ในรอบสัปดาห์ระหว่างวันที่ 21-27 กันยายน 2569 ภัยคุกคามไซเบอร์ในภาคเทคโนโลยีสารสนเทศและโทรคมนาคมมีความเคลื่อนไหวเชิงรุกในระดับสูง โดยพบภัยคุกคามสำคัญที่มุ่งเป้าไปยังระนาบควบคุมโครงข่าย (Network Control Plane) และห่วงโซ่อุปทานของนักพัฒนา (DevOps Supply Chain) ซึ่งประกอบด้วยการตรวจพบช่องโหว่ Zero-Day ระดับวิกฤตสูงสุดบน Arista VeloCloud Orchestrator (CVE-2026-93952) ที่เปิดทางให้ผู้โจมตีบายพาสการยืนยันตัวตนเข้าควบคุมระบบ SD-WAN ทั้งหมด การเปิดเผยช่องโหว่ Format-String RCE บนโพรโทคอล TACACS+ (tac_plus) ซึ่งถูกกลุ่มจารกรรมขั้นสูงนำไปใช้เจาะระบบโครงสร้างพื้นฐานโทรคมนาคม การตรวจพบโทรจัน Kothamine RAT ที่แพร่กระจายผ่าน npm และนำยูทิลิตี tailcat ของ Tailscale มาใช้อำพรางช่องทาง C2 ผ่านเครือข่าย Mesh VPN ที่เข้ารหัส รวมถึงแคมเปญมัลแวร์ Graphalgo ที่แทรกซึมเข้าสู่ Terraform Providers และ Go Modules เพื่อลอบขโมยคีย์จัดการคลาวด์ระหว่างการปรับใช้โครงสร้างพื้นฐาน
นักวิจัยจาก Zero Hunt Research เปิดเผยการตรวจพบการเจาะช่องโหว่ Zero-Day ระดับวิกฤตสูงสุด (CVSS 10.0) บน Arista VeloCloud Orchestrator (VCO) On-Premises ภายใต้รหัส CVE-2026-93952 ซึ่งเกิดจากความผิดพลาดในการตรวจสอบความถูกต้องของข้อมูลนำเข้า (Improper Input Validation - CWE-20) บนเว็บอินเทอร์เฟซ ทำให้ผู้โจมตีภายนอกสามารถถือครองเพียง Public Certificate ของอุปกรณ์ Edge แล้วส่งคำขอเพื่อบายพาสการยืนยันตัวตน เข้าถึงฟังก์ชันสิทธิ์สูงภายในระบบได้โดยตรงโดยไม่ต้องมีบัญชีผู้ใช้หรือสิทธิ์ใดๆ ล่วงหน้า ทั้งนี้ CISA ได้บรรจุช่องโหว่ดังกล่าวลงใน KEV Catalog หลังพบการโจมตีจริงในเครือข่าย โดยผู้โจมตีมุ่งเป้าเข้าควบคุมคอนโทรลเพลนของ SD-WAN และส่งผลกระทบต่ออุปกรณ์ Edge ทุกสาขาที่เชื่อมต่ออยู่
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรและผู้ให้บริการโครงข่ายในไทย (Inferred Risk) เนื่องจาก Arista VeloCloud เป็นหนึ่งในโซลูชัน SD-WAN ชั้นนำที่องค์กรโทรคมนาคม สถาบันการเงิน และเครือข่ายองค์กรขนาดใหญ่ในประเทศไทยใช้งานในการเชื่อมต่อระหว่างสำนักงานใหญ่และสาขา หากระบบ Orchestrator ถูกยึดครอง ผู้โจมตีจะสามารถควบคุมการเปลี่ยนเส้นทางทราฟฟิก (Traffic Steering) และดักรับหรือดัดแปลงข้อมูลข้ามสาขาได้ทั่วประเทศ
ยุทธศาสตร์: การโจมตีมุ่งเป้าไปที่จุดศูนย์กลางการควบคุมเครือข่าย (Centralized Control Plane) ทำให้โครงข่ายองค์กรแบบกระจายศูนย์ทั้งหมดตกอยู่ใต้ความเสี่ยงจากการถูกยึดครองเพียงจุดเดียว
ยุทธการ: ผู้โจมตีใช้สิทธิ์ที่ได้จากการบายพาสเพื่อเข้าถึง Edge Devices ที่อยู่ใต้การดูแล ดัดแปลงนโยบายความมั่นคงปลอดภัย และสร้างช่องทางแฝงตัวระยะยาวในส่วนจัดการเครือข่าย
ยุทธวิธี: ผู้โจมตีใช้ประโยชน์จากใบรับรองสาธารณะส่ง HTTP Request เข้าสู่พอร์ต Web UI ของ VCO ก่อนสั่งติดตั้งสคริปต์ Node.js แบ็กดอร์และสร้าง Persistent Systemd Service (vc-sysmon.service)
ผู้ให้บริการโทรคมนาคม, ผู้ให้บริการคลาวด์และอินเทอร์เน็ต (ISPs/MSPs), องค์กรขนาดใหญ่ที่ใช้งานสถาปัตยกรรมเครือข่าย SD-WAN
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
มีการเปิดเผยช่องโหว่ความปลอดภัยระดับร้ายแรงบนโพรโทคอล TACACS+ ซึ่งเป็นโพรโทคอลตรวจสอบสิทธิ์ ควบคุมการเข้าถึง และบันทึกบัญชี (AAA) อายุ 33 ปีที่ใช้บริหารจัดการอุปกรณ์เครือข่าย โดยช่องโหว่เกิดจากข้อผิดพลาดประเภท Format-String (CWE-134) ภายในตัวจัดการข้อผิดพลาดของเดมอน tac_plus (Shrubbery Networks) ร่วมกับจุดอ่อนของโพรโทคอลที่เปิดทางให้ทำ Oracle Attack เพื่อแคร็ก Pre-Shared Key (PSK) แบบออฟไลน์ ส่งผลให้ผู้โจมตีที่เชื่อมต่อผ่านพอร์ต TCP 49 สามารถส่งแพ็กเก็ตสั่งรันโค้ดระยะไกลในระดับสิทธิ์ Root ได้ก่อนการยืนยันตัวตน รายงานระบุว่ากลุ่มจารกรรมขั้นสูง อาทิ Salt Typhoon ได้นำช่องโหว่นี้ไปใช้เจาะระบบเราเตอร์และโครงสร้างพื้นฐานของผู้ให้บริการโทรคมนาคม
ความเสี่ยงระดับสูงต่อผู้ให้บริการโทรคมนาคม (ISPs/Telcos) และศูนย์ข้อมูลในประเทศไทย (Confirmed Risk) ที่ยังคงใช้งาน TACACS+ บนพอร์ต TCP 49 ในการควบคุมและจัดการสิทธิ์เข้าถึงอุปกรณ์สวิตช์และเราเตอร์หลัก หากเซิร์ฟเวอร์ TACACS+ ถูกเจาะ ผู้โจมตีจะสามารถควบคุมอุปกรณ์เครือข่ายหลักและขโมยข้อมูลการเข้าถึงทั้งหมดของวิศวกรโครงข่ายได้
ยุทธศาสตร์: กลุ่มจารกรรมไซเบอร์มุ่งเจาะลึกระบบยืนยันตัวตนระดับโครงสร้างพื้นฐานโทรคมนาคมเพื่อดักฟังทราฟฟิกระดับชาติและสร้างช่องทางจารกรรมที่ตรวจจับได้ยาก
ยุทธการ: ผู้โจมตีค้นหาเซิร์ฟเวอร์ AAA ที่เปิดพอร์ต 49 สู่ภายนอกหรือเครือข่ายภายใน ดำเนินการแคร็กกุญแจ PSK แบบออฟไลน์ แล้วเจาะเข้าควบคุมเซิร์ฟเวอร์หลักเพื่อดักรับ Credential ของผู้ดูแลระบบ
ยุทธวิธี: ผู้โจมตีส่ง Malformed TACACS+ AUTHEN Request ทำให้เกิด Format String Bug ในฟังก์ชัน Error Handling ส่งผลให้เกิด Heap/Memory Corruption และสั่งรัน Shellcode ได้
ผู้ให้บริการโทรคมนาคม, ผู้ดูแลโครงข่ายระดับชาติ (Tier-1/Tier-2 ISPs), ศูนย์ข้อมูลและระบบโครงสร้างพื้นฐานสารสนเทศสำคัญ (CII)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิจัยจาก Malwarebytes ตรวจพบโทรจันควบคุมระยะไกล (RAT) สายพันธุ์ใหม่ชื่อ Kothamine ซึ่งแพร่กระจายผ่านแพ็กเกจอันตรายบน npm registry โดยมัลแวร์มีความโดดเด่นในการนำเครื่องมือโอเพนซอร์สถูกกฎหมายอย่าง tailcat ของ Tailscale มาใช้สร้างอุโมงค์สื่อสารสั่งการ (C2) แบบ P2P ที่เข้ารหัส end-to-end ทำให้ทราฟฟิกกลมกลืนไปกับการเชื่อมต่อ VPN ปกติขององค์กรและไม่มีโดเมน C2 อันตรายให้ไฟร์วอลล์ตรวจจับบล็อก ตัวมัลแวร์มีความสามารถในการขโมยข้อมูลล็อกอินเบราว์เซอร์ ดักจับข้อมูลภาพและเสียงจากไมโครโฟน/กล้อง และทำการฝังตัวในระบบอย่างแนบเนียน
