รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคพลังงานและสาธารณูปโภค ประจำสัปดาห์

กลุ่มเชื่อมโยงจีน Longlegs มุ่งเป้าโครงสร้างพื้นฐานสาธารณูปโภคน้ำและโทรคมนาคม ปล่อยแรนซัมแวร์ Warlock ผ่านช่องโหว่ SharePoint

กลุ่มภัยคุกคามที่มีความเชื่อมโยงกับจีน Longlegs (หรือ Storm-2603 / ChamelGang) ก่อเหตุโจมตีระบบโครงสร้างพื้นฐานสำคัญอย่างน้อย 4 แห่ง รวมถึงผู้ให้บริการสาธารณูปโภคน้ำประปาและผู้ให้บริการโทรคมนาคม ในประเทศกลุ่มผู้ใช้ภาษาโปรตุเกสและสเปน โดยฉวยใช้ช่องโหว่บนเซิร์ฟเวอร์ Microsoft SharePoint แบบ On-Premises (ชุด ToolShell) เพื่อฝังเว็บเชลล์ ASPX ขโมย ASP.NET machine keys และทำ Remote Code Execution ก่อนใช้เทคนิค BYOVD ผ่านไดรเวอร์ K7RKScan ปิดระบบความปลอดภัย AV/EDR บนเครื่องเป้าหมายกว่า 40 เครื่อง และกระจายแรนซัมแวร์ Warlock ผ่านการแชร์ไดเรกทอรี SYSVOL ของโดเมนไปยังเครื่องลูกข่ายกว่า 33 เครื่องพร้อมกัน

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อหน่วยงานสาธารณูปโภคน้ำประปา การไฟฟ้า และผู้ให้บริการโทรคมนาคมในไทย ที่ยังคงติดตั้งใช้งาน Microsoft SharePoint Server ภายในเครือข่ายอินทราเน็ตขององค์กร หากระบบยังไม่ได้รับการติดตั้งแพตช์ความมั่นคงปลอดภัยล่าสุดตามคำเตือนของ CISA อาจตกเป็นเป้าหมายการเจาะระบบเพื่อขโมยคีย์เข้ารหัสและใช้เป็นฐานที่มั่นในการแพร่กระจายแรนซัมแวร์ทำลายข้อมูลระบบควบคุมและการดำเนินงาน

ยุทธศาสตร์: สะท้อนเป้าหมายเชิงจารกรรมควบคู่กับการทำลายล้างของกลุ่มแฮกเกอร์ระดับรัฐ-หนุนหลังที่หันมามุ่งเป้าโครงสร้างพื้นฐานทางพลเรือนและสาธารณูปโภคเพื่อสร้างผลกระทบต่อความมั่นคงของชาติ
ยุทธการ: ผู้โจมตีประสานการใช้ช่องโหว่เว็บเซิร์ฟเวอร์เข้ากับการเจาะลึกระบบควบคุมโดเมน Active Directory โดยอาศัยกลไกการจำลองข้อมูลของระบบ (SYSVOL Replication) เพื่อกระจายมัลแวร์ไปทั่วทั้งเครือข่ายอย่างรวดเร็ว
ยุทธวิธี: ใช้เว็บเชลล์สกัด ViewState machine keys สลับไปใช้การรีโมตผ่าน VS Code Insiders tunnels เพื่อพรางตัว และนำไดรเวอร์ที่มีช่องโหว่ (K7RKScan) มาปิดการทำงานของระบบความปลอดภัยระดับเคอร์เนล

สาธารณูปโภคน้ำประปา (Water Utilities), โทรคมนาคม (Telecommunications), โครงสร้างพื้นฐานสำคัญ (Critical Infrastructure), รัฐบาลท้องถิ่น และมหาวิทยาลัย

T1190 Exploit Public-Facing Application T1505.003 Web Shell T1574.002 DLL Side-Loading T1562.001 Disable or Modify Tools T1021.002 SMB/Windows Admin Shares T1484.001 Group Policy Modification T1486 Data Encrypted for Impact 116ca4e88a1bcebb6c0da7fb431c8eca7b8ef3f9767194820c56091972ccac2c 155fb1cbdaea12c83ba92d18c88cf38bbc42bb684f913ca0bc26fcf115426a55 73c5268256c9da5488cd9e2b79013060ac321c7e54129344dc7b51e268af36ea 1edb2c0b537cd95bbd5fc16321b4c38a6adf325ccc7b588ad6acc980b0463b60 206f27ae820783b7755bca89f83a0fe096dbb510018dd65b63fc80bd20c03261

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แคมเปญฟิชชิ่งจัดซื้อหลอกลวงแพร่กระจายโทรจัน LxBase RAT มุ่งเป้าองค์กรภาคพลังงานและอุตสาหกรรมการผลิต

ผู้เชี่ยวชาญด้านความปลอดภัยตรวจพบแคมเปญฟิชชิ่งส่งอีเมลเป็นวงกว้างที่พุ่งเป้าองค์กรในภาคพลังงาน การผลิต วิศวกรรม และการขนส่ง โดยใช้เหยื่อล่อเป็นการขอใบเสนอราคาและเอกสารสั่งซื้อสินค้าจากคู่ค้าต่างประเทศ ไฟล์แนบเป็นไฟล์ RAR ที่ปลอมแปลงนามสกุลเป็น .tar ภายในบรรจุ JavaScript Loader มีการเข้ารหัสซับซ้อนเพื่อรันคำสั่งสคริปต์ VBS และ PowerShell พร้อมตั้งเวลา Scheduled Tasks ก่อนจะฉีดโค้ด .NET ของโทรจัน LxBase RAT เข้าสู่กระบวนการของระบบ MSBuild.exe เพื่อขโมยรหัสผ่านเว็บเบราว์เซอร์และเปิดช่องทางควบคุมเครื่องระยะไกล

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อเจ้าหน้าที่ฝ่ายจัดซื้อและวิศวกรโครงสร้างพื้นฐานในองค์กรพลังงาน โรงกลั่นน้ำมัน โรงไฟฟ้า และนิคมอุตสาหกรรมในไทย ที่ต้องติดต่อประสานงานกับผู้ผลิตชิ้นส่วนและซัพพลายเออร์ข้ามชาติ หากระบบคัดกรองอีเมลไม่ตรวจสอบเนื้อหาภายในไฟล์บีบอัดที่มีการแปลงนามสกุลหลอกลวง อาจทำให้บุคลากรหลงเชื่อและรันสคริปต์จนเกิดการรั่วไหลของข้อมูลประจำตัวเข้าสู่ระบบสารสนเทศองค์กร

ยุทธศาสตร์: โมเดล Malware-as-a-Service ราคาประหยัดเปิดโอกาสให้อาชญากรไซเบอร์เข้าถึงเครื่องมือจารกรรมข้อมูลขั้นสูงและพุ่งเป้ากลุ่มอุตสาหกรรมหนักที่มีมูลค่าทางเศรษฐกิจสูง
ยุทธการ: ใช้ประโยชน์จากความคุ้นชินในการเปิดไฟล์เอกสารสั่งซื้อสินค้าเพื่อแทรกซึมเข้าสู่เครือข่ายไอทีขององค์กรพลังงานเป็นด่านแรก ก่อนนำข้อมูลประจำตัวไปขายต่อหรือใช้เป็นสะพานเชื่อมสู่เครือข่ายปฏิบัติการ
ยุทธวิธี: อำพรางไฟล์แนบด้วยการใช้นามสกุล .tar ทับไฟล์ RAR สร้างกลไกความคงทนผ่าน Scheduled Tasks และทำ Process Injection เข้าสู่อรรถประโยชน์ MSBuild.exe เพื่อหลบเลี่ยงการตรวจจับ

พลังงาน (Energy), การผลิต (Manufacturing), วิศวกรรม (Engineering), โลจิสติกส์และการขนส่ง (Transport), การเงิน และเทคโนโลยีสารสนเทศ

T1566.001 Spearphishing Attachment T1059.007 JavaScript Interpreter T1053.005 Scheduled Task T1055 Process Injection T1555.003 Credentials from Web Browsers T1041 Exfiltration Over C2 Channel 9c45e0155ba9cfa6f7de048c16003b6ee2d1e965813ac2131022737e5b65186e 8b6ee91adc94dfffcc0bc245d6a0db4c367d3a4755d544e849bf67fd253f8ea6 b43bb0c7fd0dcc73ece88c856917adc88dd47b030b4cfd61e7ad518ed218104c 7b6c39570c0a6976be7b23e035ff3c3c321cccbc50052c027eefc1439c3013fe c863ab042e42ec0415b1e09e9cbf92e6c55dfed332b22cf1df0c647c071db85a

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

สถาบัน FDD เผยแพร่งานวิจัยชี้ช่องโหว่ความมั่นคงไซเบอร์และการพึ่งพาห่วงโซ่อุปทานจีนคุกคามโครงข่ายพลังงานและโลจิสติกส์ยุโรป

สถาบัน Foundation for Defense of Democracies (FDD) เผยแพร่รายงานวิเคราะห์ความเสี่ยงเชิงยุทธศาสตร์ ระบุว่าขีดความสามารถในการเคลื่อนกำลังและส่งกำลังบำรุงของพันธมิตร NATO ในยุโรปต้องพึ่งพาเครือข่ายดิจิทัล คมนาคม และโครงข่ายไฟฟ้าพลเรือนที่อยู่นอกเหนือการกำกับดูแลโดยตรงของกองทัพ โดยพบช่องโหว่สำคัญจากการที่กลุ่มทุนรัฐวิสาหกิจจีนถือครองกรรมสิทธิ์และบริหารจัดการท่าเรือยุทธศาสตร์กว่า 20 แห่ง และการที่บริษัทจีนเป็นผู้วางระบบเคเบิลสื่อสารใต้น้ำใกล้เส้นทางยุทธศาสตร์ ซึ่งเสี่ยงต่อการถูกแทรกแซงทางไซเบอร์ การก่อวินาศกรรมตัดกระแสไฟฟ้า และการขัดขวางระบบ SCADA/OT ในภาวะวิกฤต

ความเสี่ยงเชิงนโยบายและยุทธศาสตร์ต่อหน่วยงานกำกับดูแลโครงสร้างพื้นฐานสำคัญ (CII) ด้านพลังงานและคมนาคมในไทย ที่มีการจัดซื้อระบบควบคุมและเทคโนโลยีดิจิทัลจากคู่สัญญาข้ามชาติ จำเป็นต้องประเมินความเสี่ยงห่วงโซ่อุปทาน (Supply Chain Risk Assessment) และความมั่นคงด้านอธิปไตยทางดิจิทัลของเครือข่ายสาธารณูปโภคอย่างจริงจัง เพื่อป้องกันการถูกดักรับข้อมูลหรือตัดการทำงานจากระยะไกล

ยุทธศาสตร์: การพึ่งพาเทคโนโลยีและโครงสร้างพื้นฐานพลเรือนของต่างชาติสร้างจุดเปราะบางร้ายแรงต่อความมั่นคงแห่งชาติ โดยศัตรูสามารถใช้ปฏิบัติการไซเบอร์ตัดการเชื่อมต่อด้านพลังงานและคมนาคมโดยไม่ต้องเปิดฉากสงครามเต็มรูปแบบ
ยุทธการ: ระบบควบคุมอุตสาหกรรม (SCADA/OT) ในท่าเรือ รางรถไฟ และสถานีจ่ายไฟฟ้าที่เชื่อมต่อกับระบบพลเรือนขาดการประสานงานด้านความมั่นคงไซเบอร์ร่วมกัน ทำให้เกิดช่องว่างในการตรวจจับภัยคุกคามแบบผสมผสาน
ยุทธวิธี: ผู้ไม่หวังดีสามารถใช้ประโยชน์จากการเข้าถึงระดับฮาร์ดแวร์และเครือข่ายใต้น้ำเพื่อดักจับทราฟฟิก หรือส่งคำสั่งควบคุมปลอมแปลงผ่านช่องทางบริหารจัดการระยะไกลเพื่อระงับการจ่ายกระแสไฟฟ้าและบริการขนส่ง

พลังงานและระบบส่งจ่ายไฟฟ้า (Energy & Power Grids), ท่าเรือและพาณิชยนาวี (Ports & Maritime), โลจิสติกส์และระบบราง (Logistics & Rail), โครงสร้างพื้นฐานสำคัญ (Critical Infrastructure) และความมั่นคงทางทหาร

T1195.002 Compromise Software Supply Chain T1584 Compromise Infrastructure T1498 Network Denial of Service T0814 Denial of Control (ICS) T0855 Unauthorized Command Message (ICS)

ไม่มี IOCs เชิงเทคนิคเนื่องจากเป็นรายงานการประเมินเชิงยุทธศาสตร์และนโยบายความมั่นคง (Strategic & Policy Assessment)

ดูรายละเอียดรายงานฉบับเต็มที่ลิงก์ด้านล่าง

ตรวจพบบอตเน็ต Cling แอบอ้างทราฟฟิก STUN และบริการ Google อำพรางช่องทาง C2 โจมตีอุปกรณ์ IoT และเกตเวย์โครงข่ายสาธารณูปโภค

