Corporate Services & SMEs Sector Weekly Report
ห้วงเวลา: 28 กันยายน - 4 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 28 กันยายน ถึง 4 ตุลาคม 2569 ภัยคุกคามไซเบอร์ที่มุ่งเป้าภาคบริการธุรกิจและกลุ่มวิสาหกิจขนาดกลางและขนาดย่อม (SMEs) มีการเปลี่ยนแปลงเชิงยุทธวิธีอย่างชัดเจน โดยกลุ่มผู้โจมตีทางการเงินหันมามุ่งเน้นการรีดไถข้อมูล (Data Extortion) แบบไม่พึ่งพาการเข้ารหัสไฟล์ (Encryption-less Extortion) เช่น กลุ่ม Silent Ransom Group ที่เจาะจงโจมตีสำนักงานกฎหมายและที่ปรึกษาธุรกิจ รวมถึงการบุกรุกบัญชี Microsoft 365 เพื่อดึงข้อมูลผ่าน Microsoft Graph API ขณะเดียวกันพบการแพร่กระจายของแพลตฟอร์มฟิชชิ่งสำเร็จรูป EvilTokens ที่ใช้ประโยชน์จาก Microsoft Device Code Flow ในการขโมย Session Tokens เพื่อข้ามผ่านการตรวจสอบสิทธิ์หลายปัจจัย (MFA) และการฉวยใช้ช่องโหว่ Zero-Day บนอุปกรณ์เกตเวย์ Citrix NetScaler เพื่อติดตั้งเว็บเชลล์แฝงตัวในระบบเครือข่ายองค์กร
กลุ่มคนร้าย Silent Ransom Group (SRG) ซึ่งมีรากฐานเชื่อมโยงกับอดีตกลุ่ม Conti ได้ขยายปฏิบัติการขโมยข้อมูลและขู่กรรโชกทรัพย์อย่างต่อเนื่อง โดยเน้นการโจมตีสำนักงานกฎหมายและองค์กรบริการวิชาชีพในสหรัฐฯ โดยไม่ติดตั้งมัลแวร์เรียกค่าไถ่เพื่อเข้ารหัสไฟล์ แต่ใช้วิธีโทรศัพท์หลอกลวง (Voice Phishing) อ้างเป็นฝ่ายสนับสนุนไอที ชักจูงให้พนักงานติดตั้งเครื่องมือ Remote Access แล้วทำการขโมยข้อมูลออกไปยัง Clearnet Data Leak Sites พร้อมทั้งเรียกค่าไถ่ตั้งแต่ 1 ถึง 20 ล้านดอลลาร์สหรัฐ
ยังไม่พบหลักฐานว่ามีสำนักงานกฎหมายหรือบริษัทที่ปรึกษาในประเทศไทยตกเป็นเหยื่อโดยตรงในรายงานนี้ อย่างไรก็ตาม องค์กรธุรกิจไทยที่มีการติดต่อประสานงานกับสำนักงานกฎหมายระหว่างประเทศ หรือใช้บริการ Outsource ไอทีภายนอก มีความเสี่ยงทางอ้อมต่อการถูกใช้เป็นช่องทางเข้าถึงข้อมูลความลับทางธุรกิจและสัญญาการค้า
ยุทธศาสตร์: ขบวนการกรรโชกทรัพย์เปลี่ยนผ่านสู่การโจรกรรมข้อมูลล้วนโดยไม่เข้ารหัสไฟล์ เพื่อหลีกเลี่ยงระบบตรวจจับมัลแวร์และลดความเสี่ยงที่เหยื่อจะกู้คืนระบบจากสำรองข้อมูล
ยุทธการ: ผู้โจมตีเน้นการโจมตีผ่านปัจจัยบุคคลด้วยวิศวกรรมสังคมทางโทรศัพท์ ร่วมกับการใช้โปรแกรม Remote Access ถูกกฎหมายเพื่อขโมยไฟล์ออกสู่เซิร์ฟเวอร์ภายนอกภายในเวลาไม่กี่ชั่วโมง
ยุทธวิธี: ฝ่ายไอทีควรจำกัดสิทธิ์การติดตั้งซอฟต์แวร์รีโมตที่ไม่ได้รับอนุญาต และกำหนดกระบวนการยืนยันตัวตนเจ้าหน้าที่สนับสนุนไอทีก่อนอนุญาตให้เข้าควบคุมเครื่องพนักงาน
สำนักงานกฎหมาย, ธุรกิจบริการวิชาชีพ (Professional Services), สถาบันการเงิน, ธุรกิจประกันภัย, และระบบเวิร์กสเตชันของพนักงาน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
นักวิจัยความมั่นคงปลอดภัยตรวจพบความเคลื่อนไหวของบริการฟิชชิ่งสำเร็จรูป EvilTokens ซึ่งนำเสนอรูปแบบ Phishing-as-a-Service โดยใช้ประโยชน์จากกลไกการยืนยันตัวตน Microsoft Device Code Flow ส่งลิงก์หลอกลวงให้เหยื่อป้อนรหัสอุปกรณ์บนหน้าต่างทางการของ Microsoft ส่งผลให้ผู้โจมตีสามารถดักจับ Application Access Token และ Session Cookie ของเหยื่อได้โดยตรง ทำให้สามารถเข้าถึงระบบคลาวด์องค์กรได้โดยไม่ต้องผ่านการยืนยันตัวตนแบบหลายปัจจัย (MFA) ซ้ำ
เป็นความเสี่ยงระดับสูงต่อองค์กรธุรกิจและ SMEs ในประเทศไทยที่ใช้งาน Microsoft 365 และ Entra ID เป็นระบบยืนยันตัวตนหลัก เนื่องจากการโจมตีประเภทนี้อาศัยโครงสร้างพื้นฐานที่ถูกต้องของ Microsoft ทำให้ระบบคัดกรองอีเมลทั่วไปไม่สามารถตรวจจับได้
ยุทธศาสตร์: ผู้ไม่หวังดีหันมาพึ่งพาบริการฟิชชิ่งสำเร็จรูปที่มีความซับซ้อนสูง เพื่อเจาะระบบยืนยันตัวตนบนคลาวด์องค์กรโดยลดต้นทุนการพัฒนาเครื่องมือเอง
ยุทธการ: แคมเปญนี้ใช้กระบวนการ Device Code Phishing เพื่อเปลี่ยนผ่านจากการขโมยรหัสผ่านธรรมดาไปสู่การขโมย OAuth Session Tokens ที่มีสิทธิ์ใช้งานสมบูรณ์
ยุทธวิธี: ผู้ดูแลระบบควรจำกัดหรือปิดการใช้งาน Device Code Flow ผ่าน Conditional Access Policies หากผู้ใช้งานไม่มีความจำเป็นต้องล็อกอินผ่านอุปกรณ์ประเภท Smart TV หรืออุปกรณ์ไร้หน้าจอ
องค์กรธุรกิจทุกขนาดที่ใช้งาน Microsoft 365, สถาบันการเงิน, ภาคการผลิต, และผู้ใช้งาน Entra ID
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ศูนย์ปฏิบัติการเฝ้าระวังความมั่นคงปลอดภัย Binary Defense เปิดเผยรายงานการรับมือภัยคุกคามที่มุ่งเป้าองค์กรธุรกิจ โดยคนร้ายใช้วิธี Adversary-in-the-Middle (AitM) เพื่อดักจับเซสชันและลงทะเบียนวิธี MFA สำรอง (Software Token) ไว้เพื่อคงสิทธิ์การเข้าถึง (Persistence) จากนั้นใช้สิทธิ์ของบัญชีที่ถูกยึดเรียกใช้คำสั่งผ่าน Microsoft Graph API ดึงไฟล์ข้อมูลสำคัญจาก SharePoint, OneDrive และกล่องข้อความ Exchange รวมกว่า 350,000 รายการ แล้วส่งข้อความขู่กรรโชกทรัพย์กำหนดเวลา 72 ชั่วโมงผ่านอีเมลและ Microsoft Teams ภายในองค์กร
แม้กรณีศึกษาที่พบจะเกิดขึ้นกับธุรกิจอสังหาริมทรัพย์และสุขภาพในต่างประเทศ แต่รูปแบบการโจมตีถือเป็นภัยคุกคามโดยตรงต่อองค์กรธุรกิจในไทยที่เก็บเอกสารการเงินและข้อมูลลูกค้าบน SharePoint และ OneDrive โดยไม่มีระบบแจ้งเตือนพฤติกรรมผิดปกติของการเรียกใช้ API
ยุทธศาสตร์: ขอบเขตความปลอดภัยขององค์กรได้ย้ายจากระดับเครือข่ายภายในไปสู่ระบบระบุตัวตนบนคลาวด์ ซึ่งการถูกยึดโทเค็นเพียงตัวเดียวสามารถสร้างความเสียหายได้เทียบเท่าการถูกมัลแวร์เรียกค่าไถ่
ยุทธการ: ผู้โจมตีใช้ฟังก์ชัน API มาตรฐานของแพลตฟอร์มคลาวด์ในการขโมยข้อมูลปริมาณมหาศาล ทำให้ระบบป้องกันระดับเอ็นด์พอยต์ไม่พบการทำงานของโค้ดอันตราย
ยุทธวิธี: ควรตั้งค่าแจ้งเตือนการลงทะเบียนอุปกรณ์ MFA วิธีใหม่ทันที และตรวจสอบทราฟฟิกการเข้าสู่ระบบแบบ Non-interactive Sign-ins ที่มีการเรียกใช้งาน Graph API ผิดปกติ
องค์กรธุรกิจบริการ, ธุรกิจอสังหาริมทรัพย์, สถานพยาบาล, และบริการคลาวด์ Microsoft 365 (SharePoint, OneDrive, Exchange Online, Teams)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
กลุ่มวิเคราะห์ภัยคุกคามของ Google (Mandiant) ตรวจพบการโจมตีช่องโหว่ที่ไม่เคยปรากฏมาก่อน (Zero-Day) บนอุปกรณ์ Citrix NetScaler ADC และ NetScaler Gateway ซึ่งถูกใช้งานอย่างกว้างขวางในองค์กรธุรกิจเพื่อการเข้าถึงเครือข่ายระยะไกล โดยผู้โจมตีทำการติดตั้งเว็บเชลล์ภาษา PHP ชื่อ WHIPSHOT ที่พรางตัวเป็นไฟล์ไอคอนระบบ (เช่น nsgclient.ico) และเครื่องมือสร้างท่อสัญญาณเครือข่าย SLAPSHOT เพื่อใช้เชื่อมต่อระยะไกลและคงสิทธิ์การเข้าถึงเครือข่ายภายในองค์กรอย่างลับ ๆ
มีโอกาสได้รับผลกระทบระดับสูง เนื่องจากอุปกรณ์ Citrix NetScaler มีการติดตั้งใช้งานเป็นเกตเวย์รีโมตและ VPN หลักในองค์กรธุรกิจขนาดใหญ่ ภาคการเงิน และกลุ่มธุรกิจบริการในประเทศไทย หากอุปกรณ์ดังกล่าวยังไม่ได้ติดตั้งแพตช์ความปลอดภัย อาจกลายเป็นช่องทางเปิดให้ผู้โจมตีแทรกซึมเข้าสู่เครือข่ายภายในได้โดยตรง
ยุทธศาสตร์: อุปกรณ์ขอบเครือข่าย (Edge Devices) และเกตเวย์ VPN ยังคงเป็นเป้าหมายสำคัญอันดับหนึ่งของผู้โจมตีระดับสูงในการเจาะทะลวงผ่านแนวป้องกันรอบนอกขององค์กร
ยุทธการ: ผู้โจมตีผสมผสานการใช้ช่องโหว่ Zero-Day ร่วมกับการพรางตัวเว็บเชลล์ในไฟล์ทรัพยากรปกติของระบบ เพื่อให้ทนทานต่อการตรวจสอบความสมบูรณ์ของระบบ
ยุทธวิธี: ผู้ดูแลระบบควรตรวจสอบไฟล์ AliasMatch ในการกำหนดค่าเว็บเซิร์ฟเวอร์ และเร่งตรวจสอบความผิดปกติของคำขอไฟล์ .ico ในพาธ /vpn/media/ ตามคำแนะนำของ Mandiant
องค์กรธุรกิจที่ใช้งาน Citrix NetScaler ADC และ Gateway, ภาคการเงิน, หน่วยงานให้คำปรึกษาทางธุรกิจ, และระบบโครงสร้างพื้นฐานไอที
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง