ในรอบสัปดาห์ระหว่างวันที่ 21-27 กันยายน 2569 ภัยคุกคามไซเบอร์ต่อภาคการศึกษาและสถาบันวิจัยมีแนวโน้มทวีความรุนแรงใน 3 มิติหลัก กลุ่มผู้คุกคามขยายการโจมตีช่องโหว่ระบบบริหารจัดการข้อมูลการศึกษาและบุคคลระดับองค์กร (Oracle PeopleSoft) ด้วยเทคนิคหลบเลี่ยง WAF เพื่อยึดครองเซิร์ฟเวอร์แม่ข่าย ขณะเดียวกันพบยุทธวิธีใหม่ในการแพร่กระจายมัลแวร์ผ่านห่วงโซ่อุปทาน AI (AI Supply Chain Contamination) โดยมุ่งเป้าคลังโมเดลวิจัยยอดนิยมบน Hugging Face เพื่อดักจับนักพัฒนาและนักวิจัย นอกจากนี้ ยังพบแคมเปญฟิชชิงขโมยเซสชัน M365 และการส่งมัลแวร์เจาะจงกลุ่มนักวิชาการและสถาบันคลังสมอง ซึ่งสะท้อนว่าสถาบันการศึกษาและห้องปฏิบัติการวิจัยกำลังตกเป็นเป้าหมายสำคัญทั้งในเชิงการเงินและการจารกรรมข้อมูลทรัพย์สินทางปัญญา
กลุ่มภัยคุกคาม UNC6240 (ShinyHunters) ได้เริ่มปฏิบัติการโจมตีระลอกใหม่ต่อระบบ Oracle PeopleSoft โดยใช้ช่องโหว่ CVE-2026-35273 บนคอมโพเนนต์ Environment Management Hub (PSEMHUB) ผู้โจมตีสามารถข้ามผ่านกฎการตรวจจับของ WAF แบบดั้งเดิมด้วยการทำ URL-encode เพียงตัวอักษรเดียว (/%50SEMHUB/) จากนั้นอัปโหลด Web Shell และติดตั้งแบ็กดอร์ภาษา C++ ชื่อ SIDEEYE (ผ่านไฟล์ Ple64.exe ที่ปลอมแปลง Extended Validation Certificate) เพื่อขโมยข้อมูลรับรองในเบราว์เซอร์และควบคุมระบบระยะไกล ซึ่งสถาบันอุดมศึกษาเป็นเป้าหมายหลักตั้งแต่เริ่มแรก
มหาวิทยาลัยและสถาบันอุดมศึกษาชั้นนำหลายแห่งในประเทศไทยใช้งานระบบ Oracle PeopleSoft Campus Solutions ในการบริหารจัดการข้อมูลนักศึกษา บุคลากร และงานทะเบียน หากเปิดให้อินเทอร์เน็ตภายนอกเข้าถึง PSEMHUB โดยพึ่งพาเพียงกฎ WAF แบบเดิม จะมีความเสี่ยงสูงมากที่จะถูกยึดครองระบบและขโมยฐานข้อมูลทางวิชาการ
ยุทธศาสตร์: ความล้มเหลวของการพึ่งพา WAF ชั้นนอกโดยไม่ติดตั้งแพตช์ระบบแกนหลักสร้างความเสี่ยงระดับวิกฤตต่อข้อมูลส่วนบุคคลและงานวิจัยของสถาบันอุดมศึกษา
ยุทธการ: ผู้โจมตีพัฒนาเทคนิคหลบเลี่ยงการบล็อกระดับ URL path อย่างรวดเร็ว เพื่อฟื้นฟูแคมเปญโจมตีวงกว้างต่อระบบ ERP ที่แพตช์ล่าช้า
ยุทธวิธี: ฝ่ายเทคโนโลยีสารสนเทศต้องอัปเดต Security Alert Patch จาก Oracle ทันที หรือปิดการเข้าถึงพอร์ต PSEMHUB จากภายนอกเครือข่ายอินเทอร์เน็ต
สถาบันอุดมศึกษา (Higher Education), ภาคเทคโนโลยีสารสนเทศ, หน่วยงานภาครัฐ และสาธารณสุข ที่ใช้งานระบบ Oracle PeopleSoft
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ศูนย์รักษาความปลอดภัย Antiy CERT ตรวจพบการโจมตีรูปแบบใหม่ที่มุ่งเป้าคลังโค้ดโมเดล AI โอเพนซอร์สยอดนิยมบนแพลตฟอร์ม Hugging Face โดยคนร้ายได้อัปโหลดไฟล์อันตราย 71 รายการผ่าน Pull Request และ Commit branch ของโมเดล Qwen/Qwen3.8-27B และ DeepSeek-V4.1-Flash โดยอาศัยความน่าเชื่อถือของชื่อคลังเพื่อหลอกให้นักวิจัยดาวน์โหลด ไฟล์ดังกล่าวซ่อนมัลแวร์ CyberWin ซึ่งมีความสามารถในการควบคุมเครื่อง ดักจับข้อมูลหน้าจอ และขโมยรหัสผ่าน
นักวิจัย คณาจารย์ และนิสิตนักศึกษาในสถาบันวิจัยและมหาวิทยาลัยไทยมีการนำโมเดล DeepSeek และ Qwen มาพัฒนาต่อยอดโครงการวิจัยด้าน AI อย่างแพร่หลาย หากดาวน์โหลดไฟล์โมเดลจากกิ่งหรือ Pull Request ที่ไม่ผ่านการตรวจสอบ อาจทำให้ระบบคอมพิวเตอร์และเซิร์ฟเวอร์ประมวลผล GPU ติดมัลแวร์ได้
ยุทธศาสตร์: ห่วงโซ่อุปทานการวิจัยปัญญาประดิษฐ์ (AI Supply Chain) กำลังกลายเป็นเป้าหมายใหม่ที่ผู้ไม่หวังดีใช้ประโยชน์จากความเปิดกว้างของชุมชนโอเพนซอร์ส
ยุทธการ: ผู้คุกคามใช้กลยุทธ์ Social Engineering ระดับคลังโค้ด โดยส่งโค้ดอันตรายผ่านช่องทางตรวจสอบปกติเพื่อสร้างความสับสนและดักจับผู้ใช้งานทั่วไป
ยุทธวิธี: นักพัฒนาและห้องปฏิบัติการวิจัยต้องดาวน์โหลดโมเดลจาก Release หลักที่ได้รับการยืนยันความถูกต้อง (Verified Checksum) เท่านั้น และห้ามรันไฟล์จาก Pull Request สาธารณะ
สถาบันวิจัยและนวัตกรรม, มหาวิทยาลัย, ห้องปฏิบัติการวิจัยด้านปัญญาประดิษฐ์ (AI Research Labs) และนักพัฒนาโมเดลภาษาขนาดใหญ่
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิจัยจาก ANY.RUN เปิดเผยการสืบสวนปฏิบัติการ CSuite ซึ่งเป็นแคมเปญฟิชชิงและรีโมตคอนโทรลขั้นสูง ผู้โจมตีใช้เหยื่อล่อธีมเอกสารธุรกิจ (Adobe, DocuSign, Zoom, SharePoint) เพื่อนำทางเหยื่อเข้าสู่กระบวนการล็อกอินแบบ Device-Code Authentication เพื่อขโมยโทเคนเซสชันของ Microsoft 365 โดยไม่ต้องฝ่าการยืนยันตัวตนแบบหลายปัจจัย (MFA) ควบคู่กับการหลอกให้ติดตั้งเครื่องมือบริหารจัดการระบบจากระยะไกล (RMM) เช่น ScreenConnect และ Action1 เพื่อควบคุมเครื่องปลายทาง
สถาบันการศึกษาและมหาวิทยาลัยในไทยพึ่งพา Microsoft 365 และระบบคลาวด์อีเมลเป็นโครงสร้างพื้นฐานหลัก หากบุคลากรหรือคณาจารย์ตกเป็นเหยื่อของการยืนยันรหัสอุปกรณ์ (Device Code) คนร้ายจะสามารถเข้าถึงกล่องจดหมาย คลังไฟล์งานวิจัย และใช้บัญชีดังกล่าวส่งฟิชชิงภายในองค์กรได้
ยุทธศาสตร์: การยกระดับการโจมตีแบบผสมผสานทั้งการยึดบัญชีคลาวด์และการควบคุมเครื่องปลายทางด้วยเครื่องมือถูกกฎหมายทำให้การตรวจจับแบบเดิมไม่มีประสิทธิภาพ
ยุทธการ: กลุ่มคนร้ายอาศัยกลไกการยืนยันตัวตนที่ออกแบบมาสำหรับอุปกรณ์ไร้หน้าจอ (Device Code Flow) ในการข้ามผ่านนโยบายการป้องกัน MFA
ยุทธวิธี: ผู้ดูแลระบบเครือข่ายควรจำกัดหรือปิดใช้งาน OAuth Device Code Flow สำหรับผู้ใช้ทั่วไป และตรวจสอบรายชื่อซอฟต์แวร์ RMM ที่ติดตั้งบนเครื่องปลายทาง
สถาบันการศึกษา (Education), องค์กรไม่แสวงหาผลกำไร, ที่ปรึกษา, เทคโนโลยี และหน่วยงานภาครัฐ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
หน่วยวิจัยความมั่นคงปลอดภัย SOCRadar (STRU) รายงานความเคลื่อนไหวของกลุ่มจารกรรมไซเบอร์ Konni (เชื่อมโยงกับ Kimsuky / TA406) ในปฏิบัติการ Operation Conflict Compass โดยคนร้ายใช้อีเมล Spear-phishing แนบไฟล์ ZIP ที่มีไฟล์ทางลัด Windows (LNK) ปลอมแปลงเป็นเอกสารงานวิจัย สันติภาพ หรือประวัติส่วนตัวของนักวิจัยสังคมวิทยา เมื่อเหยื่อเปิดไฟล์ สคริปต์ VBS จะสร้าง Scheduled Task รัน PowerShell ทุกนาที เพื่อติดตั้ง VelvetCake ซึ่งเป็นมัลแวร์ดาวน์โหลดแบบแยกส่วน คอยสืบค้นข้อมูลในระบบ บันทึกหน้าจอ และส่งข้อมูลวิจัยกลับไปยัง C2
นักวิชาการ สถาบันวิจัยความสัมพันธ์ระหว่างประเทศ และคลังสมองด้านนโยบายสาธารณะในไทย มีการแลกเปลี่ยนบทวิเคราะห์และงานวิจัยกับองค์กรสากลอย่างต่อเนื่อง ทำให้มีความเสี่ยงที่จะตกเป็นเป้าหมายของฟิชชิงที่แฝงมากับไฟล์เอกสารวิจัยทางวิชาการ
ยุทธศาสตร์: สถาบันวิจัยเชิงนโยบายและคลังสมองถือเป็นแหล่งข่าวกรองยุทธศาสตร์ชั้นดีที่กลุ่มภัยคุกคามระดับรัฐพยายามแทรกซึมเพื่อชิงความได้เปรียบทางภูมิรัฐศาสตร์
ยุทธการ: ผู้คุกคามปรับเปลี่ยนหัวข้อเหยื่อล่อให้สอดคล้องกับประเด็นวิชาการระดับโลก และใช้โครงสร้างพื้นฐาน GitHub กับเว็บเซิร์ฟเวอร์ที่ถูกยึดครองในการแจกจ่ายเพย์โหลด
ยุทธวิธี: ฝ่ายไอทีควรกำหนดนโยบายบล็อกการรันไฟล์ LNK จากไฟล์แนบอีเมล และเฝ้าระวังพฤติกรรมการสร้าง Scheduled Task ที่เรียกใช้งาน PowerShell ในพารามิเตอร์ผิดปกติ
สถาบันคลังสมอง (Think Tanks), สถาบันวิจัยและนวัตกรรม (Research & Innovation), หน่วยงานการทูต และองค์กรไม่แสวงหาผลกำไร (NGOs)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง