CGI-CTI-WEEKLY-20261005-GOV  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาครัฐและความมั่นคง ประจำสัปดาห์

Government & National Security Sector Weekly Report

ห้วงเวลา: 28 กันยายน - 4 ตุลาคม 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากรายงาน Tier-1 และการตรวจพบเป้าหมายในเอเชีย - พบการโจมตีเจาะระบบภาครัฐในเอเชียรวมถึงไทยโดยกลุ่ม UAT-11587, การอ้างเจาะระบบ FBIJobs.gov ผ่านช่องโหว่ PeopleSoft WAF bypass, มัลแวร์ Remus มุ่งขโมยเซสชันหน่วยงานรัฐท้องถิ่นผ่านบล็อกเชน C2, และกลุ่ม Earth Sirrush ยกระดับเครื่องมือจารกรรมกลาโหม

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 28 กันยายน ถึง 4 ตุลาคม 2569 ภัยคุกคามทางไซเบอร์ต่อหน่วยงานภาครัฐ ความมั่นคง และการบริหารราชการแผ่นดินมีความเคลื่อนไหวสำคัญในระดับยุทธศาสตร์หลายประการ ประการแรก กลุ่มภัยคุกคามที่มีความเชื่อมโยงกับจีน UAT-11587 ได้เปิดปฏิบัติการจารกรรมทางไซเบอร์พุ่งเป้าหน่วยงานภาครัฐ องค์กรนโยบายต่างประเทศ และสถาบันคลังสมองทั่วเอเชีย รวมถึงประเทศไทย โดยใช้เอกสารล่อลวงทางภูมิรัฐศาสตร์เพื่อแพร่กระจายแบ็กดอร์ Antino บนระบบคลาวด์ Microsoft 365 ประการที่สอง กลุ่มอาชญากรไซเบอร์ ShinyHunters ออกมาอ้างการเจาะระบบพอร์ทัลรับสมัครงานของสำนักงานสอบสวนกลางสหรัฐฯ (FBIJobs.gov) ผ่านการข้ามผ่านกฎ WAF บนช่องโหว่ Oracle PeopleSoft CVE-2026-35273 เพื่อขโมยฐานข้อมูลบุคลากรและติดตั้งเครื่องมือควบคุมระยะไกล ประการที่สาม ตรวจพบแคมเปญแพร่กระจายมัลแวร์ขโมยข้อมูล Remus มุ่งเป้าหน่วยงานรัฐบาลระดับมลรัฐและท้องถิ่น (SLTT) โดยใช้เทคนิค ClickFix ล่อลวงให้เหยื่อรันสคริปต์ และใช้เทคโนโลยีบล็อกเชน EtherHiding อำพรางช่องทาง C2 เพื่อดักขโมย Session Cookies ข้ามผ่าน MFA และประการสุดท้าย กลุ่มจารกรรมไซเบอร์ Earth Sirrush (UAC-0099) ที่เชื่อมโยงกับรัสเซียได้ยกระดับชุดเครื่องมือจารกรรมข้อมูลภาครัฐและกลาโหมยูเครนด้วยมัลแวร์ .NET ตัวใหม่ ASHVEIN ร่วมกับการซ่อนเพย์โหลดในรูปภาพ (Steganography) ซึ่งสะท้อนถึงการพัฒนาเทคนิคหลบเลี่ยงการตรวจจับที่แยบยลยิ่งขึ้นของกลุ่มภัยคุกคามระดับรัฐ

เหตุการณ์เด่นประจำสัปดาห์

กลุ่มภัยคุกคามเชื่อมโยงจีน UAT-11587 พุ่งเป้าโจมตีหน่วยงานภาครัฐและองค์กรนโยบายในเอเชียด้วยแบ็กดอร์ Antino