นักวิจัยจาก Nozomi Networks เปิดเผยการค้นพบบอตเน็ตตัวใหม่ชื่อ Cling ที่มุ่งเจาะอุปกรณ์ IoT เครือข่ายและเกตเวย์อุตสาหกรรมผ่านช่องโหว่ Command Injection บนชิปเซ็ต Realtek Jungle SDK (CVE-2021-35394) จุดเด่นคือการนำโปรโตคอล STUN (RFC-8489 ซึ่งใช้สำหรับ NAT Traversal ในการประชุมออนไลน์ เช่น Teams และ Zoom) มาดัดแปลงเป็นช่องทางสั่งการ C2 โดยส่งคำขอไปยังเซิร์ฟเวอร์ STUN สาธารณะรวมถึง stun.l.google.com ด้วย Transaction ID ที่เป็นศูนย์ทั้งหมด และเชื่อมต่อไปยังเซิร์ฟเวอร์ C2 ลับเพื่อรับคำสั่งยิง DDoS หรือส่งต่อพร็อกซี ทำให้ตรวจจับทราฟฟิกผิดปกติได้ยากยิ่ง

ความเสี่ยงสูงต่ออุปกรณ์เกตเวย์สื่อสารภาคสนาม (Field Cellular Gateways, RTU/PLC Communication Modules, Edge Routers) ในระบบ Smart Grid สถานีไฟฟ้าย่อย และระบบตรวจวัดมาตรน้ำอัจฉริยะในไทย ที่มักติดตั้งชิปเซ็ตหรือ SDK ฝังตัวของ Realtek และเปิดให้เข้าถึงได้จากภายนอก หากอุปกรณ์เหล่านี้ถูกยึดครอง อาจถูกใช้เป็นฐานยิงโจมตี DDoS ทำลายระบบบริการออนไลน์ หรือใช้เป็นจุดดักรับข้อมูลทราฟฟิกในเครือข่ายสาธารณูปโภค

ยุทธศาสตร์: บอตเน็ตยุคใหม่เริ่มปรับเปลี่ยนกลยุทธ์จากการแพร่กระจายแบบสุ่ม มาสู่การฝังตัวอย่างแนบเนียนในอุปกรณ์เครือข่ายชายขอบ (Network Edge) เพื่อรอรับคำสั่งโจมตีเป้าหมายที่มีความสำคัญสูง
ยุทธการ: อำพรางทราฟฟิกควบคุมให้ดูเหมือนการใช้งานโปรโตคอล STUN ทั่วไปของแอปพลิเคชันการประชุมทางไกล ทำให้ระบบตรวจสอบความปลอดภัยระดับเครือข่ายและไฟร์วอลล์ตรวจไม่พบความผิดปกติ
ยุทธวิธี: เจาะช่องโหว่ผ่านแพ็กเก็ต UDP พอร์ต UDPServer ฝังไฟล์มัลแวร์ในไดเรกทอรี /root/.cling ไฮแจ็กไฟล์ไบนารี wget สำหรับการคงอยู่ถาวร และส่ง Datagram ปลอมแปลงไปยังเซิร์ฟเวอร์ STUN เพื่อลงทะเบียนบอต

พลังงานและสาธารณูปโภค (Energy & Utilities), ระบบโครงข่ายไฟฟ้าอัจฉริยะ (Smart Grid), เทคโนโลยีสารสนเทศและผู้ให้บริการอินเทอร์เน็ต (IT & ISP), คมนาคมโทรคมนาคม (Telecoms) และอุปกรณ์ IoT ในภาคอุตสาหกรรม

T1190 Exploit Public-Facing Application T1059.004 Unix Shell T1037.004 RC Scripts T1574.009 Path Interception by PATH Environment Variable T1090.003 Multi-hop Proxy T1498.001 Direct Network Flood 90d738a8d650e3fefda9d7efa4baa11bd89ab05fcf0eb173e04aa01a52b465e2 3a6927a3399f2a10bb2e2229482e5096e5f1c3401a87f7f1730db11243531e28 3b0ac6aaabb3bf8058ca14f9c8ccc613cfa3ea71 hxxp://118.45.196[.]225:800/mipsel 118.45.196[.]225 120.193.219[.]210 58.211.144[.]243 145.249.115[.]184

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง