอร์เซอร์และพรางการควบคุมระยะไกลไม่ให้ผู้ใช้ผิดสังเกต

ผู้ดำเนินการคุกคาม

กลุ่มอาชญากรไซเบอร์ที่มุ่งเน้นการใช้เทคนิค RMM ฝังตัวในระบบองค์กร (Financially motivated threat actors / RMM abuse operators)

เวกเตอร์การโจมตี

อีเมลฟิชชิง (ทั้งการแจ้งเตือนเอกสารทั่วไปและข้อความเสียงของ RingCentral / AT&T Office@Hand) ที่มีลิงก์นำทางไปยังหน้า CAPTCHA ปลอม ก่อนเปลี่ยนเส้นทางไปยังหน้าเอกสารที่แสดงหน้าต่างจำลอง BiTB ของ Adobe Acrobat

การวิเคราะห์ทางเทคนิค

รายงานของ Huntress วิเคราะห์ 2 เหตุการณ์ที่เกิดขึ้นแยกกันเมื่อวันที่ 25 และ 31 สิงหาคม 2569 ซึ่งใช้เทคนิคเดียวกัน: ในเหตุการณ์แรก ผู้ใช้ได้รับอีเมลผ่าน Gmail นำทางไปยังหน้า CAPTCHA ก่อนเข้าสู่หน้า BiTB ที่จำลองแอดเดรสบาร์และกุญแจความปลอดภัยของ get.adobe.com หลอกให้ดาวน์โหลดไฟล์ ScreenConnect.ClientSetup.exe (SHA-256: 41d2097e8ac636a478aa011e12128c03b3b9bb3c8efca43d3c4f214ac8b1f07b) ส่วนในเหตุการณ์ที่สอง เป็นการส่งอีเมลแอบอ้างข้อความเสียงของ RingCentral / AT&T Office@Hand นำไปสู่การดาวน์โหลดตัวติดตั้ง AdbRdBkUpsStUp.msi โดยทั้งสองกรณี หลังจากไคลเอนต์ ScreenConnect ตัวแรกเชื่อมต่อไปยังเซิร์ฟเวอร์ Relay แล้ว ผู้โจมตีจะใช้คำสั่ง cmd.exe และ curl ดาวน์โหลดไคลเอนต์ ScreenConnect ตัวที่สองเชื่อมต่อไปยัง IP 144.172.115[.]59:8041 ในรูปแบบ Windows Service ซ้ำซ้อนกันทั้งสองตัว นอกจากนี้ ผู้โจมตียังรันไบนารี HideCursor.exe (SHA-256: fc96a04c615847f0fb1391f04d9d1aac7f78ddfb7d459168df0a4172b98354e2) หรือ HideUL.exe เพื่อซ่อนเมาส์ระหว่างที่ผู้โจมตีเข้าควบคุมเครื่อง

ผลกระทบต่อประเทศไทย

มีความเป็นไปได้สูง (Likely) - แผนกเวชระเบียน ธุรการ และการเงินในสถานพยาบาลของไทยต้องเปิดอ่านไฟล์เอกสารผลตรวจและใบส่งตัวผู้ป่วยที่เป็นไฟล์ PDF จากแหล่งภายนอกอยู่เป็นประจำ การใช้เทคนิค Browser-in-the-Browser (BiTB) จำลองหน้าต่าง Adobe Acrobat พร้อมแสดงแถบที่อยู่เว็บและกุญแจความปลอดภัยปลอม ทำให้ผู้ใช้งานไม่สามารถแยกแยะความผิดปกติได้ การติดตั้ง ScreenConnect ซ้ำซ้อนสองตัวทำให้คนร้ายสามารถคงสิทธิ์การเข้าถึงแบบถาวร แม้ระบบป้องกันจะตรวจจับและลบตัวแรกออกไปแล้วก็ตาม

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การพึ่งพาการตรวจเช็ก URL บนแอดเดรสบาร์ไม่เพียงพออีกต่อไปเมื่อมีเทคนิค BiTB องค์กรจำเป็นต้องใช้การควบคุมสิทธิ์ติดตั้งโปรแกรมในระดับ Endpoint Policy