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรและทีมนักพัฒนาซอฟต์แวร์ในไทย (Inferred Risk) โดยเฉพาะทีมวิศวกรซอฟต์แวร์ที่ใช้งานแพ็กเกจจาก npm registry และองค์กรที่มีนโยบายอนุญาตให้ใช้ Tailscale หรือเครือข่าย Zero Trust Mesh VPN หากตกเป็นเหยื่อ ระบบตรวจสอบทราฟฟิกขอบเขตเครือข่ายทั่วไปจะไม่สามารถแยกแยะการสื่อสารของมัลแวร์ออกจากทราฟฟิกการทำงานปกติได้
ยุทธศาสตร์: ผู้ไม่หวังดีเปลี่ยนรูปแบบจากการสร้างโครงสร้างพื้นฐาน C2 เอง มาเป็นการใช้งาน Living-off-the-Trusted-Network ผ่านเครื่องมือ Mesh VPN ที่ถูกต้องตามกฎหมายเพื่อเลี่ยงการตรวจจับ
ยุทธการ: มัลแวร์แทรกซึมผ่านห่วงโซ่อุปทานนักพัฒนา (npm Supply Chain) หลบเลี่ยงการตรวจจับของ Windows Defender ด้วยคำสั่ง PowerShell และฝังตัวผ่าน Task Scheduler
ยุทธวิธี: ตัว Injector ทำการรัน tailcat เชื่อมต่อเข้าสู่ Tailscale Tailnet ของผู้โจมตีเพื่อรับคำสั่ง ควบคุมการทำงานผ่าน Memory Injection เข้าสู่โพรเซส explorer.exe
บริษัทผู้พัฒนาซอฟต์แวร์, องค์กรด้านเทคโนโลยีสารสนเทศ (IT), นักพัฒนาแอปพลิเคชันที่ใช้งาน npm ecosystem
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิจัยจาก Aikido Security เปิดเผยแคมเปญมัลแวร์ Graphalgo เวอร์ชันพัฒนาด้วยภาษา Go ที่แทรกซึมเข้าสู่ HashiCorp Terraform Registry และคลัง Go Modules ผ่านแพ็กเกจ Typosquatting และคลังปลอม อาทิ gocommunity-io/dockerd และ gocommunity.io/orderedbtree โดยมัลแวร์จะแฝงตัวเงียบและทำงานเฉพาะเมื่อตรงกับเงื่อนไขเป้าหมาย (Targeted Triggers) เช่น ค่าแฮชของตัวแปรในโค้ด Terraform เมื่อถูกกระตุ้นจะทำหน้าที่เป็นโทรจันควบคุมระยะไกล (RAT) ลอบขโมยข้อมูลระบุตัวตนและคีย์จัดการคลาวด์ขณะวิศวกรสั่งรันคำสั่ง terraform apply พร้อมทั้งเชื่อมต่อ C2 ผ่าน Slack API และ Smart Contract บนบล็อกเชน Ethereum Sepolia
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทยที่ใช้งาน Infrastructure as Code (IaC) (Inferred Risk) โดยเฉพาะทีม DevOps และ Cloud Engineers ที่นำ Terraform provider หรือโมดูลภายนอกมาใช้โดยไม่ได้ตรวจสอบ Namespace อย่างเข้มงวด การถูกโจมตีในขั้นตอนนี้อาจส่งผลให้ Credential ของ Cloud Production (AWS, Azure, GCP) รั่วไหลทันที
ยุทธศาสตร์: กลุ่มภัยคุกคาม (ได้รับการประเมินด้วยความเชื่อมั่นปานกลางว่าเชื่อมโยงกับกลุ่มจารกรรมเกาหลีเหนือ DPRK) มุ่งเป้าหมายสู่เครื่องมือจัดการโครงสร้างพื้นฐานแบบโค้ด (IaC) เพื่อเข้าถึงระบบคลาวด์องค์กรระดับสูงสุดโดยตรง
ยุทธการ: ใช้ประโยชน์จากการที่ terraform apply ต้องทำงานด้วยสิทธิ์ระดับสูงบนคลาวด์ เพื่อดักจับข้อมูลความลับ สภาพแวดล้อม และไฟล์ State ระหว่างกระบวนการ Deployment
ยุทธวิธี: โค้ดมัลแวร์ฝังอยู่ในไฟล์อาร์ไคฟ์ SQLite/SQL ทำงานร่วมกับฟังก์ชัน Init ของ Go Module และใช้ Slack API / Ethereum Blockchain ในการสื่อสารหลบเลี่ยงไฟร์วอลล์
องค์กรที่ใช้งานระบบคลาวด์, ทีมงาน DevOps & Platform Engineering, บริษัทพัฒนาซอฟต์แวร์และโครงสร้างพื้นฐานดิจิทัล
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง