CGI-CTI-WEEKLY-20260914-TRN  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการขนส่งและโลจิสติกส์ ประจำสัปดาห์

Transportation & Logistics Sector Weekly Report

ห้วงเวลา: 7-13 กันยายน 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบแคมเปญฟิชชิงแบบ AiTM มุ่งเป้าผู้ใช้บริการไปรษณีย์ไทยเพื่อดักจับข้อมูลบัตรเครดิตและรหัส OTP แบบเรียลไทม์ การแพร่กระจายมัลแวร์โหลดเดอร์ DarkTortilla ผ่านอีเมลอันตรายในรูปแบบธีมโลจิสติกส์ รวมถึงรายงานวิเคราะห์โปรไฟล์เชิงลึกของกลุ่มแรนซัมแวร์ DragonForce และ Scattered Spider ที่มีประวัติโจมตีระบบคลังสินค้า โลจิสติกส์ และสายการบินเพื่อเข้ารหัสระบบแม่ข่ายเสมือน VMware ESXi

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ที่ผ่านมา ภาคการขนส่ง โลจิสติกส์ และการบินเผชิญกับภัยคุกคามไซเบอร์ทั้งการโจมตีผู้ใช้บริการปลายทางและการแทรกซึมระบบโครงสร้างพื้นฐานภายใน โดยมีประเด็นสำคัญ 4 ประการ ได้แก่ (1) แคมเปญฟิชชิงแบบ Adversary-in-the-Middle (AiTM) สวมรอยไปรษณีย์ไทยเพื่อดักจับข้อมูลบัตรเครดิตและรหัส OTP ธนาคารแบบเรียลไทม์ ซึ่งส่งผลกระทบต่อประชาชนและบริการพัสดุในไทยโดยตรง (2) การแพร่ระบาดของมัลแวร์โหลดเดอร์ DarkTortilla ที่แอบอ้างเอกสารการขนส่งและชิปปิ้งผ่านอีเมลเพื่อติดตั้งโทรจันควบคุมเครื่องระยะไกล (RAT) (3) ปฏิบัติการกรรโชกทรัพย์สองชั้นของกลุ่มแรนซัมแวร์ DragonForce ที่พุ่งเป้าบริษัทคลังสินค้าและเครือข่ายโลจิสติกส์ โดยแฝงตัวผ่าน Microsoft Teams และเจาะจงทำลายระบบเสมือน VMware ESXi และ (4) รายงานวิเคราะห์ยุทธวิธีของกลุ่ม Scattered Spider ที่ใช้การหลอกลวงฝ่ายบริการลูกค้าและ Helpdesk เพื่อข้าม MFA และเข้าควบคุมโครงสร้างพื้นฐานระบบขนส่งและการบิน

เหตุการณ์เด่นประจำสัปดาห์

แคมเปญฟิชชิง AiTM แอบอ้างแบรนด์ไปรษณีย์ไทยเพื่อดักจับข้อมูลบัตรเครดิตและรหัส OTP แบบเรียลไทม์

เผยแพร่: 11 กันยายน 2569  ·  แหล่งที่มา: Cyber Guard Intelligence  ·  Admiralty B2

ทีมวิเคราะห์ตรวจพบแคมเปญฟิชชิงขั้นสูงแบบ Adversary-in-the-Middle (AiTM) แอบอ้างแบรนด์ไปรษณีย์ไทย โดยส่งอีเมลหลอกลวงแจ้งว่ามีพัสดุตกค้างและเรียกเก็บค่าธรรมเนียมจัดส่งเพิ่มเติมจำนวน 36.14 บาท ผู้โจมตีใช้เทคนิค Open Redirect ของ Bing เพื่อเปลี่ยนเส้นทางเหยื่อไปยังหน้าเว็บฟิชชิงที่ควบคุมเซสชันแบบเรียลไทม์ หลอกดักจับข้อมูลบัตรเครดิต หมายเลข CVV และรหัส SMS OTP เพื่อนำไปทำธุรกรรมทางการเงินฉ้อโกงกับร้านค้าออนไลน์ทันที

ผู้ดำเนินการคุกคาม

กลุ่มอาชญากรไซเบอร์ทางการเงินข้ามชาติในแถบเอเชียแปซิฟิก (Financially Motivated Threat Group / AiTM Phishing Operators) ซึ่งพบว่าใช้โครงสร้างพื้นฐานเซิร์ฟเวอร์ชุดเดียวกันในการแอบอ้างธนาคาร CTBC ในไต้หวัน

เวกเตอร์การโจมตี

อีเมลฟิชชิงที่ส่งผ่านบัญชี Postmark ที่ถูกแฮก (noreply@re-toern[.]de) ทำให้อีเมลผ่านการตรวจสอบ SPF/DKIM ร่วมกับการใช้ลิงก์ Open Redirect ของ bing[.]com/ck/a และเว็บไซต์ตัวกลาง seaview-realestate[.]com

การวิเคราะห์ทางเทคนิค

การโจมตีใช้อีเมลที่มีการตั้งค่าทางเทคนิคถูกต้องเพื่อหลบเลี่ยงระบบคัดกรอง เมื่อเหยื่อคลิกลิงก์จะถูกนำทางผ่านเซิร์ฟเวอร์ตัวกลางไปยังหน้าเว็บฟิชชิง thpost-tracking.ellfrieda-pflegedienst[.]de ซึ่งโฮสต์อยู่บน IP 206.189.35[.]103 บน DigitalOcean ตัวชุดเครื่องมือฟิชชิงใช้ไฟล์ inde[.]html สำหรับเก็บข้อมูลบัตรเครดิต และใช้สคริปต์ loading[.]php ประสานงานระหว่างเบราว์เซอร์ของเหยื่อกับระบบชำระเงินของร้านค้าออนไลน์จริงแบบเรียลไทม์ เมื่อธนาคารส่งรหัส SMS OTP ไปยังโทรศัพท์ของเหยื่อ หน้าเว็บจะแสดงฟอร์ม OtpOne[.]php เพื่อดักจับรหัส OTP และนำไปกรอกยืนยันการตัดเงินในระบบของร้านค้าโดยอัตโนมัติ

ผลกระทบต่อประเทศไทย

ได้รับผลกระทบโดยตรงในระดับวิกฤต (Direct & Critical Impact) - แคมเปญนี้พุ่งเป้าหลอกลวงประชาชนและผู้ใช้บริการไปรษณีย์ไทยโดยตรง การดักรับข้อมูลบัตรเครดิตและรหัส SMS OTP แบบเรียลไทม์ ทำให้ผู้โจมตีสามารถข้ามกลไกความปลอดภัย 3-D Secure ของธนาคารในไทยได้ทันที ส่งผลให้เกิดความเสียหายทางการเงินจากการรูดบัตรฉ้อโกงแบบถ่ายทอดสด และบั่นทอนความน่าเชื่อถือต่อระบบโลจิสติกส์และการขนส่งพัสดุระดับประเทศ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ภัยคุกคามฟิชชิงได้วิวัฒนาการจากการขโมยข้อมูลแบบคงที่ไปสู่การควบคุมเซสชันการเงินแบบเรียลไทม์ ซึ่งกระทบต่อความเชื่อมั่นในบริการขนส่งพัสดุและระบบอีคอมเมิร์ซโดยตรง

ยุทธการ: ผู้โจมตีใช้ประโยชน์จากบัญชีผู้ให้บริการส่งอีเมลที่ถูกเจาะระบบ ทำให้ผ่านเกณฑ์ความปลอดภัยทางเทคนิคอย่าง SPF/DKIM และส่งถึงกล่องข้อความหลักของผู้ใช้

ยุทธวิธี: ผู้ดูแลระบบเครือข่ายควรตั้งค่า Secure Email Gateway ให้ตรวจสอบปลายทางของลิงก์ Open Redirect และบล็อกการเข้าถึงโดเมนรวมถึง IP ที่เกี่ยวข้องทันที

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการขนส่งและโลจิสติกส์ ประชาชนผู้ใช้บริการไปรษณีย์ไทย ธุรกิจอีคอมเมิร์ซ และสถาบันการเงินผู้ออกบัตรเครดิต

MITRE ATT&CK
T1586.002 Compromise Accounts: Email Accounts T1566.002 Spearphishing Link T1036.005 Match Legitimate Name T1111 Multi-Factor Authentication Interception T1557 Adversary-in-the-Middle T1657 Financial Theft
IOC ที่สำคัญ
206.189.35[.]103 thpost-tracking.ellfrieda-pflegedienst[.]de seaview-realestate[.]com noreply@re-toern[.]de

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: THPOST-Themed Phishing AiTM Credential Harvesting & Real-Time Financial Fraud

มัลแวร์ DarkTortilla ใช้อีเมลอันตรายในรูปแบบธีมโลจิสติกส์เพื่อส่งมอบโทรจันควบคุมเครื่องระยะไกล

เผยแพร่: 11 กันยายน 2569  ·  แหล่งที่มา: Picus Security  ·  Admiralty B2

ผู้เชี่ยวชาญด้านความปลอดภัยเปิดเผยรายละเอียดของมัลแวร์ DarkTortilla ซึ่งเป็นโปรแกรมเข้ารหัสพรางตัว (Crypter) และโหลดเดอร์ภาษา .NET ที่มีความยืดหยุ่นสูง มัลแวร์นี้แพร่กระจายผ่านอีเมลอันตรายในรูปแบบธีมโลจิสติกส์และการขนส่งสินค้า (Logistics-Themed Malicious Emails) โดยซ่อนคอนฟิกการทำงานไว้ในข้อมูลพิกเซลของรูปภาพบิตแมป และมีกลไกตรวจสอบ WatchDog เพื่อฟื้นฟูตนเอง ก่อนจะฉีดมัลแวร์ขโมยข้อมูลและโทรจันควบคุมเครื่องระยะไกลเข้าสู่โปรเซสระบบ

ผู้ดำเนินการคุกคาม

กลุ่มผู้พัฒนาและให้บริการมัลแวร์สำหรับอาชญากรไซเบอร์ (Malware-as-a-Service / Crypter Operators) ที่มุ่งเป้าโจมตีบริษัทในห่วงโซ่อุปทานการขนส่ง

เวกเตอร์การโจมตี

อีเมลฟิชชิงแนบไฟล์อิมเมจดิสก์หรือไฟล์บีบอัด เช่น .iso, .img, .zip, และ .tar หรือเอกสารที่ฝัง Packager Shell Object หลอกให้ดับเบิลคลิกเปิดไฟล์ที่แอบอ้างในธีมโลจิสติกส์

การวิเคราะห์ทางเทคนิค

DarkTortilla ประกอบด้วยตัวโหลดเดอร์เริ่มต้นและโมดูลประมวลผลหลัก (Core Processor DLL) ตัวมัลแวร์จะอ่านคอนฟิกที่เข้ารหัสแบบ Rijndael/AES ซึ่งฝังอยู่ในข้อมูลพิกเซลของไฟล์รูปภาพบิตแมปผ่านฟังก์ชัน Bitmap.LockBits เพื่อกู้คืนคำสั่งการทำงาน เมื่อเริ่มต้นทำงาน มัลแวร์จะสร้างกลไกคงอยู่ถาวร (Persistence) ในระบบผ่านรีจิสทรีคีย์ Run ใน HKCU หรือแก้ไขค่า Winlogon Shell หรือสร้างไฟล์ชอร์ตคัต .lnk ในโฟลเดอร์ Startup พร้อมทั้งรันโปรเซส WatchDog เพื่อตรวจเช็กและกู้คืนมัลแวร์ทุกๆ 1 วินาที จากนั้นโมดูลหลักจะถอดรหัสโมดูล RunPe6 ด้วยอัลกอริทึม XOR และฉีดโค้ดเพย์โหลดมัลแวร์ (เช่น Agent Tesla, AsyncRAT, Remcos RAT, NanoCore หรือ Cobalt Strike) เข้าสู่โปรเซสระบบที่ถูกต้อง เช่น svchost.exe, RegAsm.exe หรือ InstallUtil.exe เพื่อหลบเลี่ยงการตรวจจับ

ผลกระทบต่อประเทศไทย

มีความเป็นไปได้สูง (Likely) - บริษัทตัวแทนผู้รับจัดการขนส่งสินค้าระหว่างประเทศ (Freight Forwarders) ตัวแทนออกของ (Customs Brokers) และบริษัทชิปปิ้งในไทยต้องรับส่งไฟล์เอกสารนำเข้า-ส่งออก เช่น Bill of Lading, Packing List และ Invoice ผ่านอีเมลตลอดเวลา การที่มัลแวร์ DarkTortilla แฝงมาในรูปแบบไฟล์ดิสก์อิมเมจหรือไฟล์บีบอัดธีมโลจิสติกส์ ทำให้เจ้าหน้าที่ในไทยมีโอกาสเปิดไฟล์สูง ซึ่งจะเปิดทางให้มัลแวร์ขโมยรหัสผ่านระบบพิธีการศุลกากรและข้อมูลตารางการขนส่งสินค้า

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ธุรกิจขนส่งและโลจิสติกส์ที่ต้องแลกเปลี่ยนเอกสารการขนส่งกับคู่ค้าจำนวนมากตกเป็นเป้าหมายสำคัญของการโจมตีด้วยมัลแวร์บังหน้า

ยุทธการ: ผู้ไม่หวังดีใช้เทคนิคซ่อนโค้ดในรูปภาพบิตแมปร่วมกับกลไกตรวจสอบตัวเองข้ามโปรเซสเพื่อทำให้การกำจัดมัลแวร์ทำได้ยาก

ยุทธวิธี: ฝ่ายไอทีควรบล็อกไฟล์แนบประเภทดิสก์อิมเมจ (เช่น .iso, .img) ที่มากับอีเมล และตรวจสอบพฤติกรรมการเรียกใช้โปรแกรม RegAsm.exe หรือ InstallUtil.exe ที่ผิดปกติ

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการขนส่งและโลจิสติกส์ ตัวแทนจัดการขนส่งสินค้าระหว่างประเทศ (Freight Forwarders) บริษัทนำเข้าส่งออก และหน่วยงานในห่วงโซ่อุปทาน

MITRE ATT&CK
T1566.001 Spearphishing Attachment T1027.003 Steganography T1055.002 Process Hollowing T1547.001 Registry Run Keys / Startup Folder T1059.005 Visual Basic
IOC ที่สำคัญ
พฤติกรรมการฝังไฟล์ตัวรันในรีจิสทรี HKCU\Software\Microsoft\Windows\CurrentVersion\Run การแก้ไขค่า Winlogon Shell ใน HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon การฉีดโค้ดเพย์โหลดเข้าสู่โปรเซส svchost.exe, RegAsm.exe หรือ InstallUtil.exe

ดูรายละเอียดการวิเคราะห์และ TTPs เพิ่มเติมที่ลิงก์ด้านล่าง

แหล่งที่มา: DarkTortilla Malware: How It Works and How to Test Your Defenses

รายงานวิเคราะห์โปรไฟล์กลุ่มแรนซัมแวร์ DragonForce และการโจมตีระบบโลจิสติกส์และห่วงโซ่อุปทาน

เผยแพร่: 7 กันยายน 2569 (วิเคราะห์ภาพรวมและสถิติสะสมถึง ส.ค. 2569)  ·  แหล่งที่มา: DeXpose  ·  Admiralty B2

รายงานวิเคราะห์โปรไฟล์ภัยคุกคามโดย DeXpose เปิดเผยภาพรวมพฤติกรรมและการเติบโตของกลุ่มพันธมิตรแรนซัมแวร์ DragonForce ซึ่งมีรูปแบบการโจมตีกรรโชกทรัพย์สองชั้น (Double-Extortion) มุ่งเป้าโจมตีระบบโลจิสติกส์ คลังสินค้า และห่วงโซ่อุปทานขององค์กรขนาดใหญ่ โดยใช้ช่องโหว่บนซอฟต์แวร์บริหารจัดการระยะไกล SimpleHelp RMM หรือร่วมมือกับกลุ่มพันธมิตรเพื่อเจาะเข้าสู่ระบบ จากนั้นใช้เครื่องมือควบคุมระบบภายในของวินโดวส์ขยายผลเข้ายึดโดเมนคอนโทรลเลอร์ และสั่งเข้ารหัสเซิร์ฟเวอร์เสมือน VMware ESXi โดยสถิติล่าสุด ณ เดือนสิงหาคม 2569 กลุ่มนี้อ้างว่ามีเหยื่อรวมกว่า 645 รายใน 65 ประเทศทั่วโลก

ผู้ดำเนินการคุกคาม

กลุ่มแรนซัมแวร์ DragonForce (Cartel Operations) ซึ่งดึงเอาเครื่องมือและเครือข่ายพันธมิตรของ RansomHub และ LockBit เข้ามาร่วมปฏิบัติการกรรโชกทรัพย์

เวกเตอร์การโจมตี

การเจาะช่องโหว่บนเซิร์ฟเวอร์ SimpleHelp RMM การใช้ข้อมูลบัญชีผู้ใช้ที่รั่วไหล และการโทรหลอกลวงเจ้าหน้าที่ไอที (Helpdesk Vishing) เพื่อรีเซ็ตรหัสผ่าน

การวิเคราะห์ทางเทคนิค

เมื่อเข้าสู่เครือข่ายสำเร็จ ผู้โจมตีจะใช้เทคนิค Living-off-the-Land (LOLBAS) โดยใช้คำสั่ง PsExec และ WMIC เพื่อกระจายตัวเข้ารหัสไปยังเครื่องลูกข่ายและเซิร์ฟเวอร์ต่างๆ ในเครือข่าย พร้อมทั้งใช้แบ็กดอร์ Backdoor.Turn ซึ่งแอบส่งทราฟฟิก C2 ผ่านโครงสร้างพื้นฐานของ Microsoft Teams ทำให้สามารถแฝงตัวอยู่ในระบบได้นานหลายเดือนโดยไม่ถูกตรวจจับ ก่อนจะทำการสกัดข้อมูลลับ ขโมยฐานข้อมูลรหัสผ่าน Active Directory และปล่อยตัวเข้ารหัสแรนซัมแวร์ที่ใช้กุญแจเข้ารหัส AES-256 เจาะจงทำลายระบบเครื่องแม่ข่ายเสมือนบน VMware ESXi ส่งผลให้ระบบคลังสินค้าและการกระจายสินค้าต้องหยุดชะงัก

ผลกระทบต่อประเทศไทย

มีความเสี่ยงระดับสูง (High Risk) - บริษัทขนส่งสินค้า ผู้ให้บริการคลังสินค้าทัณฑ์บน และศูนย์กระจายสินค้าในไทยมีการเชื่อมต่อระบบเครือข่ายเข้ากับคู่ค้าในห่วงโซ่อุปทานอย่างใกล้ชิด การที่มัลแวร์แฝงตัวส่งทราฟฟิก C2 ผ่าน Microsoft Teams ทำให้ระบบตรวจจับเครือข่ายภายในไม่พบความผิดปกติ หากเซิร์ฟเวอร์เสมือน ESXi ถูกเข้ารหัส จะส่งผลให้ระบบติดตามพัสดุ (Tracking System) และระบบบริหารคลังสินค้าหยุดทำงาน เกิดความเสียหายต่อเนื่องต่อภาคการส่งออกของประเทศ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ภาคการขนส่งและคลังสินค้ามีความอ่อนไหวสูงต่อความล่าช้าในการส่งมอบสินค้า ทำให้ตกเป็นเป้าหมายหลักของการเรียกค่าไถ่ที่ต้องการบีบให้ยอมจ่ายเงิน

ยุทธการ: ผู้โจมตีผสานการใช้ช่องโหว่ระบบ RMM ร่วมกับการอำพรางทราฟฟิก C2 ผ่านแอปพลิเคชันธุรกิจอย่าง Microsoft Teams เพื่อหลบเลี่ยงระบบตรวจจับเครือข่าย

ยุทธวิธี: หน่วยงานต้องจำกัดการเข้าถึงพอร์ตจัดการของเครื่องแม่ข่ายเสมือน VMware ESXi และเปิดใช้งานระบบตรวจจับการเรียกใช้คำสั่ง WMIC และ PsExec ข้ามโฮสต์

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการขนส่งและโลจิสติกส์ ศูนย์กระจายสินค้า คลังสินค้า ห่วงโซ่อุปทานค้าปลีก และระบบสาธารณูปโภค

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1078 Valid Accounts T1047 Windows Management Instrumentation T1021.002 SMB/Windows Admin Shares T1486 Data Encrypted for Impact
IOC ที่สำคัญ
2.147.68[.]96 185.59.221[.]75 69.4.234[.]20

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: DragonForce Ransomware | Group Profile & Attack Analysis

รายงานวิเคราะห์โปรไฟล์กลุ่ม Scattered Spider และยุทธวิธีวิศวกรรมสังคมเจาะสายการบินและระบบขนส่ง

เผยแพร่: 8 กันยายน 2569 (วิเคราะห์ภาพรวมกลุ่มและ TTPs ต่อเนื่อง)  ·  แหล่งที่มา: DeXpose  ·  Admiralty B2

รายงานโปรไฟล์กลุ่มภัยคุกคามโดย DeXpose วิเคราะห์พฤติกรรมและการพัฒนาของกลุ่มอาชญากรไซเบอร์ Scattered Spider (UNC3944 / Octo Tempest / 0ktapus) ซึ่งมีประวัติพุ่งเป้าโจมตีโครงสร้างพื้นฐานของสายการบินพาณิชย์และบริษัทขนส่งขนาดใหญ่ ผ่านแคมเปญในอดีต (เช่น คลื่นการโจมตีสายการบินในช่วงกลางปี 2568) โดยใช้การโทรศัพท์หลอกลวงเจ้าหน้าที่ IT Helpdesk (Voice Phishing หรือ Vishing) ร่วมกับการยิงคำขอแจ้งเตือน MFA ซ้ำๆ (MFA Fatigue) เพื่อรีเซ็ตรหัสผ่านและขโมยบัญชีผู้ดูแลระบบ เมื่อเข้าสู่ระบบ Identity ได้ ผู้โจมตีจะยึดครองระบบ Active Directory และเชื่อมต่อไปยังไฮเปอร์ไวเซอร์ VMware ESXi เพื่อสั่งปิดและเข้ารหัสระบบแม่ข่ายขององค์กรเหยื่อด้วยแรนซัมแวร์

ผู้ดำเนินการคุกคาม

Scattered Spider (UNC3944 / Octo Tempest / 0ktapus) กลุ่มแฮกเกอร์ที่มีความเชี่ยวชาญสูงด้านวิศวกรรมสังคมและการเจาะระบบ Identity

เวกเตอร์การโจมตี

การโทรศัพท์หลอกลวงเจ้าหน้าที่ Helpdesk (Vishing) การสลับซิมการ์ด (SIM Swapping) และการสร้างคำขอยืนยันตัวตน MFA ถี่ผิดปกติเพื่อสร้างความรำคาญ (MFA Fatigue)

การวิเคราะห์ทางเทคนิค

บทวิเคราะห์ระบุว่า ผู้โจมตีทำการรวบรวมข้อมูลส่วนบุคคลของพนักงานฝ่ายปฏิบัติการและไอทีจากโซเชียลมีเดีย จากนั้นโทรศัพท์ไปยัง Helpdesk เพื่อแอบอ้างเป็นพนักงานและขอรีเซ็ตข้อมูล MFA ไปยังอุปกรณ์ของผู้โจมตี เมื่อสามารถเข้าสู่ Okta หรือ Azure AD ได้ ผู้โจมตีจะติดตั้งเครื่องมือรีโมต เช่น AnyDesk หรือ ScreenConnect หรือโทรจัน RattyRAT เพื่อคงการเชื่อมต่อ จากนั้นจะทำการสำรวจสิทธิ์ใน Active Directory และเจาะลึกไปยังคลัสเตอร์เซิร์ฟเวอร์ VMware ESXi ที่ควบคุมระบบแม่ข่ายขององค์กรเหยื่อ ก่อนจะนำมัลแวร์แรนซัมแวร์พันธมิตร (เช่น DragonForce หรือ ALPHV/BlackCat) มาเข้ารหัสไฟล์อิมเมจของเครื่องเสมือน ทำให้การดำเนินงานขององค์กรหยุดชะงักอย่างกว้างขวาง

ผลกระทบต่อประเทศไทย

มีความเสี่ยงระดับวิกฤต (Critical Risk) - สายการบินพาณิชย์ ท่าอากาศยาน และระบบขนส่งมวลชนในประเทศไทยพึ่งพาระบบคลาวด์และโครงสร้างพื้นฐานเซิร์ฟเวอร์เสมือนในการบริหารจัดการเที่ยวบินและตารางเวลาการเดินรถ การทำวิศวกรรมสังคมหลอกลวงเจ้าหน้าที่ IT Helpdesk เพื่อเข้ายึด Identity Provider ทำให้คนร้ายสามารถเข้าควบคุมระบบสั่งการสำคัญ การถูกเข้ารหัสเซิร์ฟเวอร์เสมือนอาจส่งผลกระทบต่อความปลอดภัยในการบินและการให้บริการแก่ผู้โดยสารทั่วประเทศ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: สายการบินและระบบขนส่งมวลชนพึ่งพาระบบเสมือนจริงในการจัดการเที่ยวบินและการบริการ ความเสียหายต่อ Identity Provider จึงลุกลามถึงความปลอดภัยในการปฏิบัติการ

ยุทธการ: ผู้โจมตีไม่จำเป็นต้องอาศัยช่องโหว่ซอฟต์แวร์ที่ซับซ้อน แต่เน้นการเจาะผ่านกระบวนการยืนยันตัวตนของเจ้าหน้าที่สนับสนุนไอที

ยุทธวิธี: องค์กรด้านการบินและการขนส่งต้องยกเลิกระบบ MFA ที่อิงกับ SMS/OTP และปรับใช้กุญแจความปลอดภัย FIDO2/Passkey พร้อมทั้งมีกระบวนการยืนยันตัวตนแบบหลายขั้นตอนที่ Helpdesk

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการขนส่ง สายการบินพาณิชย์ ระบบการบินและอวกาศ โลจิสติกส์ และระบบสารสนเทศคลาวด์

MITRE ATT&CK
T1598.004 Voice Phishing T1656 Impersonation T1621 Multi-Factor Authentication Request Generation T1078.002 Domain Accounts T1486 Data Encrypted for Impact
IOC ที่สำคัญ
พฤติกรรมการโทรเข้า Helpdesk นอกเวลาทำการเพื่อขอรีเซ็ตสิทธิ์ MFA คำขอยืนยันตัวตน MFA จากหมายเลข IP ต่างประเทศที่เกิดขึ้นถี่ผิดปกติ การเชื่อมต่อไปยังอินเทอร์เฟซ ESXi Management จากซับเน็ตที่ไม่ได้รับอนุญาต

ดูรายละเอียดการวิเคราะห์และ TTPs เพิ่มเติมที่ลิงก์ด้านล่าง

แหล่งที่มา: Scattered Spider | Who They Are & How to Stop Them

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: การรักษาความมั่นคงปลอดภัยภาคการขนส่งและโลจิสติกส์ต้องครอบคลุมทั้งการเฝ้าระวังการแอบอ้างแบรนด์ การตรวจสอบเอกสารขนส่งดิจิทัล และการคุ้มครองระบบอัตลักษณ์ควบคู่กับโครงสร้างพื้นฐานเซิร์ฟเวอร์เสมือน

TLP:CLEAR

ห้วงเวลาข้อมูล: 7-13 กันยายน 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)