CGI-CTI-WEEKLY-20261005-HLT  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคสาธารณสุขและการแพทย์ ประจำสัปดาห์

Public Health & Healthcare Sector Weekly Report

ห้วงเวลา: 28 กันยายน - 4 ตุลาคม 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากหลายแหล่งข้อมูลระดับ tier-1 และ tier-2 - ตรวจพบแนวโน้มการพุ่งเป้าโจมตีโครงสร้างพื้นฐานโรงพยาบาลและสาธารณสุขอย่างเข้มข้น ทั้งการแฝงตัวระยะยาวของกลุ่มจารกรรมผ่านแบ็กดอร์ Vasilek และ NeedyMantis, การกรรโชกข้อมูลผู้ป่วยบนคลาวด์ Microsoft 365 โดยไม่ใช้มัลแวร์เรียกค่าไถ่, และการฉวยใช้ช่องโหว่ Zero-Day บนเกตเวย์ Fortinet FortiMail

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 28 กันยายน ถึง 4 ตุลาคม 2569 ภัยคุกคามทางไซเบอร์ที่มุ่งเป้าภาคสาธารณสุขและการแพทย์มีความรุนแรงและซับซ้อนในระดับสูง โดยพบการเปลี่ยนแปลงเชิงยุทธวิธีของกลุ่มภัยคุกคามที่มุ่งเน้นการแฝงตัวระยะยาวในเครือข่ายสถานพยาบาล เช่น กลุ่ม Partisan Zmiy ที่แทรกซึมอยู่ในองค์กรสาธารณสุขนานเกือบ 2 ปีเพื่อขยายผลสู่เครือข่ายความไว้วางใจของโรงพยาบาลสาขา ขณะเดียวกันกลุ่มกรรโชกทรัพย์ทางการเงินได้ปรับเปลี่ยนจากการเข้ารหัสไฟล์ปลายทางไปสู่การยึดครองบัญชีคลาวด์ Microsoft 365 แล้วดูดข้อมูลเวชระเบียนผ่าน Microsoft Graph API เพื่อเรียกค่าไถ่โดยไม่ต้องพึ่งพามัลแวร์ นอกจากนี้ยังพบการเปิดเผยเฟรมเวิร์กมัลแวร์แบบโมดูลาร์ NeedyMantis โดยทีมวิเคราะห์ของ Microsoft ซึ่งใช้เจาะจงเป้าหมายในภาคสุขภาพเพื่อการจารกรรม และการฉวยใช้ช่องโหว่ Zero-Day บนอุปกรณ์ Fortinet FortiMail หมายเลข CVE-2026-104286 เพื่อเขียนไฟล์อันตรายยึดครองเกตเวย์อีเมลของสถานพยาบาล

เหตุการณ์เด่นประจำสัปดาห์

กลุ่มภัยคุกคาม Partisan Zmiy แทรกซึมฝังตัวในองค์กรสาธารณสุขนานเกือบ 2 ปี ปล่อยแบ็กดอร์ Vasilek และท่อพราง DNSCat2

เผยแพร่: 2 ตุลาคม 2569  ·  แหล่งที่มา: Solar 4RAYS  ·  Admiralty B2

ทีมวิเคราะห์ Solar 4RAYS เปิดเผยผลการสืบสวนคดีทางไซเบอร์ของกลุ่มคนร้าย Partisan Zmiy (กลุ่มเชื่อมโยง Cyber Partisans) ที่สามารถแฝงตัวอยู่ในเครือข่ายองค์กรสาธารณสุขและการแพทย์ยาวนานเกือบ 2 ปีนับตั้งแต่ต้นปี 2567 โดยไม่ทำลายระบบ แต่เน้นการจารกรรมและคงสิทธิ์การเข้าถึงเพื่อใช้ความสัมพันธ์ความไว้วางใจ (Trusted Relationship) ขยายการโจมตีไปยังโรงพยาบาลและสถานพยาบาลเครือข่าย คนร้ายได้ติดตั้งแบ็กดอร์ Vasilek เวอร์ชัน 1.5.8 ซึ่งควบคุมผ่าน Telegram Bot API ควบคู่กับตัวโหลด-ตั้งเวลา authd.exe แฝงชื่อ VMware Tools และ WSUS ตลอดจนการสร้างท่อเครือข่ายพรางตัวด้วย DNSCat2, PartisanDNS และพร็อกซี GOST กับ 3proxy

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยระบบสาธารณสุขและโรงพยาบาลในประเทศไทยมีการเชื่อมต่อโครงข่ายระหว่างโรงพยาบาลศูนย์กับโรงพยาบาลชุมชนและคลินิกเครือข่ายในลักษณะความไว้วางใจข้ามสาขา หากแม่ข่ายหลักถูกฝังตัว อาจกลายเป็นฐานปฏิบัติการแทรกซึมข้ามหน่วยงานและนำไปสู่การรั่วไหลของข้อมูลเวชระเบียนผู้ป่วยระดับประเทศ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้คุกคามปรับเปลี่ยนพฤติกรรมจากการก่อวินาศกรรมทำลายล้างมาเป็นการแฝงตัวระยะยาวเพื่อรวบรวมข่าวกรองและใช้สิทธิ์ความไว้วางใจในห่วงโซ่สาธารณสุขเป็นฐานขยายผล

ยุทธการ: ฝ่ายความมั่นคงปลอดภัยต้องเฝ้าระวังการเชื่อมต่อระหว่างเครือข่ายสถานพยาบาล พร้อมตรวจสอบพฤติกรรมการส่งทราฟฟิก DNS Tunneling และการเชื่อมต่อไปยัง Telegram Bot API จากเครื่องเซิร์ฟเวอร์

ยุทธวิธี: ตรวจสอบการทำ DLL Hijacking บนไฟล์ vmtools.dll ในไดเรกทอรี VMware Tools, สกัดกั้นเซอร์วิสระบบแปลกปลอมที่แอบอ้าง WSUS และบล็อกโดเมน C2 ตลอดจนโดเมน DGA ของ PartisanDNS

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรสาธารณสุขและการแพทย์, โรงพยาบาลศูนย์, สถานพยาบาลเครือข่ายสาขา, และโครงสร้างพื้นฐานระบบเสมือนจริง VMware Tools

MITRE ATT&CK
T1574.001 DLL Search Order Hijacking T1543.003 Windows Service T1071.004 DNS Tunneling T1102.002 Bidirectional Communication T1568.002 Domain Generation Algorithms T1090 Proxy
IOC ที่สำคัญ
87e713f9b6ae14d97d3fa4d1a882c029e7e963d844d9c93ea383cab3d46a949c 125ead2c3b1d0f7aee03d13b927744ec8dc1d046912ce73efc9c5a10243b99dc 5bc4fa9916c0883d45cb85639e328ed484dc75f4dfda294eb52f4b8b612889f2 okkgb[.]com c0ce[.]org vfvnfaq[.]pro

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Solar 4RAYS Blog →

กลุ่มกรรโชกทรัพย์ทางการเงินยึดบัญชี Microsoft 365 สูบข้อมูลผ่าน Graph API ขู่เรียกค่าไถ่องค์กรสาธารณสุขโดยไม่พึ่งพามัลแวร์

เผยแพร่: 1 ตุลาคม 2569  ·  แหล่งที่มา: Binary Defense  ·  Admiralty B2

ทีมวิเคราะห์ Analysis on Demand (AOD) ของ Binary Defense เปิดเผยกรณีศึกษาการรับมือภัยคุกคามในองค์กรสาธารณสุข โดยผู้โจมตีทางการเงินใช้เทคนิค Adversary-in-the-Middle (AitM) เข้าควบคุมบัญชี Microsoft 365 จากนั้นลงทะเบียนช่องทาง MFA สำรองเพื่อคงสิทธิ์การเข้าถึง แล้วใช้คำสั่งผ่าน Microsoft Graph API ดึงไฟล์ข้อมูลสำคัญจาก SharePoint, OneDrive และกล่องข้อความ Exchange รวมกว่า 350,000 รายการ โดยไม่ติดตั้งมัลแวร์เรียกค่าไถ่เพื่อเข้ารหัสไฟล์ จากนั้นส่งข้อความขู่กรรโชกทรัพย์กำหนดเวลา 72 ชั่วโมงผ่านอีเมลและ Microsoft Teams ภายในองค์กร ซึ่งสร้างความเสียหายรวมกว่า 10.69 ล้านดอลลาร์สหรัฐในรอบ 5 เดือน

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย เนื่องจากโรงพยาบาลและศูนย์การแพทย์ในประเทศไทยมีการย้ายระบบเอกสารและเวชระเบียนขึ้นสู่คลาวด์ Microsoft 365 จำนวนมาก หากขาดการควบคุมสิทธิ์ API และการป้องกัน Session Hijacking อาจเผชิญการขโมยข้อมูลผู้ป่วยไปเรียกค่าไถ่โดยที่ระบบ EDR ปลายทางไม่แจ้งเตือน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ขบวนการเรียกค่าไถ่เปลี่ยนผ่านสู่ Data Extortion บนคลาวด์แบบไร้มัลแวร์ ทำให้แนวทางป้องกันแบบดั้งเดิมที่พึ่งพาการตรวจจับการเข้ารหัสไฟล์ไม่สามารถยับยั้งความเสียหายได้

ยุทธการ: ผู้ดูแลระบบต้องยกระดับการตรวจจับพฤติกรรมการเรียกใช้งาน Microsoft Graph API ที่มีความถี่สูงผิดปกติ และตรวจสอบทราฟฟิกการเข้าสู่ระบบแบบ Non-interactive จากไอพีต่างประเทศ

ยุทธวิธี: บังคับใช้นโยบาย Phishing-Resistant MFA (FIDO2), ตรวจสอบการลงทะเบียนอุปกรณ์แปลกปลอมใน Entra ID และบล็อกไอพีที่ผู้โจมตีใช้เชื่อมต่อเพื่อดึงข้อมูล

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรสาธารณสุขและการแพทย์ (Healthcare), บริการคลาวด์ Microsoft 365 (SharePoint Online, OneDrive, Exchange Online, Teams)

MITRE ATT&CK
T1557 Adversary-in-the-Middle T1078.004 Cloud Accounts T1098.005 Device Registration T1213.002 SharePoint T1114.002 Remote Email Collection T1567.002 Exfiltration to Cloud Storage
IOC ที่สำคัญ
50.189.64[.]212 209.222.97[.]34 64.190.113[.]53 43.135.172[.]72 170.203.114[.]175

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Binary Defense Blog →

ตรวจพบการฉวยใช้ช่องโหว่ Zero-Day บน Fortinet FortiMail (CVE-2026-104286) เขียนไฟล์อันตรายโดยไม่ต้องยืนยันตัวตน พุ่งเป้าโครงสร้างพื้นฐานโรงพยาบาล

เผยแพร่: 4 ตุลาคม 2569  ·  แหล่งที่มา: Rescana / Fortinet PSIRT  ·  Admiralty B1

หน่วยงานความมั่นคงปลอดภัยไซเบอร์แจ้งเตือนการโจมตีช่องโหว่ Zero-Day ระดับวิกฤต (CVSS 9.8) หมายเลข CVE-2026-104286 บนอุปกรณ์เกตเวย์อีเมล Fortinet FortiMail ซึ่งเกิดจากข้อบกพร่องประเภท Path Traversal ร่วมกับ Null Byte Injection ในส่วนติดต่อเว็บ ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถส่งคำขอ HTTP/HTTPS เพื่อเขียนไฟล์อันตรายลงในพาธสำคัญ เช่น /data/lib/liblog.so และ /data/etc/ld.so.preload ส่งผลให้สามารถรันโค้ดด้วยสิทธิ์ระดับผู้ดูแลระบบสูงสุดและติดตั้งแบ็กดอร์ถาวร โดยพบรายงานการพุ่งเป้าโจมตีผู้ให้บริการสาธารณสุขและโรงพยาบาลที่เปิดอินเทอร์เฟซบริหารจัดการสู่อินเทอร์เน็ต

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย เนื่องจากอุปกรณ์ Fortinet FortiMail ได้รับความนิยมสูงในการใช้งานเป็นเกตเวย์อีเมลของโรงพยาบาลขนาดใหญ่และองค์กรสาธารณสุขไทย หากเปิดหน้าจอจัดการสู่สาธารณะโดยไม่มีการจำกัดสิทธิ์ อาจถูกผู้โจมตีเจาะระบบเพื่อดักขโมยข้อมูลการติดต่อทางการแพทย์หรือใช้ส่งอีเมลฟิชชิ่งหลอกลวงบุคลากร

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: เกตเวย์ความมั่นคงปลอดภัยอีเมลเป็นด่านหน้าสำคัญของโรงพยาบาล การมีช่องโหว่ระดับ Zero-Day ส่งผลกระทบอย่างรุนแรงต่อความลับและความพร้อมใช้งานของระบบสื่อสาร

ยุทธการ: ผู้ดูแลระบบต้องจำกัดการเข้าถึงหน้าเว็บบริหารจัดการให้เฉพาะเครือข่ายภายในหรือผ่าน VPN เท่านั้น พร้อมเร่งตรวจสอบความสมบูรณ์ของไฟล์ระบบและไลบรารีที่ถูกสร้างใหม่

ยุทธวิธี: อัปเดตเฟิร์มแวร์ตามคำแนะนำความปลอดภัย FG-IR-26-175 ทันที, ตรวจสอบไฟล์คอนฟิก /data/etc/ld.so.preload และไฟล์ /data/lib/liblog.so พร้อมบล็อกไอพีสแกนหาช่องโหว่

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ผู้ให้บริการทางการแพทย์และโรงพยาบาล (Healthcare Providers), หน่วยงานสาธารณสุข, อุปกรณ์เกตเวย์อีเมล Fortinet FortiMail

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1574.006 Dynamic Linker Hijacking T1505.003 Web Shell T1059 Command and Scripting Interpreter T1036 Masquerading
IOC ที่สำคัญ
79.141.169[.]187 45.129.0[.]192 /data/etc/ld.so.preload /data/lib/liblog.so

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Rescana Alert →

ไมโครซอฟท์ตรวจพบเฟรมเวิร์กมัลแวร์ NeedyMantis ฝังตัวระยะยาวในเครือข่ายองค์กรสาธารณสุขและโทรคมนาคม

เผยแพร่: 28 กันยายน 2569  ·  แหล่งที่มา: Microsoft Threat Intelligence  ·  Admiralty A1

ทีมวิเคราะห์ข่าวกรองภัยคุกคามของไมโครซอฟท์ (Microsoft Threat Intelligence) ตรวจพบเฟรมเวิร์กมัลแวร์แบบโมดูลาร์ตัวใหม่ชื่อ NeedyMantis ที่ถูกนำมาใช้ในปฏิบัติการเจาะจงเป้าหมายในภาคสาธารณสุข โทรคมนาคม และสถาบันการศึกษา มัลแวร์นี้ถูกออกแบบเพื่อคงสิทธิ์การเข้าถึงระยะยาวหลังการเจาะระบบ โดยใช้เทคนิค DLL Search Order Hijacking แอบอ้างไฟล์ WinSparkle.dll โหลดไฟล์อาร์ไคฟ์เข้ารหัสลับเพื่อหลบเลี่ยงการตรวจจับ พร้อมทั้งถอดรหัสและเรียกใช้ API ในหน่วยความจำแบบไดนามิก และสื่อสารกับเซิร์ฟเวอร์ควบคุม C2 ผ่านโปรโตคอล HTTPS เพื่อสอดแนมข้อมูลระบบอย่างต่อเนื่อง

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยศูนย์วิจัยชีวการแพทย์และโรงพยาบาลระดับตติยภูมิในประเทศไทยที่ใช้งานระบบปฏิบัติการ Windows บนแม่ข่ายบริการทางการแพทย์ อาจตกเป็นเป้าหมายของการจารกรรมข้อมูลงานวิจัยทางการแพทย์และสถิติสุขภาพประชากรจากการฝังตัวของโมดูลาร์มัลแวร์ระดับสูง

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มภัยคุกคามขั้นสูงปรับใช้เครื่องมือแบบโมดูลาร์ที่แยกระหว่างตัวโหลดและโค้ดปฏิบัติการหลัก เพื่อรักษาการเข้าถึงระบบสารสนเทศสุขภาพระยะยาวโดยไม่ให้ถูกตรวจจับได้ง่าย

ยุทธการ: องค์กรต้องยกระดับการตรวจสอบกระบวนการโหลดไลบรารีของโปรแกรม และเฝ้าระวังพฤติกรรมการเรียกดูข้อมูลระบบ (System Discovery) ที่เกิดขึ้นจากกระบวนการทำงานที่ผิดปกติ

ยุทธวิธี: ดำเนินการตรวจสอบค่าแฮช SHA-256 ของไฟล์ WinSparkle.dll และไฟล์อาร์ไคฟ์เข้ารหัส, บังคับใช้นโยบาย AppLocker หรือ WDAC เพื่อป้องกัน DLL Hijacking และบล็อกโดเมน C2 ของ NeedyMantis

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคสาธารณสุขและการแพทย์ (Health), สถาบันวิจัยชีวการแพทย์, องค์กรโทรคมนาคม, เซิร์ฟเวอร์และเวิร์กสเตชันระบบปฏิบัติการ Windows

MITRE ATT&CK
T1574.001 DLL Search Order Hijacking T1027 Obfuscated Files or Information T1027.007 Dynamic API Resolution T1071.001 Web Protocols T1573.001 Symmetric Cryptography T1082 System Information Discovery
IOC ที่สำคัญ
e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 corp.tripswithengine[.]com tripswithengine[.]com hxxps://corp.tripswithengine[.]com/library/zip/

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Microsoft Security Blog →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามในภาคสาธารณสุขและการแพทย์ประจำสัปดาห์มุ่งเน้นการแฝงตัวระยะยาวในเครือข่ายสถานพยาบาลและการขโมยข้อมูลผู้ป่วยบนคลาวด์โดยไม่พึ่งพามัลแวร์ องค์กรทางการแพทย์ควรเร่งอัปเดตแพตช์เกตเวย์อีเมล ยกระดับการป้องกันบัญชีคลาวด์ และแยกส่วนเครือข่ายความไว้วางใจเพื่อลดความเสี่ยงจากการถูกแทรกซึม

TLP:CLEAR

ห้วงเวลาข้อมูล: 28 กันยายน - 4 ตุลาคม 2569 (28 Sep - 04 Oct 2026 CE)  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)