CGI-CTI-WEEKLY-20261005-EDU - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการศึกษาและวิจัย ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) พบการฉวยใช้ช่องโหว่ Zero-Day โจมตีระบบสถาบันการศึกษาและแคมเปญจารกรรมไซเบอร์พุ่งเป้าสถาบันวิจัยในไทยโดยตรง

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์นี้ ภัยคุกคามทางไซเบอร์ต่อภาคการศึกษาและสถาบันวิจัยมีความรุนแรงในระดับสูง โดยพบการเคลื่อนไหวสำคัญใน 3 ทิศทางหลัก: (1) การฉวยใช้ช่องโหว่ระดับ Zero-Day บนโครงสร้างพื้นฐานบริการส่วนกลางของสถานศึกษา โดยเฉพาะระบบจัดการการพิมพ์ PaperCut MF และระบบบริหารสารสนเทศ Oracle PeopleSoft ผ่านเทคนิคการหลบเลี่ยง WAF เพื่อติดตั้งเว็บเชลล์และมัลแวร์ควบคุมระยะไกล (2) ปฏิบัติการจารกรรมข้อมูลเชิงยุทธศาสตร์จากกลุ่มภัยคุกคามที่มีความเชื่อมโยงกับรัฐ โดยเฉพาะกลุ่ม UAT-11587 ที่มุ่งเป้าโจมตีองค์กรคลังสมอง สถาบันวิจัย และหน่วยงานนโยบายในเอเชีย ซึ่งมีหลักฐานยืนยันการโจมตีเป้าหมายในประเทศไทย และกลุ่ม Star Blizzard ที่พุ่งเป้านักวิชาการระดับมหาวิทยาลัย และ (3) การยกระดับห่วงโซ่การแพร่กระจายมัลแวร์ที่อาศัยคลาวด์ CDN และการสร้างกระบวนการทำงานอัตโนมัติบนระบบปฏิบัติการ ส่งผลให้ความเสี่ยงต่อการรั่วไหลของทรัพย์สินทางปัญญาและข้อมูลส่วนบุคคลของบุคลากรทางการศึกษาทวีความรุนแรงยิ่งขึ้น

เหตุการณ์เด่นประจำสัปดาห์

การฉวยใช้ช่องโหว่ Zero-Day บน PaperCut MF ติดตั้ง Java Loader, เว็บเชลล์ และ AdaptixC2

เผยแพร่: 28 กันยายน 2569 · แหล่งที่มา: eSentire TRU · Admiralty B2

ทีมวิจัยด้านภัยคุกคาม eSentire TRU ตรวจพบการฉวยใช้ช่องโหว่ Zero-Day รหัส CVE-2026-82078 และ CVE-2026-81578 บนเซิร์ฟเวอร์บริหารจัดการการพิมพ์ PaperCut MF เพื่อติดตั้ง Java Bytecode Loader ทั้งสายพันธุ์ jakarta และ javax ผู้โจมตีได้วางเว็บเชลล์และติดตั้งเครื่องมือควบคุมระยะไกล AdaptixC2 ที่ถูกดัดแปลงฝังตัวในไบนารีปลอมของ Microsoft Copilot (mscopilot.exe) จากนั้นได้ทำการเคลื่อนที่ในแนวนอนผ่าน C$ admin share ไปยัง Domain Controller ไฮแจ็กเซอร์วิส PlugPlay ด้วยคำสั่ง sc.exe และทำการดัมป์ข้อมูลรหัสผ่านจาก LSASS รวมถึงฐานข้อมูล Active Directory NTDS.dit ออกไป

ผลกระทบต่อประเทศไทย

มีโอกาสได้รับผลกระทบระดับสูง เนื่องจากระบบ PaperCut MF เป็นโซลูชันบริหารจัดการการพิมพ์และคิดค่าบริการเอกสารที่ได้รับการติดตั้งใช้งานอย่างแพร่หลายในมหาวิทยาลัยและสถาบันการศึกษาชั้นนำทั่วประเทศไทย หากเครื่องเซิร์ฟเวอร์เปิดให้เข้าถึงได้จากเครือข่ายภายนอกหรือเครือข่าย Wi-Fi สาธารณะของวิทยาเขต ผู้ไม่หวังดีอาจเจาะระบบเข้าสู่เครือข่ายแกนกลางของมหาวิทยาลัยได้โดยตรง

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: องค์กรภาคการศึกษาต้องตระหนักว่าระบบสนับสนุนการเรียนการสอนอย่างเซิร์ฟเวอร์เครื่องพิมพ์ตกเป็นเป้าหมายหลักในการใช้เป็นสะพานเชื่อมสู่ระบบโครงสร้างพื้นฐานหลักขององค์กร

ยุทธการ: ผู้โจมตีนำการเจาะช่องโหว่เว็บระดับ Zero-Day มาผสานกับการไฮแจ็กเซอร์วิสของระบบปฏิบัติการ Windows และการสกัดข้อมูลรหัสผ่านระดับ Domain Controller อย่างรวดเร็ว

ยุทธวิธี: ฝ่ายรักษาความมั่นคงปลอดภัยต้องเร่งอัปเดตแพตช์ PaperCut MF ตรวจสอบการสร้างเซอร์วิส PlugPlay ผิดปกติ และจำกัดการเข้าถึงพอร์ตการจัดการจากเครือข่ายภายนอกทันที

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการศึกษา มหาวิทยาลัย สถาบันวิจัย และระบบเซิร์ฟเวอร์บริหารจัดการการพิมพ์ PaperCut MF รวมถึงเครื่อง Domain Controller บนระบบปฏิบัติการ Windows Server

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1505.003 Web Shell T1620 Reflective Code Loading T1021.002 SMB/Windows Admin Shares T1569.002 Service Execution T1003.001 LSASS Memory T1003.003 NTDS

IOC ที่สำคัญ

taibeianmo.oss-cn-hongkong.aliyuncs[.]com/mscopilot.exe uneedcargo.oss-accelerate.aliyuncs[.]com/65722.txt 47.79.64[.]225 156.227.0[.]13 d2e55213a02fd16a077298c986130522eb63196bdf8a8c1aec0eed6ef318b222

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: eSentire TRU - PaperCut MF Zero-Day Intrusion →

กลุ่มภัยคุกคาม UAT-11587 มุ่งเป้าสถาบันคลังสมอง สถาบันวิจัย และองค์กรนโยบายในเอเชียด้วยแบ็กดอร์ Antino

เผยแพร่: 30 กันยายน 2569 · แหล่งที่มา: Cisco Talos Intelligence Group · Admiralty B2

Cisco Talos ตรวจพบแคมเปญจารกรรมไซเบอร์ของกลุ่มภัยคุกคามที่มีความเชื่อมโยงกับจีน UAT-11587 (หรือ Jewelbug) พุ่งเป้าโจมตีสถาบันคลังสมอง สถาบันวิจัย และองค์กรกำหนดนโยบายในภูมิภาคเอเชีย รวมถึงประเทศไทย ไต้หวัน ฟิลิปปินส์ และอินเดีย การโจมตีเริ่มต้นจากอีเมลฟิชชิ่งแบบเจาะจงเป้าหมายที่แนบไฟล์ HTA หรือ WSF ปลอมแปลงเป็นเอกสารราชการและหนังสือเวียน ก่อนเชื่อมต่อไปยัง Cloudflare R2 และ Amazon CloudFront เพื่อดาวน์โหลดสคริปต์สเตจถัดไป และดำเนินการติดตั้งแบ็กดอร์ Antino ผ่านเทคนิค DLL Sideloading ด้วยโปรแกรมถูกกฎหมาย GatherOsState.exe เพื่อควบคุมเครื่องเป้าหมายและจารกรรมข้อมูลงานวิจัย

ผลกระทบต่อประเทศไทย

ได้รับผลกระทบโดยตรง โดยรายงานการวิเคราะห์ของ Cisco Talos ระบุชื่อประเทศไทย (Thailand) เป็นหนึ่งในพื้นที่เป้าหมายที่ถูกโจมตีในแคมเปญนี้อย่างชัดเจน สถาบันคลังสมอง นักวิชาการที่ปรึกษาด้านนโยบายสาธารณะ และสถาบันวิจัยความสัมพันธ์ระหว่างประเทศของไทยจึงมีความเสี่ยงสูงที่จะตกเป็นเป้าหมายของการดักรับข้อมูล

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐมุ่งเป้าโจมตีสถาบันวิจัยและคลังสมองเพื่อรวบรวมข่าวกรองเชิงนโยบายและข้อมูลการเจรจาระหว่างประเทศของชาติต่างๆ ในเอเชียตะวันออกเฉียงใต้

ยุทธการ: ผู้โจมตีปรับเปลี่ยนโครงสร้างการส่งมอบมัลแวร์มาพึ่งพาบริการคลาวด์สาธารณะอย่าง Cloudflare R2 และ AWS CloudFront เพื่อหลบเลี่ยงการปิดกั้นทางเครือข่าย

ยุทธวิธี: หน่วยงานวิจัยควรตรวจสอบการทำงานของกระบวนการ mshta.exe และ wscript.exe พร้อมทั้งบล็อกการเชื่อมต่อโดเมน staging ผิดปกติและเฝ้าระวังไฟล์ DLL ที่ถูกโหลดนอกสารบบ

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สถาบันคลังสมอง องค์กรวิจัยและนวัตกรรม มหาวิทยาลัย หน่วยงานนโยบายภาครัฐ และระบบปฏิบัติการ Windows ที่เปิดรับไฟล์แนบภายนอก

MITRE ATT&CK

T1566.002 Spearphishing Link T1218.005 Mshta T1574.001 DLL Side-Loading T1059.007 JavaScript T1102 Web Service (C2) T1567.002 Exfiltration to Cloud Storage

IOC ที่สำคัญ

pub-abfa7742e315485a98a5fafd6dbfb68e.r2[.]dev d2nq35tel3ucuo.cloudfront[.]net d32tpl7xt7175h.cloudfront[.]net www.wps-cn[.]com 01b5c6acb20e41799a0e96d9d1d6e1c44791883706b6285e874fcb15cc93b31a

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Cisco Talos - China-nexus UAT-11587 targets policy organizations →

กลุ่ม ShinyHunters ฉวยใช้ช่องโหว่ PeopleSoft CVE-2026-35273 ผ่านเทคนิค WAF Bypass อักขระเดียว พุ่งเป้าสถาบันอุดมศึกษา

เผยแพร่: 1 ตุลาคม 2569 · แหล่งที่มา: Trend Micro · Admiralty B2

Trend Micro รายงานว่ากลุ่มภัยคุกคาม ShinyHunters ได้กลับมาโจมตีระบบ Oracle PeopleSoft ผ่านช่องโหว่ Pre-Auth RCE รหัส CVE-2026-35273 (CVSS 9.8) โดยใช้เทคนิคบายพาส Web Application Firewall (WAF) ด้วยการเข้ารหัส URL อักขระเดียวเป็น /%50SEMHUB/hub เพื่อหลบเลี่ยงกฎตรวจจับแบบสตริง จากนั้น WebLogic จะถอดรหัสเส้นทางกลับสู่ปกติและส่งคำสั่ง Java Deserialization เข้าสู่ Environment Management Hub โดยตรง ผู้โจมตีได้ฝังเว็บเชลล์ JSP (u.jsp, x.jsp), สร้างทันเนล Neo-reGeorg และติดตั้ง MeshAgent รวมถึงมัลแวร์ SIDEEYE เพื่อเข้าถึงฐานข้อมูลนักศึกษาและบุคลากรในสถาบันอุดมศึกษาทั่วโลก

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันการศึกษาในไทย เนื่องจากมหาวิทยาลัยและสถาบันอุดมศึกษาขนาดใหญ่หลายแห่งในประเทศไทยใช้งานแพลตฟอร์ม Oracle PeopleSoft ในระบบบริหารจัดการข้อมูลการศึกษา (Campus Solutions) และระบบการเงิน หากองค์กรพึ่งพาเพียงกฎบล็อกบน WAF หรือ Reverse Proxy โดยยังไม่ได้ติดตั้งแพตช์ตัวเต็มจาก Oracle ระบบจะยังคงมีช่องโหว่ต่อเทคนิคบายพาสดังกล่าว

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: สถาบันอุดมศึกษาต้องทบทวนสถาปัตยกรรมการป้องกันแบบ Defense-in-Depth และไม่ควรไว้วางใจมาตรการชั่วคราวระดับ WAF เพียงอย่างเดียวในการป้องกันแอปพลิเคชันหลัก

ยุทธการ: ผู้โจมตีพัฒนาเทคนิคเพื่อข้ามผ่านกฎการกรองทราฟฟิกภายนอกได้อย่างรวดเร็ว โดยอาศัยความแตกต่างในการประมวลผลสตริงระหว่างอุปกรณ์เครือข่ายและเว็บเซิร์ฟเวอร์

ยุทธวิธี: ผู้ดูแลระบบต้องตรวจสอบว่าเส้นทาง /PSEMHUB/hub สามารถเข้าถึงได้จากภายนอกหรือไม่ พร้อมทั้งกวาดล้างไฟล์ JSP แปลกปลอมในไดเรกทอรี PSEMHUB.war ทันที

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สถาบันอุดมศึกษา มหาวิทยาลัย ระบบบริหารจัดการสารสนเทศองค์กร Oracle PeopleSoft PeopleTools เวอร์ชัน 8.61 และ 8.62

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1505.003 Web Shell T1027 Obfuscated Files or Information T1572 Protocol Tunneling T1105 Ingress Tool Transfer T1071.001 Web Protocols

IOC ที่สำคัญ

5.199.162[.]157 104.219.234[.]138 162.219.30[.]165 azurenetfiles[.]net enroll.azuredevice[.]cloud 2bee941fb40519d0d1ec52bd79a8f63fc65aac6455c8f2d6b668e3360dfdb5d7

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Trend Micro - ShinyHunters Returns to PeopleSoft With a One-Character WAF Bypass →

กลุ่ม Star Blizzard ปรับใช้เทคนิคฟิชชิ่ง RedFlick ปล่อยมัลแวร์ CosmicPulse พุ่งเป้านักวิชาการและสถาบันวิจัย

เผยแพร่: 29 กันยายน 2569 · แหล่งที่มา: Microsoft Threat Intelligence · Admiralty A1

ศูนย์ข่าวกรองภัยคุกคามของไมโครซอฟท์ (Microsoft Threat Intelligence) ตรวจพบว่ากลุ่มภัยคุกคาม Star Blizzard (COLDRIVER หรือ SEABORGIUM) ที่เชื่อมโยงกับหน่วยงานความมั่นคงรัสเซีย ได้เปลี่ยนผ่านรูปแบบการโจมตีจากเดิมที่สร้างความสัมพันธ์ส่วนบุคคล ไปสู่แคมเปญฟิชชิ่งอัตโนมัติขนาดใหญ่พุ่งเป้าสถาบันวิจัย มหาวิทยาลัย และนักวิชาการ โดยใช้เทคนิคการส่งมอบมัลแวร์รูปแบบใหม่ที่เรียกว่า RedFlick ซึ่งลดขั้นตอนให้ผู้ใช้มีปฏิสัมพันธ์เพียงคลิกเดียวเพื่อสร้าง Windows Scheduled Task และติดตั้งแบ็กดอร์ภาษาไพธอนชื่อ CosmicPulse พร้อมทั้งเข้ายึดบัญชีบนเว็บไซต์ WordPress และ cPanel ที่ถูกเจาะระบบเพื่อใช้เป็นฐานส่งอีเมลล่อลวง

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันวิจัยในไทย โดยเฉพาะนักวิจัย คณาจารย์มหาวิทยาลัย และนักวิชาการด้านความสัมพันธ์ระหว่างประเทศและเทคโนโลยีที่มีการประสานงานหรือเผยแพร่ผลงานร่วมกับสถาบันในต่างประเทศ ที่อาจได้รับอีเมลฟิชชิ่งแอบอ้างการเชิญเข้าร่วมสัมมนาวิชาการหรือโครงการวิจัยร่วม

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐปรับตัวสู่การทำปฏิบัติการจารกรรมแบบอุตสาหกรรม (Industrialized Espionage) เพื่อเร่งขยายวงการขโมยทรัพย์สินทางปัญญาและข้อมูลเชิงนโยบาย

ยุทธการ: การเปลี่ยนผ่านจากเทคนิค ClickFix สู่ RedFlick ช่วยลดความผิดพลาดของผู้ใช้งานและเพิ่มอัตราความสำเร็จในการฝังตัวบนเครื่องของเป้าหมาย

ยุทธวิธี: องค์กรการศึกษาต้องตรวจสอบการสร้าง Scheduled Task แปลกปลอมบนเครื่องลูกข่าย และบังคับใช้การตรวจสอบตัวตนหลายปัจจัย (MFA) ที่ทนทานต่อการฟิชชิ่ง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

มหาวิทยาลัย สถาบันการศึกษาระดับสูง สถาบันวิจัย องค์กรไม่แสวงหากำไร (NGO) และบุคลากรทางการศึกษาที่ทำงานด้านนโยบายระหว่างประเทศ

MITRE ATT&CK

T1566.002 Spearphishing Link T1053.005 Scheduled Task T1059.001 PowerShell T1036.004 Masquerade Task or Service T1586.002 Email Accounts T1041 Exfiltration Over C2 Channel

IOC ที่สำคัญ

etia[.]ca groy[.]cc gliderrompercycl[.]com 103.245.231[.]248 2.57.241[.]246 9707a8694e954e9ee13e839d6e5905ce626c0837c7c90da6d1025bfbe152866b

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Microsoft - Star Blizzard refines phishing with the RedFlick technique →

ข้อสังเกตประจำสัปดาห์

การพุ่งเป้าระบบสนับสนุนการศึกษาและวิจัย (EdTech and Auxiliary Systems) เป็นช่องทางเจาะเข้าสู่เครือข่ายหลัก: ผู้โจมตีไม่ได้มุ่งเป้าเฉพาะระบบหลักโดยตรง แต่ฉวยใช้ช่องโหว่บนระบบสนับสนุน เช่น ซอฟต์แวร์จัดการเครื่องพิมพ์ PaperCut MF หรือส่วนต่อประสานบริการจัดการระบบของ Oracle PeopleSoft ซึ่งมักถูกมองข้ามในการเฝ้าระวัง เพื่อเป็นสะพานเชื่อมเข้าสู่ระบบควบคุมโดเมนและฐานข้อมูลสำคัญ
สถาบันวิจัยและคลังสมองในภูมิภาคเอเชีย รวมถึงไทย ตกเป็นเป้าหมายเชิงยุทธศาสตร์: ปฏิบัติการของกลุ่ม UAT-11587 ชี้ชัดว่าองค์กรวิจัยทางวิชาการและนโยบายในไทยตกอยู่ภายใต้การสอดแนมทางไซเบอร์เพื่อจารกรรมข้อมูลเชิงยุทธศาสตร์ โดยผู้โจมตีเลือกใช้โครงสร้างพื้นฐานคลาวด์สาธารณะอย่าง Cloudflare R2 และ Amazon CloudFront เพื่อกลบเกลื่อนการรับส่งข้อมูล
การพัฒนาเทคนิคส่งมอบมัลแวร์แบบขั้นตอนเดียว (Single-Interaction Delivery): ทั้งเทคนิค RedFlick ของ Star Blizzard และสคริปต์สเตจแรกของ UAT-11587 สะท้อนทิศทางของผู้ไม่หวังดีในการลดความซับซ้อนของการหลอกล่อ โดยทำให้การคลิกเพียงครั้งเดียวสามารถกระตุ้นกระบวนการทำงานอัตโนมัติบนระบบปฏิบัติการ Windows ได้ทันที

ข้อเสนอแนะ

เร่งตรวจสอบและติดตั้งแพตช์ความมั่นคงปลอดภัยบนระบบ PaperCut MF และ Oracle PeopleSoft ทันที โดยเฉพาะช่องโหว่ CVE-2026-82078, CVE-2026-81578 และ CVE-2026-35273 พร้อมทั้งปิดกั้นการเข้าถึงพอร์ตและพาธบริหารจัดการจากภายนอกเครือข่ายวิทยาเขต
ทบทวนกฎการคัดกรองบน WAF และ Reverse Proxy ให้รองรับการถอดรหัส URL (URL Decoding) ก่อนการจับคู่สตริง เพื่อป้องกันเทคนิคบายพาสด้วยการเข้ารหัสอักขระพิเศษอย่าง /%50SEMHUB/hub
จำกัดสิทธิ์และเฝ้าระวังพฤติกรรมการเรียกใช้งานยูทิลิตีระบบ เช่น mshta.exe, wscript.exe และ sc.exe บนเครื่องคอมพิวเตอร์ของบุคลากรและนักวิจัย โดยบล็อกการรันสคริปต์ที่ไม่ได้รับอนุญาตผ่านระบบ Endpoint Detection and Response (EDR)
ยกระดับการเฝ้าระวังอีเมลฟิชชิ่งที่แอบอ้างหนังสือเวียนทางราชการและการเชิญเข้าร่วมงานประชุมวิชาการ พร้อมบังคับใช้ระบบยืนยันตัวตนแบบหลายปัจจัยที่ทนทานต่อการฟิชชิ่ง (Phishing-Resistant MFA เช่น FIDO2/Passkey) สำหรับบัญชีนักวิจัยและผู้ดูแลระบบ

สรุป: ภาคการศึกษาและสถาบันวิจัยเผชิญภัยคุกคามรอบด้าน ทั้งการเจาะช่องโหว่ Zero-Day บนระบบบริหารจัดการสถานศึกษา และการจารกรรมข้อมูลงานวิจัยเชิงยุทธศาสตร์ที่พุ่งเป้าหน่วยงานในไทยโดยตรง หน่วยงานต้องเร่งอัปเดตแพตช์ ปิดกั้นช่องทางบริหารจัดการจากภายนอก และเฝ้าระวังพฤติกรรมสคริปต์ที่ผิดปกติบนเครื่องลูกข่ายอย่างเคร่งครัด

TLP:CLEAR

ห้วงเวลาข้อมูล: 28 กันยายน - 4 ตุลาคม 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)