ในรอบสัปดาห์ระหว่างวันที่ 14-20 กันยายน 2569 ภาคสาธารณสุขและการแพทย์เผชิญแรงกดดันจากภัยคุกคามทางไซเบอร์ที่หลากหลาย ทั้งการโจมตีด้วยมัลแวร์เรียกค่าไถ่ Beast (GodDamn) ที่มุ่งเป้าสถาบันการแพทย์ผ่านช่องทาง Remote Desktop Protocol (RDP) โดยใช้เทคนิค Drive Redirection ปลดอาวุธระบบรักษาความปลอดภัย การค้นพบคลัสเตอร์ภัยคุกคาม BambooToken ซึ่งใช้โปรโตคอล MQTT ในการรับส่งคำสั่ง C2 สอดแนมข้อมูลจากองค์กรด้านชีวการแพทย์ในเอเชีย แคมเปญฟิชชิ่งปลอมแปลงหน่วยงานประกันสังคมและสิทธิประโยชน์สุขภาพแพร่กระจายแบ็กดอร์ ScreenConnect รวมถึงการตรวจพบผู้ไม่หวังดีเจาะระบบผู้ให้บริการอินเทอร์เน็ตบรอดแบนด์ 3BB ในประเทศไทยผ่านช่องโหว่ FortiGate SSL-VPN ซึ่งสร้างความเสี่ยงต่อเนื่องต่อโครงข่ายเชื่อมโยงข้อมูลสุขภาพและสถานพยาบาลระดับภูมิภาคทั่วประเทศ
ศูนย์วิจัยความมั่นคงปลอดภัย ESTsecurity ตรวจพบเหตุการณ์แรนซัมแวร์ Beast (GodDamn) โจมตีสถาบันการแพทย์ในเกาหลีใต้ โดยผู้โจมตีบุกรุกผ่าน Remote Desktop Protocol (RDP) และอาศัยฟังก์ชัน Drive Redirection (\\tsclient\) คัดลอกเครื่องมืออย่าง PCHunter (Ph_press.exe) เข้ามาบังคับปิดการทำงานของซอฟต์แวร์แอนติไวรัส จากนั้นรันตัวแรนซัมแวร์ Beast ซึ่งมีข้อมูลการตั้งค่าขนาด 17,409 ไบต์ เข้ารหัสด้วย ChaCha20 ฝังอยู่ภายใน ตัวมัลแวร์มีกลไกตรวจสอบรหัสภาษาเพื่อหลีกเลี่ยงระบบในกลุ่มประเทศ CIS พร้อมฟังก์ชันลบ Volume Shadow Copies และเข้ารหัสไฟล์ในโฟลเดอร์เครือข่ายที่แชร์ร่วมกัน
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยเฉพาะโรงพยาบาล คลินิกเอกชน และศูนย์บริการสาธารณสุขที่มีการเปิดพอร์ต RDP สู่เครือข่ายอินเทอร์เน็ตสาธารณะเพื่อการสนับสนุนระยะไกล หากไม่มีการบังคับใช้ MFA หรือจำกัดสิทธิ์การแชร์ไดรฟ์ อาจตกเป็นเป้าหมายของการบุกรุกและเข้ารหัสข้อมูลเวชระเบียนผู้ป่วยในลักษณะเดียวกัน
ยุทธศาสตร์: สถาบันทางการแพทย์ยังคงเป็นเป้าหมายที่มีมูลค่าสูงของการขู่กรรโชกข้อมูลเนื่องจากความจำเป็นในการให้บริการรักษาพยาบาลตลอดเวลา
ยุทธการ: ผู้โจมตียกระดับเทคนิคการนำเข้าเครื่องมือโจมตีผ่าน RDP Drive Redirection ซึ่งลดร่องรอยบนดิสก์และทำให้การพิสูจน์หลักฐานดิจิทัลทำได้ยากขึ้น
ยุทธวิธี: ผู้ดูแลระบบเครือข่ายโรงพยาบาลต้องปิดการอนุญาต RDP Drive Redirection ผ่าน Group Policy Object (GPO) และบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย
ภาคสาธารณสุขและการแพทย์ (Healthcare Sector), โรงพยาบาล, สถาบันการแพทย์, เซิร์ฟเวอร์ระบบเวชระเบียนอิเล็กทรอนิกส์ (EMR)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Black Lotus Labs รายงานการค้นพบกลุ่มภัยคุกคามข้ามแพลตฟอร์ม BambooToken ที่เคลื่อนไหวตั้งแต่ปี 2566 ถึง 2569 โดยใช้โปรโตคอล Message Queueing and Telemetry Transport (MQTT) สำหรับระบบสั่งการและควบคุม (C2) แบบ Publish/Subscribe สถาปัตยกรรมนี้ช่วยซ่อนเซิร์ฟเวอร์ C2 ตัวจริงไว้เบื้องหลัง MQTT Broker ผู้โจมตีใช้เทคนิค DLL Sideloading ผ่านโปรแกรมยืนยันตัวตน OnKey ของบริษัท Tendyron เพื่อติดตั้งมัลแวร์ลงบนระบบ Windows และ Linux มุ่งเป้าดักรับข้อมูล แป้นพิมพ์ และภาพหน้าจอจากองค์กรด้านชีวการแพทย์ (Biomedical), สถาบันการเงิน, หน่วยงานกฎหมาย และผู้พัฒนาซอฟต์แวร์ในเอเชียและอเมริกาใต้
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยเฉพาะศูนย์วิจัยทางการแพทย์ ห้องปฏิบัติการชีววิทยาศาสตร์ และบริษัทยาในประเทศไทยที่อาจตกเป็นเป้าหมายการจารกรรมทรัพย์สินทางปัญญาและสูตรวิจัยทางการแพทย์ผ่านช่องทางซัพพลายเชนซอฟต์แวร์
ยุทธศาสตร์: ภัยคุกคามขั้นสูงมุ่งเป้าภาคชีวการแพทย์เพื่อจารกรรมข้อมูลงานวิจัยทางการแพทย์ที่มีมูลค่าเชิงยุทธศาสตร์และการแข่งขันระดับภูมิภาค
ยุทธการ: ผู้พัฒนาภัยคุกคามหันมาใช้โปรโตคอล IoT และระบบส่งต่อข้อความ MQTT เพื่ออำพรางทราฟฟิก C2 ให้กลมกลืนกับข้อมูลระบบสื่อสารทั่วไป
ยุทธวิธี: ฝ่ายความมั่นคงปลอดภัยต้องเฝ้าระวังการเชื่อมต่อพอร์ต MQTT (TCP 1883/8883) ที่ผิดปกติจากเครื่องคอมพิวเตอร์ทั่วไปและบังคับใช้นโยบายตรวจจับ DLL Sideloading
ภาคชีวการแพทย์และเวชภัณฑ์ (Biomedical & Pharmaceuticals), ภาคสาธารณสุข, สถาบันการเงิน, องค์กรด้านกฎหมาย, หน่วยงานภาครัฐ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิเคราะห์ตรวจพบแคมเปญฟิชชิ่งผ่านอีเมลที่แอบอ้างชื่อสำนักงานประกันสังคมและกองทุนสวัสดิการสุขภาพ (Social Security Administration) โดยข้อความในอีเมลชักชวนให้เหยื่อคลิกลิงก์ย่อ t.co ซึ่งจะทำการเปลี่ยนเส้นทางไปยังหน้าเว็บหลอกลวง icci-sa[.]com/xgov เพื่อหลอกให้ดาวน์โหลดไฟล์ติดตั้งปลอม ตัวไฟล์ที่ถูกดาวน์โหลดมาเป็นซอฟต์แวร์ควบคุมระบบระยะไกล ScreenConnect ที่ถูกดัดแปลงเป็นแบ็กดอร์ เมื่อทำงานจะเปิดช่องทางเชื่อมต่อไปยังไอพี C2 ของผู้โจมตี ทำให้ผู้ไม่หวังดีสามารถเข้าถึงและควบคุมเครื่องคอมพิวเตอร์ของบุคลากรทางการแพทย์ได้จากระยะไกล
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยผู้ไม่หวังดีอาจนำแนวคิดการปลอมแปลงเอกสารสิทธิประโยชน์สำนักงานประกันสังคมหรือสิทธิหลักประกันสุขภาพถ้วนหน้าของไทยมาใช้เป็นเหยื่อล่อฟิชชิ่งต่อบุคลากรทางการแพทย์และเจ้าหน้าที่ฝ่ายทรัพยากรบุคคล
ยุทธศาสตร์: ประเด็นสวัสดิการรักษาพยาบาลและประกันสังคมเป็นเหยื่อล่อทางวิศวกรรมสังคมที่มีอัตราการเปิดอ่านสูงในทุกระดับบุคลากร
ยุทธการ: ผู้โจมตีนำซอฟต์แวร์บริหารจัดการระยะไกล (RMM) ที่ถูกกฎหมายมาใช้เป็นเครื่องมือควบคุมเพื่อหลบเลี่ยงการตรวจจับของซอฟต์แวร์แอนติไวรัส
ยุทธวิธี: ฝ่ายไอทีต้องตรวจสอบและจำกัดการติดตั้งซอฟต์แวร์รีโมตคอนโทรลที่ไม่ได้รับอนุญาตบนเครื่องลูกข่าย พร้อมบล็อกไอพีและโดเมนที่เกี่ยวข้อง
ภาคสาธารณสุข, เจ้าหน้าที่ผู้ดูแลสิทธิประโยชน์สุขภาพ, หน่วยงานบริการภาครัฐ, ประชาชนทั่วไป
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิจัยจาก Hunt.io เปิดเผยกรณีตรวจพบการบุกรุกระบบของผู้ให้บริการบรอดแบนด์ 3BB ในประเทศไทย โดยผู้โจมตีใช้ประโยชน์จากช่องโหว่ความรุนแรงระดับวิกฤติ CVE-2024-21762 บนอุปกรณ์ FortiGate SSL-VPN เพื่อขโมยรหัสผ่านระบบ RADIUS และติดตั้งเอเจนต์ MeshCentral ผ่านโดเมน ayuthayatech[.]com เพื่อสร้างช่องทางการเข้าถึงระบบจากระยะไกลแบบถาวร เหตุการณ์นี้กระทบต่อความมั่นคงปลอดภัยของโครงข่ายโทรคมนาคมหลักที่ทำหน้าที่เชื่อมต่อระบบสารสนเทศของโรงพยาบาลและสถานีอนามัยในหลายจังหวัดทั่วประเทศ
ได้รับผลกระทบโดยตรง (Confirmed Direct Impact) เนื่องจากโครงข่าย 3BB มีบทบาทสำคัญในการให้บริการอินเทอร์เน็ตแก่องค์กรธุรกิจ โรงพยาบาลชุมชน และศูนย์สาธารณสุขในต่างจังหวัด การที่ผู้ไม่หวังดีสามารถเข้าควบคุมโครงสร้างพื้นฐานระดับแกนกลางอาจนำไปสู่การดักจับข้อมูลการส่งต่อผู้ป่วยหรือการขยายวงโจมตีเข้าสู่เครือข่ายภายในของสถานพยาบาล
ยุทธศาสตร์: ความมั่นคงปลอดภัยของโครงข่ายโทรคมนาคมเป็นรากฐานสำคัญต่อการดำเนินงานของระบบสาธารณสุขทางไกล (Telemedicine) และการบริหารจัดการโรงพยาบาล
ยุทธการ: ผู้โจมตีมุ่งเจาะอุปกรณ์ไฟร์วอลล์และ VPN บริเวณขอบเครือข่ายเพื่อยึดครองสิทธิ์ผู้ดูแลระบบและแทรกซึมเข้าสู่โครงข่ายบริการหลัก
ยุทธวิธี: หน่วยงานสาธารณสุขที่ใช้อุปกรณ์ FortiGate ต้องเร่งอัปเดตแพตช์ปิดช่องโหว่ CVE-2024-21762 และตรวจสอบการเชื่อมต่อผิดปกติไปยังเซิร์ฟเวอร์ไอพี 92.63.180[.]133
ผู้ให้บริการโทรคมนาคม (ISPs), โครงข่ายโรงพยาบาลและสถานพยาบาลในไทย (Healthcare & Hospitals), โครงสร้างพื้นฐานสำคัญระดับชาติ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง