CGI-CTI-WEEKLY-20260921-GOV - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์หน่วยงานภาครัฐ ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบการโจมตีเจาะระบบ LocalAI ที่ไม่ยืนยันตัวตนส่งผลกระทบโดยตรงต่อเครื่องคอมพิวเตอร์หน่วยงานความมั่นคงในไทย การขยายขีดความสามารถของกลุ่ม APT36 ด้วยมัลแวร์ภาษา Rust ปฏิบัติการฝังแบ็กดอร์ SparroWocky ในหน่วยความจำของกลุ่ม FamousSparrow และการตรวจพบโครงสร้างพื้นฐาน SpiceRAT ที่ปลอมแปลงหน่วยงานรัฐ

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 14-20 กันยายน 2569 ภัยคุกคามไซเบอร์ต่อหน่วยงานภาครัฐและความมั่นคงมีความเคลื่อนไหวสำคัญทั้งในระดับยุทธวิธีและการมุ่งเป้าโครงสร้างพื้นฐานใหม่ โดยเฉพาะการตรวจพบการโจมตีแบบอัตโนมัติไปยังเซิร์ฟเวอร์ LocalAI ที่เปิดสู่สาธารณะโดยไม่มีการยืนยันตัวตน ซึ่งนำไปสู่การรันคำสั่งอันตราย (RCE) และการบุกรุกเครื่องคอมพิวเตอร์ที่เชื่อมโยงกับกองทัพไทย จนเกิดการรั่วไหลของข้อมูลระบุตัวตนและพิกัดสำคัญ ขณะเดียวกันกลุ่มภัยคุกคามขั้นสูง APT36 (Transparent Tribe) ได้เปิดปฏิบัติการ Operation RapidRust โดยเปลี่ยนเครื่องมือหลักมาใช้ภาษา Rust เช่น RUSTYSHADE และ RUSTYMOVE เพื่อแพร่กระจายผ่านสื่อบันทึกข้อมูล USB และจารกรรมข้อมูลหน่วยงานกลาโหม นอกจากนี้ กลุ่ม FamousSparrow ได้นำแบ็กดอร์ SparroWocky รุ่นใหม่มาใช้งานเพื่อหลบเลี่ยงระบบตรวจจับด้วยการทำงานในหน่วยความจำและใช้เทคนิค DLL Sideloading เจาะระบบหน่วยงานรัฐบาลในละตินอเมริกา ควบคู่กับการเปิดโปงโครงสร้างพื้นฐาน SilkParasite ที่แอบอ้างบริการของกระทรวงการต่างประเทศและหน่วยงานรัฐในเอเชียกลางเพื่อควบคุมโทรจัน SpiceRAT สะท้อนถึงแนวโน้มที่ผู้โจมตีมุ่งเน้นการใช้ประโยชน์จากโครงสร้างพื้นฐาน AI การหลบเลี่ยง EDR และการปลอมแปลงบริการรัฐบาลระดับสูง

เหตุการณ์เด่นประจำสัปดาห์

การโจมตี LocalAI แบบวงกว้าง ส่งผลให้เกิด RCE ขโมยข้อมูลและบุกรุกเครื่องคอมพิวเตอร์กองทัพไทย

เผยแพร่: 15 กันยายน 2569 · แหล่งที่มา: Oasis Security · Admiralty B2

ทีมนักวิจัย Oasis Security วิเคราะห์เครื่องมือและบันทึกข้อมูลบนเซิร์ฟเวอร์ผู้โจมตี พบการสแกนและโจมตีโหนด LocalAI ที่เปิดสู่สาธารณะโดยไม่มีการยืนยันตัวตนจำนวน 243 แห่งทั่วโลก ผู้โจมตีอาศัยคำสั่งตั้งค่าผ่าน MCP STDIO ในการรันคำสั่งระดับ Root บนเซิร์ฟเวอร์เป้าหมายอย่างน้อย 23 แห่ง โดยหนึ่งในนั้นคือเครื่องคอมพิวเตอร์ที่เชื่อมโยงกับกองทัพไทย ส่งผลให้ข้อมูลสำคัญ เช่น ภาพสแกนบัตรประจำตัวประชาชน พิกัด GPS ภาพหน้าจอแอปพลิเคชัน และเอกสารทางทหาร ถูกส่งกลับไปยังเซิร์ฟเวอร์ควบคุมของผู้โจมตี พร้อมการกวาดค้นกุญแจ AWS และข้อมูลกระเป๋าเงินดิจิทัล

ผลกระทบต่อประเทศไทย

ได้รับผลกระทบโดยตรง (Confirmed Direct Impact) เนื่องจากตรวจพบบันทึกการบุกรุกเครื่องคอมพิวเตอร์ที่เชื่อมโยงกับหน่วยงานกองทัพไทย และมีการขโมยข้อมูลภาพถ่ายระบุตัวบุคคล พิกัดที่ตั้ง และข้อมูลลับส่งออกไปยังภายนอก หน่วยงานภาครัฐและกองทัพที่กำลังนำโมเดล AI โอเพนซอร์สมาทดสอบใช้งานภายในจำเป็นต้องปิดกั้นการเข้าถึงจากอินเทอร์เน็ตทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การนำระบบ AI แบบ Local มาใช้งานโดยขาดการกำหนดนโยบายความมั่นคงปลอดภัยกลายเป็นช่องทางเปิดให้ฝ่ายตรงข้ามแทรกซึมเข้าสู่เครือข่ายภายในของหน่วยงานความมั่นคง

ยุทธการ: ผู้โจมตีใช้การสแกน OSINT แบบอัตโนมัติร่วมกับสคริปต์ยิงเพย์โหลดคู่ขนาน เพื่อยกระดับสิทธิ์สู่ระดับ Root และสำรวจเครือข่ายส่วนบุคคลอย่างรวดเร็วภายในเวลาไม่กี่ชั่วโมง

ยุทธวิธี: ศูนย์ SOC และผู้ดูแลระบบต้องตรวจสอบการเปิดพอร์ตของบริการ LocalAI ปิดกั้นไม่ให้เข้าถึงจากภายนอกโดยไม่ผ่าน VPN และเปิดใช้งานการยืนยันตัวตนผ่าน API Key เสมอ

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐและความมั่นคง, กองทัพ, สถาบันวิจัยที่ใช้งานระบบปัญญาประดิษฐ์ในเครื่องลูกข่าย (LocalAI)

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1059.004 Unix Shell T1552.005 Cloud Instance Metadata API T1005 Data from Local System T1041 Exfiltration Over C2 Channel T1071.001 Web Protocols

IOC ที่สำคัญ

184.107.106[.]86 173.212.213[.]83 152.53.120[.]90 hxxp://184.107.106[.]86:18080/x/op7/0 hxxp://184.107.106[.]86:18080/m/o2008/286 hxxp://184.107.106[.]86:18080/m/o2008/318

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Oasis Security - Analysis of Large-Scale Attacks Targeting LocalAI Infrastructure and Exfiltration of Sensitive Data from Thai Military →

กลุ่ม APT36 เปิดปฏิบัติการ RapidRust ปล่อยมัลแวร์ RUSTYSHADE และ RUSTYMOVE มุ่งเป้าหน่วยงานภาครัฐและความมั่นคง

เผยแพร่: 16 กันยายน 2569 · แหล่งที่มา: Zscaler ThreatLabz · Admiralty B2

ทีมนักวิจัย Zscaler ThreatLabz ตรวจพบปฏิบัติการ Operation RapidRust ของกลุ่มภัยคุกคาม APT36 (หรือ Transparent Tribe) ที่มุ่งเป้าโจมตีหน่วยงานภาครัฐและกลาโหมในภูมิภาคเอเชียใต้ โดยผู้โจมตีได้เปลี่ยนมาพัฒนาเครื่องมือด้วยภาษา Rust เพื่อหลบเลี่ยงการตรวจจับ ประกอบด้วยแบ็กดอร์ RUSTYSHADE สำหรับควบคุมระบบและดักจับภาพหน้าจอ และเครื่องมือ RUSTYMOVE ที่ใช้แพร่กระจายผ่านแฟลชไดรฟ์ USB ไปยังเครื่องคอมพิวเตอร์ที่ตัดขาดจากอินเทอร์เน็ต (Air-Gapped) พร้อมทั้งใช้โดเมนเลียนแบบสำนักข่าวในการหลอกล่อเหยื่อ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อหน่วยงานด้านความมั่นคงและการทหารของไทย แม้แคมเปญนี้จะมุ่งเป้าหมายหลักในภูมิภาคเอเชียใต้ แต่วิธีการแพร่กระจายผ่านสื่อบันทึกข้อมูลภายนอก (USB) และการใช้มัลแวร์ภาษา Rust เพื่อหลบเลี่ยงการวิเคราะห์ของโปรแกรมแอนติไวรัส เป็นเทคนิคสากลที่อาจถูกนำมาปรับใช้โจมตีโครงสร้างพื้นฐานด้านความมั่นคงในไทย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐปรับเปลี่ยนชุดเครื่องมือสู่ภาษาคอมไพล์สมัยใหม่ (Rust) เพื่อเพิ่มความยากในการทำวิศวกรรมย้อนกลับและหลบเลี่ยงการวิเคราะห์พฤติกรรม

ยุทธการ: ผู้ไม่หวังดีใช้ประโยชน์จากการแพร่กระจายผ่านไดรฟ์ USB เพื่อเจาะลึกเข้าไปยังเครือข่ายความมั่นคงระดับสูงที่ไม่ได้เชื่อมต่อกับเครือข่ายอินเทอร์เน็ตสาธารณะ

ยุทธวิธี: ฝ่ายความปลอดภัยของหน่วยงานรัฐควรบังคับใช้นโยบายปิดกั้นการใช้งานพอร์ต USB (Removable Media Blocking) หรือกำหนดให้อ่านไฟล์ได้เท่านั้น และตั้งค่าตรวจจับมัลแวร์ภาษา Rust บนเครื่องปลายทาง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐ, กระทรวงกลาโหม, องค์กรด้านความมั่นคงปลอดภัยทางทหาร, หน่วยงานความมั่นคงระหว่างประเทศ

MITRE ATT&CK

T1059.001 PowerShell T1053.005 Scheduled Task T1091 Replication Through Removable Media T1113 Screen Capture T1005 Data from Local System T1567.002 Exfiltration to Cloud Storage T1583.001 Domains

IOC ที่สำคัญ

52d07b3ef0c5f27d082551d51027de452682e1fbd5bb38a897ea4b31bd387523 80fdde0dafa450ae33937ccef752b46666da567926b2f39b37e02e77f9d6a92e 70fc6cba3c2021889fb4093d0221dc6925818666df25718a630c562cac18da31 theprints[.]org indiatodays[.]org hxxps://indiatodays[.]org/pv

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Zscaler ThreatLabz - Operation RapidRust: New APT36 Malware Tools →

กลุ่ม FamousSparrow ติดตั้งแบ็กดอร์ SparroWocky รุ่นใหม่ เจาะระบบหน่วยงานภาครัฐในแถบละตินอเมริกา

เผยแพร่: 17 กันยายน 2569 · แหล่งที่มา: ESET Research · Admiralty B2

ทีมนักวิจัย ESET Research เผยแพร่รายงานการติดตามกลุ่มภัยคุกคาม FamousSparrow ที่เปิดตัวแบ็กดอร์หลักตัวใหม่ในชื่อ SparroWocky ซึ่งถูกนำไปใช้เจาะระบบหน่วยงานภาครัฐและบริหารราชการในแถบละตินอเมริกา โดยมัลแวร์ถูกโหลดเข้าสู่หน่วยความจำผ่านเทคนิค DLL Sideloading ร่วมกับไฟล์ DLL ปลอม เช่น winfsp-x64.dll แบ็กดอร์นี้มีความสามารถในการจับภาพหน้าจอ ดึงข้อมูลเครื่อง ขโมยเอกสาร และสร้างอุโมงค์ส่งผ่านข้อมูล C2 แบบสองทิศทางผ่านโปรโตคอลที่เข้ารหัส

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อหน่วยงานภาครัฐและสถานทูตในประเทศไทย เนื่องจากกลุ่ม FamousSparrow เคยมีประวัติปฏิบัติการจารกรรมทางไซเบอร์ต่อเป้าหมายระดับนานาชาติและหน่วยงานภาครัฐทั่วโลก การตรวจจับพฤติกรรมการใช้ DLL Sideloading และการส่งข้อมูลผิดปกติของแบ็กดอร์จึงมีความสำคัญต่อการป้องกันระบบแม่ข่ายของรัฐ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มจารกรรมข้อมูลระดับนานาชาติยังคงยกระดับการพรางตัวด้วยการรันโค้ดในหน่วยความจำเพื่อหลบเลี่ยงการตรวจจับของระบบความปลอดภัยระดับเกตเวย์

ยุทธการ: ผู้โจมตีใช้เทคนิค DLL Sideloading ผ่านแอปพลิเคชันที่น่าเชื่อถือเพื่อฝังตัวในระบบและสถาปนาช่องทาง C2 สำรองที่ยากต่อการติดตาม

ยุทธวิธี: ฝ่ายไอทีควรเปิดใช้งานระบบ EDR ที่มีขีดความสามารถในการตรวจจับการฉีดโค้ดลงในหน่วยความจำ (In-Memory Injection) และตรวจสอบความถูกต้องของไฟล์ DLL ในไดเรกทอรีระบบ

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐและบริหารราชการแผ่นดิน, หน่วยงานความสัมพันธ์ระหว่างประเทศ, องค์กรด้านการต่างประเทศ

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1574.001 DLL T1547.001 Registry Run Keys / Startup Folder T1027.007 Dynamic API Resolution T1113 Screen Capture T1041 Exfiltration Over C2 Channel T1090.001 Internal Proxy

IOC ที่สำคัญ

72677119b8bf3e2d23f22150c7b364fea9248819c36e97db015414586285591d 95dff799b2fffe128fb5e8f3bae0a0ec5bc5b181567165ac50860beac9230fcf e0b6f8535e19f0a4938e3317de0c4493ecea17aa906fd0454805ba2086cbf3a8 38.54.57[.]17 38.60.197[.]55 77.111.101[.]40

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: ESET Research - Beware the SparroWock: The backdoor that bites, the commands that catch →

การติดตามโครงสร้างพื้นฐาน SilkParasite พบเซิร์ฟเวอร์ C2 ของ SpiceRAT และใบรับรอง TLS ปลอมแปลงหน่วยงานรัฐในเอเชียกลาง

เผยแพร่: 16 กันยายน 2569 · แหล่งที่มา: Hunt.io · Admiralty B2

รายงานจาก Hunt.io เปิดเผยผลการตรวจจับโครงสร้างพื้นฐานของแคมเปญ SilkParasite ที่เชื่อมโยงกับการใช้งานมัลแวร์ควบคุมระยะไกล SpiceRAT และ NomadRAT โดยผู้โจมตีทำการจดทะเบียนโดเมนและสร้างใบรับรองดิจิทัล TLS ปลอมแปลงหน่วยงานรัฐบาล เช่น ทำเนียบประธานาธิบดีคีร์กีซสถาน กระทรวงการต่างประเทศ และหน่วยงานรัฐวิสาหกิจด้านไอที เพื่อใช้เป็นจุดควบคุมและรับส่งคำสั่งจารกรรมข้อมูลจากระบบของหน่วยงานเป้าหมาย

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อหน่วยงานภาครัฐและผู้ให้บริการโครงสร้างพื้นฐานสำคัญในไทย รูปแบบการปลอมแปลงโดเมนและใบรับรอง TLS ให้ดูน่าเชื่อถือเลียนแบบหน่วยงานราชการเป็น TTPs ที่กลุ่มแฮกเกอร์มักนำมาใช้โจมตีข้ามประเทศ การบล็อกรายการโดเมนและ IP ของเครือข่าย C2 นี้ช่วยป้องกันไม่ให้อุปกรณ์ในไทยตกเป็นเหยื่อของการควบคุมทางไกล

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้โจมตีเน้นการสร้างความน่าเชื่อถือให้โครงสร้างพื้นฐาน C2 ผ่านการแอบอ้างหน่วยงานรัฐระดับสูงเพื่อลดความสงสัยในการตรวจสอบทราฟฟิกขาออก

ยุทธการ: กลุ่มภัยคุกคามกระจายเซิร์ฟเวอร์ควบคุม C2 ไปยังหลายประเทศและใช้พอร์ตบริการเฉพาะทางในการติดต่อสื่อสารเพื่อหลบเลี่ยงการตรวจจับตามปกติ

ยุทธวิธี: หน่วยงานด้านความปลอดภัยควรนำรายการโดเมนและ IP ที่ระบุในรายงานไปกำหนดเป็นบล็อกลิสต์บนระบบ DNS Firewall และ Secure Web Gateway ขององค์กร

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐและการบริหาร, กระทรวงการต่างประเทศ, หน่วยงานด้านพลังงานและโทรคมนาคม

MITRE ATT&CK

T1583.001 Domains T1588.004 Digital Certificates T1036.005 Match Legitimate Resource Name or Location T1071.001 Web Protocols T1573.002 Asymmetric Cryptography T1021.001 Remote Desktop Protocol T1219 Remote Access Tools

IOC ที่สำคัญ

46.30.191[.]230 188.190.29[.]126 193.29.59[.]159 infocomkg[.]org data.yntymak-ordo[.]com mail.postmfa[.]com

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Hunt.io - SilkParasite Infrastructure: SpiceRAT Servers Tied to Energy and Government Targets Across Central Asia →

ข้อสังเกตประจำสัปดาห์

ความเสี่ยงจากการนำโมเดล AI โอเพนซอร์สมาติดตั้งใช้งานโดยขาดการควบคุม: กรณีการโจมตี LocalAI แสดงให้เห็นว่าการเปิดบริการ AI สู่เครือข่ายภายนอกโดยไม่มีระบบพิสูจน์ตัวตนกลายเป็นช่องทางใหม่ที่ผู้โจมตีใช้บุกรุกเข้าถึงเครือข่ายภายในของหน่วยงานความมั่นคงได้อย่างรวดเร็วและสามารถขโมยข้อมูลลับระดับสูงได้โดยตรง
การเปลี่ยนผ่านไปสู่การพัฒนามัลแวร์ด้วยภาษา Rust: กลุ่มภัยคุกคามระดับสูงเช่น APT36 เริ่มหันมาใช้ภาษา Rust ในการสร้างเครื่องมือ เช่น RUSTYSHADE และ RUSTYMOVE เพื่อเพิ่มประสิทธิภาพในการหลบเลี่ยงการตรวจจับของซอฟต์แวร์ป้องกันไวรัสรุ่นเก่า และเพิ่มความทนทานในการทำงานข้ามระบบปฏิบัติการ
การพรางตัวของโครงสร้างพื้นฐาน C2 ผ่านการแอบอ้างบริการรัฐ: กลุ่มจารกรรมข้อมูลอย่าง FamousSparrow และ SilkParasite ยังคงพัฒนาเทคนิคการพรางตัวขั้นสูง ทั้งการทำงานบนหน่วยความจำ การทำ DLL Sideloading และการจดทะเบียนโดเมนเลียนแบบหน่วยงานราชการเพื่อสร้างความน่าเชื่อถือให้กับทราฟฟิก C2

ข้อเสนอแนะ

ปิดกั้นและตรวจสอบการเข้าถึงบริการ AI ที่ติดตั้งบนเครื่องแม่ข่ายภายใน: หน่วยงานภาครัฐควรตรวจสอบระบบ LocalAI หรือโอเพนซอร์ส AI ทั้งหมดในองค์กร ปิดกั้นพอร์ตการเข้าถึงจากเครือข่ายภายนอก และบังคับให้เชื่อมต่อผ่าน VPN พร้อมระบบยืนยันตัวตนแบบหลายปัจจัย (MFA) เท่านั้น
ควบคุมการใช้งานสื่อบันทึกข้อมูลแบบพกพา (USB): ศูนย์คอมพิวเตอร์และฝ่ายความมั่นคงปลอดภัยควรกำหนดนโยบายปิดกั้นการเชื่อมต่อ USB Mass Storage หรืออนุญาตให้อ่านข้อมูลได้อย่างเดียว (Read-Only) บนเครื่องคอมพิวเตอร์ที่มีข้อมูลสำคัญหรืออยู่ในเครือข่ายที่มีชั้นความลับ
ติดตั้งระบบตรวจสอบพฤติกรรมบนเครื่องปลายทาง (EDR) ที่ตรวจจับ In-Memory Injection: เพิ่มประสิทธิภาพระบบตรวจจับของเครื่องแม่ข่ายและคอมพิวเตอร์ลูกข่ายให้สามารถตรวจจับการทำ DLL Sideloading และการฉีดโค้ดลงในหน่วยความจำของมัลแวร์ได้อย่างแม่นยำ
บล็อกรายการโดเมนและ IP ของเซิร์ฟเวอร์ C2 บนระบบ DNS Firewall: ผู้ดูแลระบบเครือข่ายควรนำรายการ IOCs ของโครงสร้างพื้นฐานที่เป็นอันตราย เช่น SpiceRAT และโดเมนปลอมแปลง ไปเพิ่มในฐานข้อมูลการบล็อกของ Secure Web Gateway (SWG) และ DNS ระดับองค์กร
ฝึกอบรมการตระหนักรู้ด้านความปลอดภัยสำหรับบุคลากรด้านเทคโนโลยีและ AI: จัดให้มีการอบรมเจ้าหน้าที่ที่ดูแลระบบและนักวิจัยเกี่ยวกับการตั้งค่าความปลอดภัยเบื้องต้นของเฟรมเวิร์ก AI และข้อควรระวังในการนำข้อมูลสำคัญขององค์กรไปประมวลผลบนเครื่องมือที่ยังไม่ผ่านการประเมินความเสี่ยง

สรุป: รายงานฉบับนี้จัดทำขึ้นเพื่อให้ข้อมูลภัยคุกคามไซเบอร์เชิงลึกสำหรับหน่วยงานภาครัฐและความมั่นคง โดยรวบรวมเหตุการณ์สำคัญ ข้อสังเกตเชิงยุทธวิธี และข้อเสนอแนะเพื่อเสริมสร้างความมั่นคงปลอดภัยให้กับระบบสารสนเทศและข้อมูลสำคัญของประเทศ

TLP:CLEAR

ห้วงเวลาข้อมูล: 14-20 กันยายน 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)