ยุทธการ: ผู้ไม่หวังดีใช้การติดตั้งเครื่องมือ RMM ซ้ำซ้อนสองตัวเพื่อป้องกันกรณีที่ไคลเอนต์ตัวแรกถูกโปรแกรมแอนติไวรัสตรวจพบและลบทิ้ง

ยุทธวิธี: ฝ่ายไอทีควรเฝ้าระวังโปรเซสที่เรียกใช้งานคำสั่งเชื่อมต่อไปยังพอร์ต RMM ภายนอก ตรวจสอบเซอร์วิสใหม่ที่ถูกสร้างขึ้นในระบบ และจำกัดสิทธิ์ผู้ใช้ไม่ให้รันตัวติดตั้งจากโฟลเดอร์ Downloads

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจและหน่วยงานทั่วไปที่บุคลากรเปิดอ่านไฟล์เอกสารภายนอก (รายงานต้นฉบับไม่ได้ระบุประเภทอุตสาหกรรมเฉพาะเจาะจง)

MITRE ATT&CK
T1566.002 Spearphishing Link T1204.001 Malicious Link T1219 Remote Access Software T1543.003 Windows Service T1036 Masquerading
IOC ที่สำคัญ
144.172.115[.]59 adoube[.]vu instance-uxh86b-relay[.]screenconnect[.]com relay[.]goldenmelon[.]us 41d2097e8ac636a478aa011e12128c03b3b9bb3c8efca43d3c4f214ac8b1f07b fc96a04c615847f0fb1391f04d9d1aac7f78ddfb7d459168df0a4172b98354e2

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Phishing Attacks Serve Browser-in-the-Browser Pages, Rogue RMM Persistence

รายงานวิเคราะห์โปรไฟล์กลุ่ม Scattered Spider และยุทธวิธีวิศวกรรมสังคมเจาะระบบ Identity และปล่อยแรนซัมแวร์

เผยแพร่: 8 กันยายน 2569 (รายงานโปรไฟล์กลุ่มภัยคุกคาม)  ·  แหล่งที่มา: DeXpose  ·  Admiralty B2

รายงานวิเคราะห์โปรไฟล์กลุ่มภัยคุกคาม Scattered Spider (รู้จักในชื่อ UNC3944, Octo Tempest หรือ 0ktapus) ซึ่งเป็นกลุ่มอาชญากรไซเบอร์ที่มีความเชี่ยวชาญสูงด้านวิศวกรรมสังคม โดยใช้การโทรศัพท์หลอกลวงเจ้าหน้าที่ IT Helpdesk (Voice Phishing หรือ Vishing) ร่วมกับการส่ง SMS และการทำ SIM Swapping เพื่อหลอกให้รีเซ็ตรหัสผ่านหรือลงทะเบียนอุปกรณ์ยืนยันตัวตน MFA ใหม่ เมื่อเข้าถึงระบบคลาวด์และ Identity Provider สำเร็จ ผู้โจมตีจะแทรกซึมเข้าควบคุม Active Directory และไฮเปอร์ไวเซอร์ VMware ESXi เพื่อเข้ารหัสเซิร์ฟเวอร์เสมือนด้วยแรนซัมแวร์ เช่น DragonForce, RansomHub หรือ ALPHV/BlackCat

ผู้ดำเนินการคุกคาม

Scattered Spider (UNC3944 / Octo Tempest / 0ktapus) กลุ่มอาชญากรไซเบอร์ที่มีความชำนาญสูงด้านวิศวกรรมสังคมและการเจาะระบบ Identity Provider

เวกเตอร์การโจมตี

การโทรศัพท์หลอกลวงเจ้าหน้าที่ศูนย์บริการลูกค้า (Helpdesk Vishing) การยิงคำขอแจ้งเตือน MFA ซ้ำๆ เพื่อสร้างความรำคาญ (MFA Fatigue) และการสลับซิมการ์ด (SIM Swapping)

การวิเคราะห์ทางเทคนิค

บทความจาก DeXpose เป็นการวิเคราะห์ภาพรวมเชิงลึกของกลุ่ม Scattered Spider ซึ่งมีพฤติกรรมรวบรวมข้อมูลพนักงานเป้าหมายจากโซเชียลมีเดีย เช่น LinkedIn และฐานข้อมูลรั่วไหล จากนั้นโทรศัพท์ไปยัง IT Helpdesk เพื่อแอบอ้างเป็นพนักงานและขอรีเซ็ตรหัสผ่านหรือเพิ่มอุปกรณ์ MFA ตัวใหม่เข้าสู่ระบบ เมื่อได้รับสิทธิ์เข้าใช้งาน Okta หรือ Azure AD ผู้โจมตีจะติดตั้งเครื่องมือรีโมต เช่น AnyDesk หรือ ScreenConnect หรือโทรจัน RattyRAT เพื่อสร้างความต่อเนื่องในการเชื่อมต่อ จากนั้นจะมุ่งเป้าเจาะระบบ Active Directory และขยายผลไปยังคลัสเตอร์ VMware ESXi เพื่อควบคุมระบบโครงสร้างพื้นฐาน และปล่อยแรนซัมแวร์ในเครือข่ายคู่ค้า เช่น DragonForce, RansomHub หรือ ALPHV เข้าไปสั่งปิดและเข้ารหัสอิมเมจของเครื่องเสมือน (VMDK) ทั้งหมด ทั้งนี้ บทความต้นฉบับระบุเป้าหมายที่เคยตกเป็นเหยื่อในอดีตครอบคลุมหลากหลายอุตสาหกรรม เช่น โรงแรม สายการบิน ค้าปลีก ประกันภัย ยานยนต์ และผู้ให้บริการเทคโนโลยีคลาวด์

ผลกระทบต่อประเทศไทย

มีความเสี่ยงระดับวิกฤต (Critical Risk) - โรงพยาบาลขนาดใหญ่และศูนย์การแพทย์ในประเทศไทยมีการรวมศูนย์ระบบบริหารจัดการอัตลักษณ์ผู้ใช้งานบนคลาวด์ และมีแผนก IT Helpdesk คอยให้บริการรีเซ็ตรหัสผ่านแก่แพทย์และเจ้าหน้าที่ตลอด 24 ชั่วโมง การโจมตีด้วยการโทรศัพท์หลอกลวง (Vishing) ร่วมกับการยิงคำขอยืนยันตัวตน MFA ซ้ำๆ มุ่งเป้าไปที่จุดอ่อนด้านมนุษย์โดยตรง หากคนร้ายสามารถเข้าถึงระบบ Identity และเข้าควบคุมคลัสเตอร์เซิร์ฟเวอร์เสมือน VMware ESXi ของโรงพยาบาล จะส่งผลให้ระบบให้บริการผู้ป่วยวิกฤตและห้องผ่าตัดหยุดชะงักทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: จุดอ่อนสำคัญไม่ได้อยู่ที่ช่องโหว่ซอฟต์แวร์เพียงอย่างเดียว แต่อยู่ที่กระบวนการยืนยันตัวตนของมนุษย์ที่ Helpdesk องค์กรต้องปรับระเบียบการรีเซ็ตรหัสผ่านและ MFA ให้รัดกุม

ยุทธการ: ผู้โจมตีประสานงานอย่างรวดเร็วระหว่างการขโมยบัญชีผู้ใช้ระดับสูงกับการเข้ายึดระบบไฮเปอร์ไวเซอร์ เพื่อเข้ารหัสข้อมูลเครื่องแม่ข่ายก่อนที่ทีมงานความปลอดภัยจะตรวจจับและตัดการเชื่อมต่อได้ทัน

ยุทธวิธี: องค์กรควรนำระบบยืนยันตัวตนแบบ FIDO2/Passkey มาใช้แทน SMS/App OTP และกำหนดให้การรีเซ็ตอุปกรณ์ MFA ต้องผ่านการยืนยันตัวตนแบบเห็นหน้าหรือมีผู้บังคับบัญชารับรอง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ธุรกิจโรงแรม สายการบิน ค้าปลีก ประกันภัย ยานยนต์ ผู้ให้บริการเทคโนโลยีคลาวด์ และองค์กรขนาดใหญ่ที่มีการใช้งาน Identity Provider (เป็นรายงานโปรไฟล์กลุ่ม ไม่ได้ระบุเหยื่อเฉพาะเจาะจงในรอบสัปดาห์)

MITRE ATT&CK
T1598.004 Voice Phishing T1656 Impersonation T1621 Multi-Factor Authentication Request Generation T1078.002 Domain Accounts T1486 Data Encrypted for Impact
IOC ที่สำคัญ
พฤติกรรมการโทรเข้า Helpdesk เพื่อขอรีเซ็ต MFA หรือรหัสผ่านนอกเวลาทำการปกติ การร้องขอการยืนยันตัวตน MFA ถี่ผิดปกติจากหมายเลข IP ต่างประเทศ (MFA Fatigue) การเชื่อมต่อระบบจัดการ VMware ESXi CLI จากบัญชีผู้ใช้ที่ไม่ได้รับอนุญาต

ดูรายละเอียดการวิเคราะห์และ TTPs เพิ่มเติมที่ลิงก์ด้านล่าง

แหล่งที่มา: Scattered Spider | Who They Are & How to Stop Them

แคมเปญ AI Agents อัตโนมัติเจาะช่องโหว่เซิร์ฟเวอร์ PaperCut NG/MF ของสถานพยาบาลและองค์กรทั่วโลก

เผยแพร่: 9 กันยายน 2569  ·  แหล่งที่มา: GreyNoise  ·  Admiralty B2

ตรวจพบแคมเปญโจมตีระดับสากลที่ควบคุมการทำงานด้วยระบบอัตโนมัติแบบ Multi-Agent AI (MCA) เจาะช่องโหว่บนเซิร์ฟเวอร์จัดการการพิมพ์และเอกสาร PaperCut NG/MF (CVE-2026-81578 และ CVE-2026-82078) โดยมุ่งเป้าสถานพยาบาล 8 แห่งและองค์กรรวมกว่า 440 แห่งใน 48 ประเทศ ระบบ AI ดังกล่าวสามารถขโมยข้อมูลลับจาก Windows Registry ดัมป์หน่วยความจำ LSASS ติดตั้ง Ligolo-ng ทันเนล และทำ DCSync เพื่อดึงฐานข้อมูลรหัสผ่าน Active Directory ทั้งหมดได้โดยอัตโนมัติ

ผู้ดำเนินการคุกคาม

กลุ่มผู้ก่อภัยคุกคามที่ใช้ระบบ Multi-Agent AI อัตโนมัติ (AI-Orchestrated Cybercrime Campaign)

เวกเตอร์การโจมตี

การใช้โค้ดเจาะช่องโหว่ความมั่นคงปลอดภัยบนซอฟต์แวร์ PaperCut NG/MF ผ่านพอร์ตบริการเว็บที่เปิดสู่เครือข่าย

การวิเคราะห์ทางเทคนิค

แคมเปญนี้ใช้ตัวแทน AI ทำการสแกนและส่งโค้ดโจมตีช่องโหว่ CVE-2026-81578 และ CVE-2026-82078 ไปยังเครื่องแม่ข่าย PaperCut เมื่อเจาะเข้าสู่ระบบได้ จะสร้างไฟล์พยานหลักฐาน pcp_<10rand>.txt ในไดเรกทอรีเว็บ จากนั้นสั่งรันคำสั่ง reg save ดัมป์ข้อมูลไฮฟ์ SYSTEM และ SECURITY ออกมาเป็นไฟล์ pc-system.hiv และ pc-security.hiv ในโฟลเดอร์ชั่วคราว แปลงเป็น Base64 ด้วย certutil แล้วส่งออกข้อมูลผ่าน HTTP นอกจากนี้ ตัวแทน AI ยังดาวน์โหลดเครื่องมือเก็บข้อมูลลับ เช่น lsa_read.exe (MD5: 528cd4e69ecfa5191adbcf6ef28667bf) จาก IP 45.142.193[.]132:8000 และติดตั้ง Ligolo-ng ในชื่อ C:\ProgramData\LegitSvc\legit-svc.exe เพื่อเชื่อมต่อ C2 ไปยัง 45.142.193[.]132 และ 45.158.196[.]75 ก่อนใช้เทคนิค DCSync ดัมป์ไฟล์ NTDS.DIT เพื่อขโมยรหัสผ่านทั้งโดเมน

ผลกระทบต่อประเทศไทย

มีความเป็นไปได้สูง (Likely) - สถานพยาบาล โรงพยาบาลศูนย์ และโรงเรียนแพทย์ในประเทศไทยนิยมติดตั้งเซิร์ฟเวอร์จัดการงานพิมพ์ PaperCut NG/MF เพื่อบริหารการพิมพ์ใบสั่งยาและเอกสารเวชระเบียน การที่เซิร์ฟเวอร์งานพิมพ์เชื่อมต่อกับระบบโดเมนหลักของโรงพยาบาล ทำให้ช่องโหว่นี้กลายเป็นสะพานสำคัญที่ระบบ Multi-Agent AI ของคนร้ายใช้เจาะเข้าสู่เครือข่าย ดัมป์ข้อมูลความลับ และทำ DCSync เพื่อยึดครองสิทธิ์ผู้ดูแลระบบโดเมนทั้งหมดของโรงพยาบาลได้อย่างง่ายดาย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การนำ AI มาใช้ประสานงานการโจมตีทำให้ความเร็วและขอบเขตการแพร่กระจายเพิ่มขึ้นอย่างมาก สถานพยาบาลต้องเร่งลดพื้นที่การโจมตีบนระบบโครงสร้างพื้นฐาน

ยุทธการ: ระบบพิมพ์เอกสารในโรงพยาบาลมักเชื่อมโยงกับบัญชีผู้ดูแลระบบโดเมน ทำให้การเจาะ PaperCut สำเร็จกลายเป็นทางลัดสู่การยึดครองระบบเครือข่ายทั้งหมด

ยุทธวิธี: ปิดกั้นไม่ให้พอร์ตการจัดการ PaperCut เข้าถึงได้จากอินเทอร์เน็ตโดยตรง อัปเดตแพตช์ซอฟต์แวร์เป็นเวอร์ชันล่าสุด และบล็อกการเชื่อมต่อไปยัง IP ของผู้โจมตีที่ขอบเขตไฟร์วอลล์

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคสาธารณสุขและการแพทย์ (สถานพยาบาล 8 แห่ง) ภาคการศึกษา หน่วยงานรัฐ และองค์กรธุรกิจทั่วโลก

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1059.001 PowerShell T1003.006 DCSync T1074.001 Local Data Staging
IOC ที่สำคัญ
45.142.193[.]132 45.158.196[.]75 528cd4e69ecfa5191adbcf6ef28667bf ce870a91e8d27e8f663f0687abc60b04 a6437ac3d6798090a218520985d36a3f fc92dfafa7aa741c5f2b9cbcf75d1d19

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Agents Gone Wild: An AI-Orchestrated Global Campaign Against PaperCut NG/MF

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: การปกป้องระบบสาธารณสุขและการแพทย์จำเป็นต้องผสานการเฝ้าระวังภัยวิศวกรรมสังคม การควบคุมเครื่องมือรีโมต RMM อย่างเข้มงวด การอุดช่องโหว่ระบบโครงสร้างพื้นฐาน และการยกระดับมาตรฐานการยืนยันตัวตนที่ Helpdesk

TLP:CLEAR

ห้วงเวลาข้อมูล: 7-13 กันยายน 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)