Corporate Services & SMEs Sector Weekly Report
ห้วงเวลา: 21-27 กันยายน 2569
TLP:CLEARในรอบสัปดาห์ที่ผ่านมา ภัยคุกคามไซเบอร์ที่มุ่งเป้าภาคบริการธุรกิจและกลุ่มวิสาหกิจขนาดกลางและขนาดย่อม (SMEs) ปรากฏการยกระดับเชิงยุทธวิธีอย่างเด่นชัดใน 4 รูปแบบหลัก: (1) ปฏิบัติการ CSuite พุ่งเป้าหลอกลวงผู้บริหารระดับสูงด้วยกลลวง Device-Code Phishing บนระบบ Microsoft 365 ควบคู่การฝังซอฟต์แวร์ Remote Management ที่ถูกกฎหมาย เช่น ScreenConnect (2) ปฏิบัติการ Master เจาะระบบเครือข่ายองค์กรผ่านช่องโหว่ VPN (CVE-2026-0257) และเชื่อมต่อแพลตฟอร์ม AdaptixC2 เพื่อขโมยฐานข้อมูลการเงินและดัดแปลงใบแจ้งหนี้อัตโนมัติ (3) การโจมตีห่วงโซ่อุปทานระดับผู้ให้บริการ CDN อย่าง Brevo ผ่าน API Key ของ Cloudflare ที่หลุดรั่ว ส่งผลให้สคริปต์ ClickFix แทรกซึมสู่เว็บไซต์องค์กรกว่า 100,000 แห่ง และ (4) กลุ่มมัลแวร์เรียกค่าไถ่ PAYLOAD เปลี่ยนผ่านสู่โมเดลขู่กรรโชกทรัพย์โดยไม่เข้ารหัสไฟล์ (Encryptionless Extortion) โดยอาศัยการยึดครอง Active Directory GPO กระจายคำสั่งปิดระบบและเปลี่ยนภาพพื้นหลังทั่วทั้งองค์กร
ANY.RUN เปิดเผยการวิเคราะห์ปฏิบัติการ CSuite ซึ่งมุ่งเป้าโจมตีผู้บริหารและบุคลากรองค์กรธุรกิจในสหรัฐฯ และยุโรป โดยใช้การส่งเอกสารลวงในธีมสัญญาธุรกิจและใบอนุญาตผ่าน Adobe Document Cloud ผู้โจมตีแบ่งการโจมตีออกเป็น 2 แนวทางหลัก: หลอกล่อให้ผู้ใช้ป้อนรหัสยืนยันตัวตนผ่าน Microsoft OAuth Device-Code เพื่อขโมยโทเคนเซสชัน Microsoft 365 โดยไม่ต้องฝ่าการยืนยันตัวตนหลายปัจจัย (MFA) และการปล่อยสคริปต์แบตช์ขนาดเล็กติดตั้งเครื่องมือรีโมตที่ถูกกฎหมาย เช่น ScreenConnect และ Action1 เพื่อยึดครองเครื่องของพนักงานอย่างถาวร
ประเมินเป็นความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจในไทย โดยเฉพาะผู้บริหารระดับสูงและฝ่ายจัดการที่ใช้งาน Microsoft 365 และเครื่องมือ Remote Management หากพนักงานตกเป็นเหยื่อของการหลอกลวงประเภท Device-Code Phishing อาจส่งผลให้กล่องข้อความและระบบคลาวด์ขององค์กรถูกสวมรอยนำไปใช้ก่ออาชญากรรมทางการเงินต่อ
ยุทธศาสตร์: องค์กรธุรกิจต้องปรับปรุงนโยบายการควบคุม Identity โดยจำกัดการเข้าสู่ระบบผ่าน Device Code Flow และบังคับใช้นโยบาย Conditional Access ตามระดับความเสี่ยงของอุปกรณ์
ยุทธการ: ฝ่ายไอทีและศูนย์ปฏิบัติการความปลอดภัย (SOC) ต้องจัดทำบัญชีซอฟต์แวร์ Remote Monitoring and Management (RMM) ที่ได้รับอนุญาต และบล็อกการติดตั้งหรือรันเอเจนต์ RMM แปลกปลอม
ยุทธวิธี: ตรวจสอบพฤติกรรมการเรียกใช้งาน msiexec ผ่านสคริปต์แบตช์ในโฟลเดอร์ Downloads และบล็อกโดเมนฟิชชิ่ง เช่น documentensono[.]sbs และ localcontex[.]online
ภาคบริการธุรกิจ, ฝ่ายบริหารระดับสูง (C-Suite), ภาคการเงิน, สำนักงานกฎหมาย และที่ปรึกษาองค์กร
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
SOCRadar เปิดเผยรายงานวิจัยปฏิบัติการ Operation Master ซึ่งเป็นแคมเปญอาชญากรรมไซเบอร์ที่มุ่งเน้นการสร้างรายได้ 2 ทาง (Two-tier Monetization) ผู้โจมตีอาศัยช่องโหว่บายพาสการยืนยันตัวตนใน Palo Alto Networks GlobalProtect (CVE-2026-0257) เพื่อเข้าสู่เครือข่ายภายใน จากนั้นติดตั้งเฟรมเวิร์กควบคุมระยะไกล AdaptixC2 ร่วมกับเอเจนต์ Go เพื่อดึงฐานข้อมูลลูกค้าและการเงินผ่านคำสั่ง SQL Injection และนำข้อมูลที่ได้ไปป้อนเข้าสู่ระบบ Master Panel เพื่อส่งใบแจ้งหนี้ปลอมและแก้ไขข้อมูลบัญชีรับเงินโดยอัตโนมัติ
ประเมินเป็นความเสี่ยงระดับสูงต่อองค์กรธุรกิจและกลุ่ม SMEs ในไทยที่มีการใช้งานอุปกรณ์ Palo Alto GlobalProtect และมีกระบวนการวางบิลชำระเงินออนไลน์ หากระบบเครือข่ายถูกเจาะอาจนำไปสู่การขโมยฐานข้อมูลคู่ค้าและเปลี่ยนเส้นทางการโอนเงินค่าบริการ
ยุทธศาสตร์: ผู้บริหารฝ่ายการเงินและไอทีต้องกำหนดมาตรการตรวจสอบความถูกต้องของการชำระเงินนอกระบบอิเล็กทรอนิกส์ (Out-of-band Verification) สำหรับการเปลี่ยนแปลงเลขที่บัญชีรับเงินของคู่ค้า
ยุทธการ: เร่งรัดการตรวจสอบเวอร์ชันและอัปเดตแพตช์ความปลอดภัยของไฟร์วอลล์และเกตเวย์ VPN อย่างเคร่งครัดตามประกาศ CISA KEV
ยุทธวิธี: ตรวจสอบการใช้งานคำสั่ง xp_cmdshell บนฐานข้อมูล MS SQL ตรวจจับการเชื่อมต่อ AdaptixC2 ไปยัง 91.92.241[.]187 และบล็อกโดเมน yzs[.]fi
ภาคบริการธุรกิจ, สาธารณูปโภคและพลังงาน, ระบบ ERP และฝ่ายบัญชีการเงินขององค์กร
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Rescana เผยแพร่รายงานแจ้งเตือนกรณีผู้ให้บริการการตลาดดิจิทัล Brevo (เดิมคือ Sendinblue) ถูกโจมตีห่วงโซ่อุปทานผ่านคลาวด์ โดยผู้โจมตีนำ Cloudflare API Key ที่ถูกขโมยไปสร้าง Cloudflare Worker ควบคุมเส้นทาง CDN และแทรกสคริปต์หลอกลวงแบบ ClickFix เข้าไปในไฟล์ JavaScript 3 ตัวที่ลูกค้าฝังไว้บนเว็บไซต์ เหตุการณ์นี้ส่งผลกระทบต่อเว็บไซต์ลูกค้ามากกว่า 100,000 แห่ง โดยผู้เข้าชมเว็บไซต์จะถูกแสดงหน้าต่างหลอกว่าระบบต้องการการตรวจสอบตัวตน และชักจูงให้รันคำสั่ง PowerShell บนเครื่องเป้าหมาย
ประเมินเป็นความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อเว็บไซต์ธุรกิจและร้านค้าออนไลน์ในไทยที่ฝังวิดเจ็ตหรือแบบฟอร์มการตลาดของ Brevo โดยสคริปต์ที่ถูกแทรกซึมอาจแปรสภาพเว็บไซต์ขององค์กรให้กลายเป็นตัวกลางแพร่กระจายมัลแวร์สู่ลูกค้าและผู้เข้าชมเว็บไซต์
ยุทธศาสตร์: ผู้บริหารฝ่ายดิจิทัลและไอทีต้องประเมินความเสี่ยง Third-Party Risk Management (TPRM) ในการติดตั้งสคริปต์ภายนอก และบังคับใช้นโยบาย Content Security Policy (CSP)
ยุทธการ: ตรวจสอบประวัติการติดตั้งปลั๊กอินบนเว็บไซต์ WordPress ย้อนหลัง และตั้งค่าการแจ้งเตือนความเปลี่ยนแปลงของโค้ดสคริปต์ฝั่ง Frontend
ยุทธวิธี: ตรวจสอบและระงับการเชื่อมต่อไปยังโดเมน glegchner[.]com, yelahaye[.]surf และตรวจหาปลั๊กอินแฝงชื่อ Web Media Optimizer ในไดเรกทอรี wp-content/mu-plugins/
ภาคบริการธุรกิจ, เว็บไซต์การตลาด, ธุรกิจอีคอมเมิร์ซ และผู้ให้บริการซอฟต์แวร์ SaaS
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมตอบสนองภัยคุกคามของ Kaspersky (GERT) รายงานการตรวจพบมัลแวร์เรียกค่าไถ่กลุ่ม PAYLOAD ที่เปลี่ยนรูปแบบการโจมตีไปสู่การกรรโชกทรัพย์โดยไม่เข้ารหัสไฟล์ (Encryptionless Extortion) หลังจากผู้โจมตีเข้าถึงบัญชีผู้ดูแลระบบโดเมนได้ ได้ทำการสร้างนโยบาย Group Policy Objects (GPOs) บน Active Directory เพื่อบังคับส่งไฟล์เรียกค่าไถ่ เปลี่ยนภาพหน้าจอล็อกและพื้นหลังเดสก์ท็อป พร้อมทั้งปิดการทำงานของ Windows Firewall ทั่วทั้งองค์กร โดยไม่มีการรันไฟล์มัลแวร์บนเครื่องลูกข่าย ทำให้หลบเลี่ยงการตรวจจับของแอนติไวรัสทั่วไปได้อย่างมีประสิทธิภาพ
ประเมินเป็นความเสี่ยงระดับสูงต่อโครงสร้างพื้นฐาน Active Directory ขององค์กรธุรกิจและหน่วยงานในไทย การโจมตีโดยไม่อาศัยการเข้ารหัสไฟล์ทำให้ระบบตรวจจับแบบเดิมไม่แจ้งเตือน และการยึดครองระดับ GPO อาจทำให้ระบบคอมพิวเตอร์ทั่วทั้งองค์กรหยุดชะงักพร้อมกัน
ยุทธศาสตร์: ผู้บริหารฝ่ายสารสนเทศต้องให้ความสำคัญกับความมั่นคงปลอดภัยของระบบจัดการบัญชีและตัวควบคุมโดเมน (Domain Controllers) โดยแยกสิทธิ์ขาดจากเครื่องลูกข่ายทั่วไป
ยุทธการ: เปิดใช้งานระบบ Directory Service Access Auditing บน Domain Controller ทุกเครื่องเพื่อเฝ้าระวังการสร้างหรือแก้ไข Group Policy Object โดยไม่ได้วางแผนล่วงหน้า
ยุทธวิธี: ตรวจสอบ Event ID 5136 และ 5137 บน Windows Event Log และเฝ้าระวังการวางไฟล์แปลกปลอมในโฟลเดอร์ SYSVOL บน Domain Controller
ภาคบริการธุรกิจ, โครงสร้างพื้นฐาน Active Directory ระดับองค์กร และภาคการผลิต
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
.msi แปลกปลอมผ่านสคริปต์อัตโนมัติบนเครื่องลูกข่ายของพนักงาน