เผยแพร่: 30 กันยายน 2569  ·  แหล่งที่มา: Cisco Talos  ·  Admiralty B2

ทีมนักวิจัย Cisco Talos เปิดเผยการตรวจพบคลัสเตอร์ภัยคุกคามเชื่อมโยงกับจีนภายใต้รหัส UAT-11587 ซึ่งมีความสัมพันธ์กับกลุ่ม Jewelbug มุ่งเป้าโจมตีหน่วยงานภาครัฐ หน่วยงานกลาโหม นโยบายต่างประเทศ และสถาบันคลังสมองในภูมิภาคเอเชีย โดยตรวจพบเหยื่อในไต้หวัน อินเดีย ฟิลิปปินส์ กัมพูชา และไทย ผู้โจมตีใช้อีเมลฟิชชิ่งเจาะจงกลุ่มเป้าหมาย (Spear-phishing) แนบไฟล์สคริปต์ HTA หรือลิงก์หลอกลวงที่อ้างถึงประเด็นนโยบายภูมิรัฐศาสตร์ เช่น การประชุม CSIS Indo-Pacific และข้อพิพาทดินแดน เพื่อส่งมอบมัลแวร์แบ็กดอร์ตัวใหม่ที่พัฒนาด้วยภาษา Rust ชื่อ Antino มัลแวร์ดังกล่าวถูกติดตั้งผ่านเทคนิค DLL Sideloading บนโปรแกรมที่ได้รับลายมือชื่อดิจิทัลจากไมโครซอฟท์ (GatherOsState.exe) และใช้โครงสร้างพื้นฐาน Microsoft 365, Outlook สำหรับรับคำสั่ง C2 และ OneDrive สำหรับส่งข้อมูลออกนอกเครือข่าย

ผลกระทบต่อประเทศไทย

ความเสี่ยงตรงระดับสูงต่อหน่วยงานความมั่นคง นโยบายต่างประเทศ และสถาบันวิจัยของไทย - รายงานต้นฉบับของ Cisco Talos ระบุชื่อประเทศไทย (Thailand) เป็นหนึ่งในประเทศเป้าหมายร่วมกับไต้หวัน ฟิลิปปินส์ และกัมพูชา โดยคนร้ายใช้เอกสารหลอกลวงที่เกี่ยวข้องกับนโยบายในภูมิภาคอินโด-แปซิฟิก จึงมีความเป็นไปได้สูงที่บุคลากรภาครัฐของไทยอาจได้รับอีเมลฟิชชิ่งเพื่อมุ่งดักขโมยข้อมูลลับทางราชการและเอกสารนโยบายความร่วมมือระหว่างประเทศ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้ไม่หวังดีระดับรัฐ (Nation-State Actor) มุ่งเน้นการจารกรรมข้อมูลเชิงลึกด้านนโยบายการต่างประเทศและความมั่นคงในภูมิภาคอาเซียนและเอเชียเพื่อสร้างความได้เปรียบทางภูมิรัฐศาสตร์

ยุทธการ: การอาศัยบริการคลาวด์สาธารณะที่ถูกกฎหมาย เช่น Microsoft Graph, OneDrive และ Outlook เป็นช่องทาง C2 ช่วยให้ทราฟฟิกอันตรายกลมกลืนไปกับการดำเนินงานปกติขององค์กรและหลบเลี่ยงไฟร์วอลล์

ยุทธวิธี: หน่วยงานภาครัฐต้องเพิ่มการเฝ้าระวังการประมวลผลไฟล์สคริปต์ HTA และ WSF ผ่าน mshta.exe ตรวจจับพฤติกรรม DLL Sideloading บนโปรแกรมระบบ และตรวจสอบสิทธิ์การใช้งานแอปพลิเคชันบน Microsoft Graph อย่างเข้มงวด

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐและการบริหารราชการแผ่นดิน (Government & Administration), กองทัพและความมั่นคง (Defense & Military), การทูตและการต่างประเทศ (Diplomacy), องค์กรวิจัยและสถาบันคลังสมอง (Think Tanks)

MITRE ATT&CK
T1566.001 Spearphishing Attachment T1218.005 Mshta T1574.001 DLL Side-Loading T1059.001 PowerShell T1102.001 Dead Drop Resolver T1567.002 Exfiltration to Cloud Storage
IOC ที่สำคัญ
SHA256: e809da86bd81463347fa7f922d3e088755a94a331889d32acb55aa8f57778a34 (malicious HTA stager - CSIS Indo-Pacific lure) SHA256: e6ff096a0562c0042b09d250bd60272ffcd8d72bd95c563842acf765a8dc8bcf (malicious HTA stager - Bajo de Masinloc lure) IPv4: 103.27.110[.]220 (Historical payload host on wps-cn[.]com) Domain: osc-cdn[.]com (Actor spear-phishing sender domain) Domain: microsoft-flash[.]com (Standalone Antino fake-installer domain) Hostname: d2nq35tel3ucuo[.]cloudfront[.]net (Antino-chain CloudFront staging)
แหล่งที่มา: Cisco Talos Threat Research →

กลุ่ม ShinyHunters อ้างการเจาะระบบ FBIJobs.gov ผ่านช่องโหว่ PeopleSoft CVE-2026-35273 ข้าม WAF ติดตั้ง SIDEEYE และ MeshAgent

เผยแพร่: 30 กันยายน 2569  ·  แหล่งที่มา: ThreatMon  ·  Admiralty B2

กลุ่มอาชญากรรมไซเบอร์ ShinyHunters ออกมาอ้างว่าได้เจาะระบบพอร์ทัลรับสมัครงานของสำนักงานสอบสวนกลางสหรัฐฯ (FBIJobs.gov) และทำการเปลี่ยนหน้าเว็บไซต์ (Defacement) บนโดเมนย่อย apply.fbijobs.gov พร้อมระบุว่าสามารถขโมยข้อมูลขนาด 2 ถึง 3 TB ซึ่งประกอบด้วยประวัติเจ้าหน้าที่ FBI และผู้สมัครงาน รวมถึงข้อมูลจากระบบงานบุคคลและเวชระเบียนทางการแพทย์ โดยเอฟบีไอได้สั่งปิดระบบพอร์ทัลเพื่อตรวจสอบเหตุการณ์ดังกล่าวอย่างเร่งด่วน การวิเคราะห์เชิงเทคนิคระบุว่าจุดเริ่มต้นการเข้าถึงระบบมีความเชื่อมโยงกับการฉวยใช้ช่องโหว่รุนแรง CVE-2026-35273 บน Oracle PeopleSoft ผ่านเทคนิคการเข้ารหัส URL อักขระเดียว (/%50SEMHUB/) เพื่อข้ามผ่านกฎการตรวจจับของ WAF ก่อนจะติดตั้งเว็บเชลล์ JSP, แบ็กดอร์ SIDEEYE, และเครื่องมือ MeshAgent เพื่อสร้างช่องทางเข้าถึงระบบระยะไกลอย่างถาวร

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อระบบบริการภาครัฐและระบบบริหารทรัพยากรบุคคล (HR) ในไทย - แม้เป้าหมายหลักคือระบบของเอฟบีไอ แต่เทคนิคการข้ามผ่าน WAF ด้วยการเข้ารหัส URL อักขระเดียว (One-character WAF bypass) บน Oracle PeopleSoft ถือเป็นช่องทางอันตรายที่องค์กรภาครัฐและรัฐวิสาหกิจไทยที่ใช้ PeopleSoft มีความเสี่ยงต่อการถูกแทรกซึมหากพึ่งพาเฉพาะกฎของ WAF โดยไม่ได้ติดตั้งแพตช์ความปลอดภัยระดับแอปพลิเคชันอย่างครบถ้วน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มกรรโชกทรัพย์ขยายเป้าหมายสู่โครงสร้างพื้นฐานของหน่วยงานบังคับใช้กฎหมายระดับประเทศเพื่อสร้างแรงกดดันและชื่อเสียงในการข่มขู่เหยื่อรายอื่น

ยุทธการ: การพึ่งพาการป้องกันระดับ WAF เพียงชั้นเดียวโดยไม่ติดตั้งแพตช์ที่ตัวระบบต้นทางเปิดโอกาสให้ผู้โจมตีใช้วิธีหลบหลีกการตรวจสอบเชิงพาธ (Path encoding bypass) เจาะเข้าถึงระบบภายในได้สำเร็จ

ยุทธวิธี: ผู้ดูแลระบบต้องตรวจสอบการตั้งค่า WAF ให้รองรับการถอดรหัส URL แบบ Recursive ควบคู่กับการติดตั้งแพตช์ความปลอดภัยสำหรับ CVE-2026-35273 บน PeopleSoft ในทันที

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐและการบังคับใช้กฎหมาย (Government & Law Enforcement), พอร์ทัลบริการประชาชนและรับสมัครงานราชการ, องค์กรที่ใช้งานระบบ ERP Oracle PeopleSoft

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1491.002 External Defacement T1505.003 Web Shell T1219 Remote Access Tools T1572 Protocol Tunneling T1041 Exfiltration Over C2 Channel
IOC ที่สำคัญ
IPv4: 5.199.162[.]157 (Attack controller, scanner, HTTP callback receiver) IPv4: 104.219.234[.]138 (Exfiltration staging and remote management host) IPv4: 162.219.30[.]165 (SIDEEYE C2, TCP 3333 / 3334) Domain: winmanage-me[.]network (MeshCentral infrastructure) SHA256: 3ba215692665513abfffd4e815c5c45f2d41e5dcc4283a2a3b740930c5c417c3 (Ple64.exe - SIDEEYE loader) SHA256: 2bee941fb40519d0d1ec52bd79a8f63fc65aac6455c8f2d6b668e3360dfdb5d7 (u.jsp upload stager)
แหล่งที่มา: ThreatMon Security Research →

แคมเปญมัลแวร์ขโมยข้อมูล Remus พุ่งเป้าหน่วยงานรัฐบาลระดับมลรัฐและท้องถิ่น (SLTT) ผ่านเทคนิค ClickFix และบล็อกเชน EtherHiding

เผยแพร่: 3 ตุลาคม 2569  ·  แหล่งที่มา: Center for Internet Security  ·  Admiralty A1

ศูนย์ความมั่นคงปลอดภัยอินเทอร์เน็ต (CIS) และศูนย์ประสานงาน MS-ISAC รายงานการตรวจพบแคมเปญแพร่กระจายมัลแวร์ขโมยข้อมูล Remus (Infostealer ที่พัฒนาต่อยอดมาจาก Lumma Stealer) มุ่งเป้าหน่วยงานภาครัฐระดับมลรัฐและองค์กรปกครองส่วนท้องถิ่น (SLTT) ในสหรัฐฯ ผู้โจมตีใช้เทคนิควิศวกรรมสังคม ClickFix ผ่านเครือข่าย Traffic Distribution System (TDS) หลอกลวงให้เจ้าหน้าที่คัดลอกคำสั่งสคริปต์ที่เป็นอันตรายไปรันใน PowerShell เพื่อดาวน์โหลดตัวโหลดเดอร์ PLYCHIP และ DonutLoader มัลแวร์ Remus มุ่งเน้นการดักขโมย Session Cookies และข้อมูลประจำตัวในเบราว์เซอร์เพื่อข้ามผ่านการตรวจสอบสิทธิ์ MFA ตลอดจนขโมยข้อมูลรับรองจากโปรแกรมจัดการรหัสผ่านและไคลเอนต์ AI นอกจากนี้ แคมเปญดังกล่าวยังใช้เทคนิค EtherHiding สอบถาม Smart Contract บนบล็อกเชน Ethereum เพื่อดึงที่อยู่ C2 โดเมนล่าสุด ทำให้สามารถสับเปลี่ยนโครงสร้างพื้นฐานได้อย่างรวดเร็วและทนทานต่อการปิดกั้น

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อเครื่องคอมพิวเตอร์และบุคลากรในหน่วยงานรัฐไทย - การแพร่ระบาดผ่านเทคนิคหลอกลวงผู้ใช้งานแบบ ClickFix ซึ่งล่อลวงให้ผู้ใช้กดยืนยันหรือคัดลอกสคริปต์ไปวางด้วยตนเองกำลังแพร่หลายทั่วโลก ประกอบกับการใช้เครือข่ายบล็อกเชน (EtherHiding) อำพรางช่องทาง C2 เจ้าหน้าที่รัฐในไทยที่ใช้งานเว็บเบราว์เซอร์เข้าถึงระบบงานราชการและบริการคลาวด์มีความเสี่ยงที่จะตกเป็นเหยื่อและสูญเสีย Session Tokens ในการล็อกอิน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ขบวนการอาชญากรรมไซเบอร์เชิงพาณิชย์ (MaaS) พัฒนากลยุทธ์ที่มุ่งขโมยเซสชันโทเค็นของหน่วยงานรัฐเพื่อนำไปขายต่อให้กลุ่มแรนซัมแวร์หรือกลุ่มจารกรรม

ยุทธการ: การใช้เทคนิค EtherHiding แปลงระบบ Smart Contract สาธารณะเป็นจุดพักข้อมูล C2 (Dead Drop Resolver) ช่วยให้คนร้ายหลบเลี่ยงการถูกสั่งระงับโดเมนจากหน่วยงานกำกับดูแล

ยุทธวิธี: องค์กรต้องปิดกั้นการเข้าถึงพอร์ทัลบล็อกเชน RPC ที่ไม่มีความจำเป็นในเชิงงาน และกำหนดนโยบายความปลอดภัยบนเครื่องปลายทางเพื่อตรวจจับคำสั่งผิดปกติที่สั่งรันจากคลิปบอร์ด

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐระดับมลรัฐและท้องถิ่น (SLTT Governments), หน่วยงานบริการสาธารณะ, ระบบคอมพิวเตอร์สำนักงานที่เข้าถึงระบบบริหารราชการ

MITRE ATT&CK
T1566 Phishing T1204.004 Malicious Copy and Paste T1059.001 PowerShell T1102.001 Dead Drop Resolver T1555.003 Credentials from Web Browsers T1539 Steal Web Session Cookie
IOC ที่สำคัญ
Domain: fightwa[.]biz (Remus C2 domain resolved via EtherHiding) Domain: one-verif[.]lol (ClickFix loader domain directing victims to PLYCHIP) IPv4: 84.21.189[.]150 (DonutLoader shellcode staging server on port 5000) URL: hxxp[://]84.21.189[.]150:5000/rena.bin (DonutLoader shellcode blob staging URL) SHA256: f52809d57d816cf9ea7e95de64df46fcc1cf62d3da972c167497935b5eca74d7 (Remus infostealer SHA-256 hash) SHA256: 51bfb2f390653647b087d789ef1559c3fdf220c565a909f1eee4d593893420dd (Remus infostealer SHA-256 hash)
แหล่งที่มา: Center for Internet Security Research →

กลุ่มจารกรรมไซเบอร์ Earth Sirrush (UAC-0099) ยกระดับเครื่องมือจารกรรมพุ่งเป้าหน่วยงานรัฐบาลและกลาโหมยูเครน

เผยแพร่: 1 ตุลาคม 2569  ·  แหล่งที่มา: Trend Micro  ·  Admiralty B2

ทีมนักวิจัยความปลอดภัย TrendAI Research รายงานการวิเคราะห์กลุ่มภัยคุกคามที่มีความเชื่อมโยงกับรัสเซีย Earth Sirrush (หรือที่ CERT-UA ติดตามภายใต้รหัส UAC-0099) ซึ่งดำเนินปฏิบัติการจารกรรมข้อมูลต่อหน่วยงานรัฐบาล กระทรวงกลาโหม กองกำลังรักษาชายแดน และโครงข่ายโลจิสติกส์ของยูเครนมาอย่างต่อเนื่องกว่า 4 ปี กลุ่มดังกล่าวได้พัฒนาและปรับเปลี่ยนเครื่องมือจารกรรมข้อมูลมากกว่า 10 ตระกูล จากเดิมที่ใช้สคริปต์ PowerShell (LONEPAGE) สู่การใช้มัลแวร์ C# .NET ตัวใหม่ชื่อ ASHVEIN (หรือ TelemetryBrowser) ที่มีความสามารถในการขโมยข้อมูลรับรองจากเบราว์เซอร์ บันทึกภาพหน้าจอ และควบคุมระบบจากระยะไกล นอกจากนี้ในปฏิบัติการล่าสุดยังพบการใช้เทคนิคสเตกาโนกราฟี (Steganography) ซ่อนเพย์โหลดในรูปภาพ (แคมเปญ CINDERBLOT / BadPaw) และการปลอมแปลงเอกสารจากสำนักงานตำรวจแห่งชาติและกองกำลังพิทักษ์ชายแดนเพื่อหลอกลวงเป้าหมาย

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อหน่วยงานความมั่นคงและกลาโหมของไทย - กลวิธีการแฝงเพย์โหลดมัลแวร์ในรูปภาพ (Steganography) ร่วมกับการปลอมแปลงเอกสารราชการจากหน่วยงานตำรวจและกองกำลังป้องกันชายแดน (AnswerFromPolice, BadPaw) เป็นบทเรียนสำคัญที่ฝ่ายข่าวกรองและความมั่นคงทางไซเบอร์ของไทยต้องนำมาปรับใช้ในการคัดกรองไฟล์แนบและวิเคราะห์ภัยคุกคามที่มีความแยบยลขั้นสูง

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ปฏิบัติการจารกรรมทางไซเบอร์ควบคู่กับความขัดแย้งทางภูมิรัฐศาสตร์แสดงให้เห็นถึงการลงทุนอย่างต่อเนื่องในการปรับปรุงเครื่องมือเพื่อเจาะระบบข้อมูลข่าวกรองทางการทหาร

ยุทธการ: การเปลี่ยนผ่านจากสคริปต์คำสั่งทั่วไปสู่การใช้มัลแวร์คอมไพล์ .NET และการซ่อนโค้ดในไฟล์รูปภาพช่วยยกระดับความสามารถในการหลบเลี่ยงระบบตรวจจับแอนติไวรัสของหน่วยงานรัฐ

ยุทธวิธี: หน่วยงานความมั่นคงต้องติดตั้งโซลูชันวิเคราะห์ไฟล์แนบขั้นสูง (Deep File Inspection / Content Disarm and Reconstruction) เพื่อแยกแยะเพย์โหลดที่ซ่อนในรูปภาพและสคริปต์คำสั่ง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐและการปกครอง (Government & Administration), กระทรวงกลาโหมและกองทัพ (Defense & Military), กองกำลังพิทักษ์ชายแดนและบังคับใช้กฎหมาย, โครงสร้างพื้นฐานด้านการขนส่งทางทหาร

MITRE ATT&CK
T1566.001 Spearphishing Attachment T1218.005 Mshta T1059.001 PowerShell T1027.003 Steganography T1574.001 DLL Side-Loading T1555.003 Credentials from Web Browsers T1041 Exfiltration Over C2 Channel
IOC ที่สำคัญ
SHA256: 55d8b1951e1ce8b3aea07ee3a3fb9f0e8f0cd345d08096806ddad9a6691510ec (LONEPAGE loader SHA-256 hash) SHA256: f0bdcb507aaf9af91bc69511a4873462e9b2b07c173c71d9c4c622a2754f5d5b (ASHVEIN / TelemetryBrowser stealer hash) IPv4: 156.38.245[.]115 (C&C server IP) Domain: egyptanimals[.]com (MATCHBOIL C&C domain) Domain: secfileshare[.]com (MATCHBOIL HTA hosting domain) URL: hxxps[://]crazy-love[.]app/documentation/uptelem.html (ASHVEIN C&C facade landing page URL)
แหล่งที่มา: Trend Micro Threat Research →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามต่อภาครัฐและความมั่นคงในรอบสัปดาห์เน้นย้ำถึงการโจมตีเชิงยุทธศาสตร์ที่มุ่งเป้าประเทศไทยและเอเชีย การฉวยใช้ช่องโหว่ WAF bypass บนระบบ PeopleSoft ของหน่วยงานบังคับใช้กฎหมาย ตลอดจนการใช้เทคนิค EtherHiding และ Steganography หลบเลี่ยงการตรวจจับ หน่วยงานภาครัฐจำเป็นต้องยกระดับการแพตช์ระบบ ควบคุมสิทธิ์คลาวด์ และเฝ้าระวังเครื่องปลายทางอย่างเข้มงวด

TLP:CLEAR

ห้วงเวลาข้อมูล: 28 กันยายน - 4 ตุลาคม 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)