CGI-CTI-WEEKLY-20260921-FIN · VER 1.0 · TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการเงินและการธนาคาร ประจำสัปดาห์

Banking & Financial Services Sector Weekly Report
ห้วงเวลา: 14-20 กันยายน 2569
TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบการพัฒนามัลแวร์ธนาคารที่ปลอมแปลงการตรวจสอบความสมบูรณ์ของส่วนขยายเบราว์เซอร์ การประยุกต์ใช้โมเดล AI ควบคุมโทรจันบนสมาร์ตโฟนเพื่อดักขโมยรหัส OTP และ PIN การพรางเซิร์ฟเวอร์ C2 บนบล็อกเชนแบบกระจายศูนย์ และเครือข่ายฟอกเงินจากการฟิชชิ่งบัตรชำระเงินข้ามชาติ

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 14-20 กันยายน 2569 ภัยคุกคามไซเบอร์ต่อภาคการเงินและการธนาคารมีความเคลื่อนไหวเชิงเทคนิคที่ซับซ้อนและมีระดับการอำพรางสูงขึ้นอย่างเห็นได้ชัด โดยเฉพาะการที่กลุ่ม REF9334 พัฒนามัลแวร์ธนาคาร KREMLIN ร่วมกับส่วนขยายเบราว์เซอร์ Chromium ที่สามารถปลอมแปลงระบบตรวจสอบความสมบูรณ์ภายในของเบราว์เซอร์เพื่อดักขโมยเซสชันการเงินและแทรกหน้าเว็บลวงขณะผู้ใช้ทำธุรกรรมออนไลน์ ขณะเดียวกันตรวจพบโทรจัน RatHat บนระบบปฏิบัติการ Android ที่ผสานเทคโนโลยี Generative AI ร่วมกับกลไก ADB Wireless Pairing ในการยกระดับสิทธิ์สู่ระดับระบบโดยไม่ต้องเชื่อมต่อคอมพิวเตอร์ภายนอก เพื่อดักจับข้อมูลการกดหน้าจอ รหัส PIN และข้อความ OTP แบบอัตโนมัติ นอกจากนี้ แคมเปญ EtherHiding ยังคงขยายขอบเขตการใช้งาน Smart Contract บนเครือข่ายบล็อกเชน Polygon ในการกระจายคำสั่งและพิกัด C2 ส่งผลให้ระบบตรวจจับแบบเดิมไม่สามารถสั่งระงับหรือบล็อกโครงสร้างพื้นฐานของผู้โจมตีได้ ควบคู่กับการเปิดโปงกลุ่ม Tajin Group ที่ดำเนินขบวนการฟิชชิ่งบัตรชำระเงินและฟอกเงินผ่านตลาดค้ำประกันใต้ดิน (Guarantee Marketplaces) ซึ่งส่งผลกระทบโดยตรงต่อผู้ให้บริการเกตเวย์ชำระเงินและสถาบันการเงินในหลายภูมิภาค

เหตุการณ์เด่นประจำสัปดาห์

กลุ่มภัยคุกคาม REF9334 แพร่กระจายมัลแวร์ธนาคาร KREMLIN และส่วนขยายเบราว์เซอร์ Chromium ปลอมแปลงการตรวจสอบความสมบูรณ์ มุ่งเป้าสถาบันการเงินและผู้ใช้บริการธนาคารออนไลน์

เผยแพร่: 14 กันยายน 2569 · แหล่งที่มา: Elastic Security Labs · Admiralty B2

ทีมนักวิจัย Elastic Security Labs ตรวจพบแคมเปญของกลุ่ม REF9334 ที่มุ่งเป้าโจมตีผู้ใช้งานธนาคารออนไลน์ในบราซิลและภูมิภาคละตินอเมริกา โดยผู้โจมตีทำการติดตั้งส่วนขยายเบราว์เซอร์ที่เป็นอันตรายและมัลแวร์ธนาคาร KREMLIN ซึ่งมีความสามารถพิเศษในการแก้ไขไฟล์การตั้งค่า Preferences และปลอมแปลงค่า Hash เพื่อหลบเลี่ยงระบบตรวจสอบความสมบูรณ์ (Integrity Verification) ของ Chromium นอกจากนี้ มัลแวร์ยังดึงข้อมูลพิกัดเซิร์ฟเวอร์ควบคุม (C2) จาก Smart Contract บนบล็อกเชน เพื่อแทรกหน้าต่าง Web Injections ดักขโมยข้อมูลการยืนยันตัวตน และสวมรอยทำธุรกรรมการเงินแบบเรียลไทม์

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันการเงินและผู้ใช้งานบริการธนาคารทางอินเทอร์เน็ตในไทย แม้เป้าหมายหลักในรายงานจะมุ่งเน้นสถาบันการเงินในบราซิล แต่เทคนิคการลอบแก้ไขการตรวจสอบส่วนขยายของ Chromium และการดึง C2 ผ่านบล็อกเชนเป็น TTPs ที่สามารถนำมาปรับแต่งใช้กับระบบออนไลน์แบงก์กิ้งของไทยได้โดยตรง องค์กรการเงินจึงควรเฝ้าระวังมัลแวร์ส่วนขยายที่มีพฤติกรรมดัดแปลงเบราว์เซอร์

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้พัฒนาโทรจันธนาคารยกระดับจากการดักจับหน้าจอแบบเดิมไปสู่การแทรกแซงระดับส่วนขยายของเบราว์เซอร์เพื่อความคงทนและเข้าถึงเซสชันที่เข้ารหัสได้โดยตรง

ยุทธการ: กลุ่มผู้ไม่หวังดีใช้เทคนิคปลอมแปลงการตรวจสอบความสมบูรณ์ของระบบร่วมกับการพรางช่องทางสื่อสารบน Smart Contract เพื่อลดโอกาสการถูกตรวจจับและระงับการทำงาน

ยุทธวิธี: ฝ่ายไอทีและศูนย์ SOC ควรเปิดใช้นโยบายควบคุมส่วนขยายของเบราว์เซอร์ (Browser Extension Whitelisting) ผ่าน Group Policy หรือ MDM และตรวจสอบความผิดปกติของไฟล์ Preferences ภายในเครื่องผู้ใช้งาน

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการเงินและการธนาคาร, ผู้ให้บริการชำระเงินออนไลน์, ผู้ใช้งานเว็บเบราว์เซอร์ Chromium (Google Chrome, Microsoft Edge)

MITRE ATT&CK
T1176 Software Extensions T1562.001 Disable or Modify Tools T1185 Browser Session Hijacking T1056.002 GUI Input Capture T1568 Dynamic Resolution T1584.001 Domains T1071.001 Web Protocols
IOC ที่สำคัญ
04b129b97f7ce8d57daaeb7e8a1149bf37cb15caee022b3da460085ea4e83de1 0553ef3338bf99f17c185706381ee546989fc2dedae627ef222b3d50befbe9d5 05aa4dc2904389b3c04ada0877de10a0152626527cb5f0b1d09aee5bcb25d6c2 08d0a3ec031091a2ee44f305a9e5172364f5ff55312a326b90f1c9f149ec1c11 0b05986986083f060f8b3138711c64378e88fc3b2378caeaf8c50d6229848b22

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Elastic Security Labs - Inside KREMLIN banking malware: malicious browser extension forges Chrome integrity checks →

โทรจันธนาคาร RatHat บน Android ผสานเทคโนโลยี Generative AI และ ADB Wireless Pairing ยกระดับสิทธิ์ระดับระบบเพื่อดักขโมยรหัส PIN และ OTP บัญชีธนาคาร

เผยแพร่: 16 กันยายน 2569 · แหล่งที่มา: Zimperium · Admiralty B2

ทีมนักวิจัย zLabs ของ Zimperium รายงานการค้นพบ RatHat มัลแวร์ควบคุมระยะไกล (RAT) สายพันธุ์ใหม่บนระบบปฏิบัติการ Android ที่มีพฤติกรรมเชื่อมโยงกับกลุ่มภัยคุกคามในจีน มัลแวร์แพร่กระจายผ่าน SMS ฟิชชิ่งและโฆษณาปลอมแปลง เมื่อติดตั้งแล้วจะอาศัยการเข้าถึงฟังก์ชัน Accessibility ร่วมกับกลไก ADB Wireless Pairing เพื่อหลุดออกจากกล่องทราย (Sandbox) ของแอปพลิเคชัน และรันโปรเซสด้านหลังในระดับสิทธิ์ Shell มัลแวร์ยังนำ Generative AI มาช่วยวิเคราะห์และควบคุมหน้าจอแบบอัตโนมัติตามบริบท พร้อมดักจับตำแหน่งการสัมผัสเพื่อถอดรหัส PIN และดักอ่านข้อความ SMS OTP เพื่อโอนเงินออกจากบัญชี

ผลกระทบต่อประเทศไทย

ความเสี่ยงโดยตรงในระดับสูงต่อผู้ใช้งานแอปพลิเคชัน Mobile Banking ในประเทศไทย เนื่องจากพฤติกรรมการหลอกล่อผ่านข้อความ SMS หลอกลวง (Smishing) และการล่อลวงให้ติดตั้งไฟล์ APK ภายนอกเป็นช่องทางที่มิจฉาชีพในไทยใช้งานอย่างแพร่หลาย การนำ AI มาควบคุมหน้าจอและดักขโมยรหัสผ่านทำให้ระบบป้องกันการโอนเงินแบบเดิมถูกข้ามผ่านได้อย่างง่ายดาย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การนำโมเดล AI มาผสานเข้ากับมัลแวร์บนสมาร์ตโฟนสะท้อนการเปลี่ยนผ่านของภัยคุกคามการเงินจากคำสั่งคงที่ไปสู่การตัดสินใจโต้ตอบแบบปรับเปลี่ยนตามบริบทของเหยื่อ

ยุทธการ: ผู้โจมตีใช้เทคนิคเจาะช่องโหว่ ADB Pairing บนตัวเครื่องเพื่อขยายสิทธิ์โดยตรง ส่งผลให้แอปพลิเคชันสามารถคงอยู่และติดตั้งตัวเองใหม่ได้แม้เหยื่อจะพยายามลบแอป

ยุทธวิธี: สถาบันการเงินควรพัฒนาระบบตรวจสอบความปลอดภัยของสภาพแวดล้อมบนแอป (App Hardening) เพื่อตรวจจับการเปิดใช้งาน Accessibility Services ที่ผิดปกติและบล็อกการทำงานทันทีหากพบการเชื่อมต่อ ADB ในเครื่อง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการเงินและการธนาคาร, แอปพลิเคชันโมบายแบงก์กิ้งและกระเป๋าเงินดิจิทัล, ผู้ใช้งานอุปกรณ์พกพาระบบปฏิบัติการ Android

MITRE ATT&CK
T1453 Abuse Accessibility Features T1417.001 Keylogging T1417.002 GUI Input Capture T1516 Input Injection T1636.004 SMS Messages T1626.001 Device Administrator Permissions T1660 Phishing T1583.008 Malvertising
IOC ที่สำคัญ
00ba0d5aea129f098b5a609633ac77cd642fddba8b64f6332e49e6d33294992e 013e24180954380a2cba9d2adb88ad13dbec1181a4a88406427709219b7b5582 018fca3266c87c10d4f46930878ffbe5155ae4a457c875d1e22682a80d7118a5 02dcc3832903e36db797539279400f40831ddc858e7d0d4242a69fd5910d8c4c 0409b0fd4172b73997eed91b27a9c75ad0052f344f0a5ee89e87d07b45597b1a

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Zimperium zLabs - RatHat: AI-Powered Mobile Threat is Here for Your Credentials & Bank Accounts →

แคมเปญ EtherHiding ใช้ Smart Contract บนเครือข่าย Polygon เป็นช่องทางกระจายคำสั่ง C2 แบบกระจายศูนย์ หลบเลี่ยงการบล็อกโดเมนและส่งมัลแวร์ขโมยข้อมูลทางการเงิน

เผยแพร่: 17 กันยายน 2569 · แหล่งที่มา: GuidePoint Security · Admiralty B2

รายงานเชิงลึกจาก GuidePoint Security เปิดเผยความเคลื่อนไหวของแคมเปญ EtherHiding ที่พัฒนาไปอีกขั้น โดยผู้โจมตีทำการฝังโค้ดอันตรายและพิกัดเซิร์ฟเวอร์ควบคุม C2 ลงในสัญญาอัจฉริยะ (Smart Contract) บนบล็อกเชน Polygon (MATIC) และ Binance Smart Chain จากนั้นโค้ด JavaScript ที่ฝังอยู่บนเว็บไซต์เหยื่อจะทำการดึงข้อมูลดังกล่าวผ่านโหนดสาธารณะ Web3 RPC เพื่อประกอบร่างเป็นเพย์โหลดมัลแวร์ขโมยข้อมูลทางการเงินและโทรจันธนาคาร เทคนิคนี้ทำให้โครงสร้างพื้นฐาน C2 ของผู้โจมตีไม่สามารถถูกเพิกถอนหรือบล็อกผ่านระบบ DNS และ IP แบบดั้งเดิมได้

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมต่อองค์กรธุรกิจ เว็บไซต์อีคอมเมิร์ซ และผู้ใช้งานอินเทอร์เน็ตในประเทศไทย โดยเฉพาะเว็บไซต์องค์กรในไทยที่ใช้ระบบ Content Management System (CMS) เช่น WordPress ที่ขาดการอัปเดตความปลอดภัย ซึ่งมีความเสี่ยงที่จะถูกฝังสคริปต์ดึงเพย์โหลด EtherHiding ไปยังผู้เข้าชมเว็บไซต์เพื่อปล่อยมัลแวร์ขโมยข้อมูลบัตรเครดิตและรหัสกระเป๋าเงินดิจิทัล

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: อาชญากรไซเบอร์ใช้ประโยชน์จากคุณสมบัติป้องกันการเปลี่ยนแปลง (Immutability) ของบล็อกเชนสาธารณะเพื่อสร้างโครงสร้างพื้นฐานที่ทนทานต่อการปราบปรามทางกฎหมาย

ยุทธการ: ผู้โจมตีเปลี่ยนผ่านจากการพึ่งพาโดเมน C2 แบบรวมศูนย์มาเป็นการใช้ Web3 RPC Calls เพื่อหลบเลี่ยงการตรวจจับจากระบบเกตเวย์ความปลอดภัยเครือข่าย

ยุทธวิธี: ฝ่ายรักษาความมั่นคงปลอดภัยควรตรวจสอบและจำกัดปริมาณการเรียกใช้งาน Web3/RPC APIs จากเครื่องไคลเอนต์ทั่วไปที่ไม่เกี่ยวข้องกับการทำธุรกรรมบล็อกเชนขององค์กร

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการเงินและการธนาคาร, ผู้ให้บริการสินทรัพย์ดิจิทัล, เว็บไซต์ธุรกิจและอีคอมเมิร์ซที่ใช้งาน CMS (WordPress)

MITRE ATT&CK
T1102.002 Bidirectional Communication T1568 Dynamic Resolution T1189 Drive-by Compromise T1027 Obfuscated Files or Information T1059.001 PowerShell T1105 Ingress Tool Transfer T1555 Credentials from Password Stores
IOC ที่สำคัญ
03a1d2eca771a276ac9c29a4bf219d31beb20848998cacda8b06375bd2795b10 5ac6a2b0d20c5508027e6fde6503a5e0105be59f2a57e6659caa14e4ac0d5939 67427f232762fe32afab1d0d14b1d6e7f7920f5b151e133fb68c9dfc333ec69a 37.27.52[.]152 3262d48df5d75e34[.]shop ddcd62e16a428c8e[.]shop

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: GuidePoint Security - EtherHiding Exposed: Inside a Blockchain-powered Malware Campaign Hiding in Plain Sight →

กลุ่ม Tajin Group ดำเนินขบวนการฟิชชิ่งบัตรชำระเงินและฟอกเงินข้ามชาติผ่านตลาดค้ำประกันใต้ดิน (Guarantee Marketplaces) มุ่งเป้าผู้ใช้บริการธนาคารและเกตเวย์การชำระเงิน

เผยแพร่: 15 กันยายน 2569 · แหล่งที่มา: Recorded Future · Admiralty B2

ทีมนักวิจัย Recorded Future ทำการสืบสวนเครือข่ายของ Tajin Group ผู้ให้บริการทางเทคนิคและฟอกเงินที่โฆษณาในตลาดค้ำประกันภาษาจีนบน Telegram (เช่น Dabai Guarantee และ Xinbi Guarantee) ขบวนการนี้จัดหาเครื่องมือฟิชชิ่งแบบ Adversary-in-the-Middle (AiTM) เพื่อดักขโมยข้อมูลบัตรเครดิตและรหัส OTP จากธนาคารและสายการบินในหลายประเทศ รวมถึงภูมิภาคเอเชียตะวันออกเฉียงใต้ (เวียดนาม ฟิลิปปินส์ มาเลเซีย) ก่อนจะนำเงินที่ได้ไปฟอกผ่านการซื้อสินค้าและบริการดิจิทัล หรือตัดยอดเงินผ่านเกตเวย์การชำระเงินเชิงพาณิชย์ที่มีช่องโหว่

ผลกระทบต่อประเทศไทย

ความเสี่ยงโดยตรงต่อระบบชำระเงินและสถาบันการเงินในประเทศไทย เนื่องจากเครือข่ายของ Tajin Group มีการปฏิบัติการในภูมิภาคเอเชียตะวันออกเฉียงใต้อย่างชัดเจน และใช้โครงสร้างพื้นฐานในการส่งลิงก์ฟิชชิ่งแอบอ้างสถาบันการเงินและเกตเวย์การชำระเงิน หากผู้บริโภคหรือร้านค้าในไทยตกเป็นเหยื่อ อาจนำไปสู่ความเสียหายจากการฉ้อโกงทางการเงินและการปฏิเสธรายการชำระเงิน (Chargeback)

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ขบวนการอาชญากรรมไซเบอร์ทางการเงินในเอเชียพึ่งพาตลาดค้ำประกันใต้ดิน (Guarantee Marketplaces) เป็นศูนย์กลางการแลกเปลี่ยนเครื่องมือและการฟอกเงินอย่างเป็นระบบ

ยุทธการ: ผู้โจมตีผสมผสานการใช้บัญชีเสมือน (Virtual Numbers) และชุดเครื่องมือฟิชชิ่งแบบ AiTM เพื่อหลบเลี่ยงการตรวจสอบตัวตนและตัดเงินผ่านช่องทางเกตเวย์อย่างรวดเร็ว

ยุทธวิธี: สถาบันการเงินและผู้ให้บริการ Payment Gateway ควรเพิ่มกฎเกณฑ์การตรวจจับธุรกรรมที่ผิดปกติ (Fraud Monitoring Rules) และตรวจสอบความถูกต้องของ Merchant Link ที่เชื่อมต่อกับระบบชำระเงิน

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการเงินและการธนาคาร, ผู้ให้บริการประมวลผลการชำระเงิน (Payment Gateway), ธุรกิจค้าปลีกและสายการบิน

MITRE ATT&CK
T1657 Financial Theft T1566.002 Spearphishing Link T1598.003 Spearphishing Link T1557 Adversary-in-the-Middle T1111 Multi-Factor Authentication Interception T1451 SIM Card Swap
IOC ที่สำคัญ
hxxps://payae[.]cc/QTTb209 hxxps://payae[.]cc/Qwpf734 hxxps://payments.geidea[.]ae/payByLink/SUNWORLDWorkshopEquipmentMachinerySpareParts/l1f-fa8-mn8-uf4 hxxps://paypage.ngenius-payments[.]com/invoices/invoice/3aeb04ff-8025451a-92595df661503a62/payment payae[.]cc

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Recorded Future - Tajin Group: Guarantee Marketplace Vendor Involved in Phishing and Chinese Money Laundering Group →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: รายงานฉบับนี้จัดทำขึ้นเพื่อให้ข้อมูลภัยคุกคามไซเบอร์เชิงลึกสำหรับภาคการเงินและการธนาคาร โดยรวบรวมเหตุการณ์สำคัญ ข้อสังเกตเชิงยุทธวิธี และข้อเสนอแนะเพื่อเสริมสร้างความมั่นคงปลอดภัยให้กับระบบการเงินและข้อมูลขององค์กร

TLP:CLEAR

ห้วงเวลาข้อมูล: 14-20 กันยายน 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)