CGI-CTI-WEEKLY-20261012-CORP  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคบริการธุรกิจและ SMEs ประจำสัปดาห์

Corporate Services & SMEs Sector Weekly Report

ห้วงเวลา: 5-11 ตุลาคม 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากรายงานภัยคุกคามระดับ Tier-1 พบทั้งการฉวยใช้บริการคลาวด์ Microsoft Power BI ส่งมัลแวร์รีโมต ScreenConnect, การเจาะระบบด้วยแรนซัมแวร์ Akira ผ่าน RDP และ GOST tunnel, แคมเปญฟิชชิ่งแอบอ้างใบสั่งซื้อสินค้ากระจาย SnakeKeylogger และการโจมตีเกตเวย์ FortiGate SSL VPN ในแคมเปญ FortiBleed เพื่อยึดสิทธิ์แอดมินและปล่อยแรนซัมแวร์

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 5-11 ตุลาคม 2569 ภาพรวมภัยคุกคามความมั่นคงปลอดภัยไซเบอร์สำหรับภาคองค์กรธุรกิจและผู้ประกอบการ (Corporate Services & SMEs) เผชิญกับความเสี่ยงในระดับสูงจาก 4 เหตุการณ์สำคัญที่มุ่งเป้าโจมตีเครื่องมือทางธุรกิจ บริการเชื่อมต่อระยะไกล และกระบวนการดำเนินงานขององค์กร ประการแรก แคมเปญฟิชชิ่งฉวยใช้ความน่าเชื่อถือของบริการคลาวด์ Microsoft Power BI เผยแพร่ไคลเอนต์ซอฟต์แวร์บริหารจัดการระยะไกล ScreenConnect ปลอมเพื่อยึดครองระบบขององค์กร ประการที่สอง รายงานการแกะรอยการโจมตีของกลุ่มแรนซัมแวร์ Akira บ่งชี้การใช้ประโยชน์จากพอร์ต RDP ที่เปิดทิ้งไว้ ร่วมกับการฝังพร็อกซี GOST และการใช้ Rclone ขโมยข้อมูลก่อนเข้ารหัสไฟล์ ประการที่สาม แคมเปญฟิชชิ่งอีเมลแอบอ้างเอกสารใบสั่งซื้อสินค้า (PO) ฉวยช่องโหว่ Equation Editor เพื่อปล่อยมัลแวร์ SnakeKeylogger มุ่งขโมยรหัสผ่านระบบงานและข้อมูลทางการเงิน และประการสุดท้าย หน่วยงาน FBI และ USSS แจ้งเตือนแคมเปญ FortiBleed ที่อาศัยบัญชีหลุดรอดเข้ายึดครองอุปกรณ์ Fortinet FortiGate SSL VPN ทำการล็อกสิทธิ์ผู้ดูแลระบบตัวจริง และปูทางสู่การปล่อยแรนซัมแวร์ระดับองค์กร

เหตุการณ์เด่นประจำสัปดาห์

แคมเปญฟิชชิ่งฉวยใช้แพลตฟอร์ม Microsoft Power BI เผยแพร่ไคลเอนต์ ScreenConnect ปลอมเพื่อยึดครองระบบองค์กร

เผยแพร่: 7 ตุลาคม 2569  ·  แหล่งที่มา: Huntress Labs  ·  Admiralty B2

ทีมนักวิจัยความมั่นคงปลอดภัยของ Huntress Labs ตรวจพบแคมเปญฟิชชิ่งที่ฉวยโอกาสใช้บริการคลาวด์ Microsoft Power BI (app.powerbi.com) เพื่อหลบเลี่ยงระบบคัดกรองอีเมล (Email Gateways) โดยส่งอีเมลหลอกลวงพร้อมลิงก์ไปยังเอกสารอ้างอิงปลอม เมื่อเหยื่อคลิกดาวน์โหลดเอกสาร ลิงก์จะส่งต่อไปยังเว็บไซต์สเตจจิ้งของกลุ่มผู้โจมตีที่เริ่มดาวน์โหลดตัวติดตั้งซอฟต์แวร์รีโมตยอดนิยม ScreenConnect ปลอม (ScreenConnect.ClientSetup.exe) โดยผู้โจมตีได้ติดตั้งไคลเอนต์ ScreenConnect ถึงสองตัวเพื่อสร้างช่องทางเข้าถึงแบบคงทน (Persistence) พร้อมรันคำสั่งสคริปต์ CMD และ PowerShell เข้าควบคุมเครื่องปลายทางขององค์กรธุรกิจ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจและ SMEs ในไทย - องค์กรในประเทศไทยใช้งานชุดโปรแกรม Microsoft 365 และ Power BI อย่างแพร่หลาย หากพนักงานหลงเชื่อเปิดลิงก์ที่มาจากโดเมนของไมโครซอฟท์อย่างเป็นทางการ ระบบคัดกรองอีเมลทั่วไปจะไม่แจ้งเตือน ซึ่งอาจนำไปสู่การติดตั้งซอฟต์แวร์รีโมตที่อนุญาตให้ผู้โจมตีเข้าควบคุมเครื่องคอมพิวเตอร์และเครือข่ายภายในองค์กรได้โดยตรง

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้โจมตียกระดับเทคนิค Living-off-the-Trusted-SaaS โดยอาศัยความน่าเชื่อถือของแพลตฟอร์มคลาวด์ระดับองค์กรเพื่อข้ามผ่านระบบป้องกันอีเมลและสร้างความชอบธรรมให้แก่กิจกรรมหลอกลวง

ยุทธการ: ผู้ไม่หวังดีใช้ซอฟต์แวร์บริหารจัดการระยะไกล (RMM) ถูกต้องตามกฎหมายอย่าง ScreenConnect มาปรับใช้เป็นเครื่องมือควบคุมและสั่งการ (C2) แบบสำรองหลายช่องทางเพื่อหลบเลี่ยงการตรวจจับของ EDR

ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องตรวจสอบการเชื่อมต่อขาออกไปยังรีเลย์โดเมนของ ScreenConnect ที่ไม่ได้รับอนุญาต และบล็อกการดาวน์โหลดไฟล์ปฏิบัติการจากหน้าเว็บภายนอกที่ส่งต่อมาจาก Power BI

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจทั่วไป (Corporate), ภาคบริการวิชาชีพ, ผู้ใช้งาน Microsoft 365 และผู้ใช้งานเครื่องมือ Power BI

MITRE ATT&CK
T1566.002 Spearphishing Link T1204.001 Malicious Link T1219 Remote Access Tools T1059.001 PowerShell T1059.003 Windows Command Shell T1053.005 Scheduled Task
IOC ที่สำคัญ
5956f9afb3ba610c38b2cfda88dd15be98783963769a12020c93ce05e749b3c3 f048400c23add8c75abe189393d33c873c02c74eeaf43d47b950c8d643763b35 hxxps[://]app[.]powerbi[.]com/view?r=eyJrIjoiNTk0NmViNDktYzM1Yy00MjEwLTkyZTctNGU5ZTJmYzMzYjEwIiwidCI6IjU1YTI4YmU2LTFiYzQtNDIzMS05MTA0LTdkMmFlYTVmMGZhNiJ9 hxxps[://]hamham27[.]screenconnect[.]com/Bin/ScreenConnect[.]ClientSetup[.]exe?e=Access&y=Guest&t=ILEAYEASAN hxxps[://]dailylifeproject[.]site/S/ hxxps[://]burnsworth[.]site/S/main[.]html

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Huntress Labs Threat Research →

ตรวจพบพฤติกรรมการโจมตีของกลุ่มแรนซัมแวร์ Akira ผ่านโปรโตคอล RDP ฝังพร็อกซี GOST และใช้ Rclone ขโมยข้อมูลองค์กร

เผยแพร่: 6 ตุลาคม 2569  ·  แหล่งที่มา: Huntress Labs  ·  Admiralty B2

Huntress Labs เปิดเผยรายงานการวิเคราะห์แกะรอยพฤติกรรมการโจมตีแบบครบวงจรของกลุ่มแรนซัมแวร์ Akira ที่พุ่งเป้าเจาะระบบคอมพิวเตอร์ขององค์กรธุรกิจ โดยผู้โจมตีอาศัยข้อมูลประจำตัวที่หลุดรอดเข้าสู่ระบบผ่านพอร์ต Remote Desktop Protocol (RDP) จากนั้นสั่งปิดโปรแกรมแอนติไวรัส ดึงข้อมูลรหัสผ่านจากโปรเซสหน่วยความจำ LSASS ด้วย ProcDump ที่รันจากโฟลเดอร์ C:\PerfLogs ติดตั้งเครื่องมือโอเพนซอร์ส GOST (Go Simple Tunnel) เพื่อสร้างทันเนล C2 แบบเข้ารหัสสำหรับคงสภาพการเข้าถึง และใช้ยูทิลิตี Rclone ถ่ายโอนไฟล์ข้อมูลความลับขององค์กรไปยังคลาวด์ ก่อนปล่อยเพย์โหลด Akira เข้ารหัสข้อมูลบนโฟลเดอร์แชร์ในเครือข่ายทั้งหมด

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อองค์กรธุรกิจและ SMEs ในไทย - ธุรกิจในไทยจำนวนมากยังคงเปิดใช้งานพอร์ต RDP สู่ภายนอกโดยไม่ได้ตั้งค่า VPN หรือขาดการยืนยันตัวตนแบบหลายปัจจัย (MFA) ซึ่งเป็นช่องทางหลักที่กลุ่ม Akira ใช้ในการบุกรุกเครือข่าย หากตกเป็นเหยื่อ ข้อมูลธุรกิจสำคัญอาจถูกขโมยและไฟล์งานถูกเข้ารหัสเรียกค่าไถ่แบบ Double Extortion

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มแรนซัมแวร์ระดับองค์กรยังคงมุ่งเป้าโจมตีธุรกิจขนาดกลางและขนาดย่อมที่มีช่องโหว่ด้านการควบคุมทางเข้าออกของเครือข่าย เพื่อขู่กรรโชกทรัพย์สินและข้อมูลสำคัญ

ยุทธการ: ผู้โจมตีเปลี่ยนจากการใช้มัลแวร์เฉพาะทางมาเป็นเครื่องมือโอเพนซอร์สแบบ Dual-use เช่น GOST และ Rclone เพื่อพรางทราฟฟิกให้กลมกลืนกับการใช้งานปกติขององค์กร

ยุทธวิธี: ผู้ดูแลระบบต้องปิดการเข้าถึงพอร์ต RDP จากภายนอกโดยตรง บังคับใช้ MFA ทุกจุด จำกัดการรันโปรแกรมจากไดเรกทอรี C:\PerfLogs และเฝ้าระวังโปรเซส ProcDump

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจทุกขนาด (Corporate & SMEs), ภาคบริการวิชาชีพ, ระบบเครือข่ายที่เปิดพอร์ต RDP สู่สาธารณะ

MITRE ATT&CK
T1021.001 Remote Desktop Protocol T1562.001 Disable or Modify Tools T1003.001 LSASS Memory T1572 Protocol Tunneling T1567.002 Exfiltration to Cloud Storage T1486 Data Encrypted for Impact
IOC ที่สำคัญ
64.227.4[.]134 1f1bb322591b6d27fd2946e373d7d2efc2f4e1e66818846060d391600b600fba d00833318a04caa019c6f95dcb3598ad947d405010bfb2f3cbd04530a00bc3a4

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Huntress Labs Threat Research →

แคมเปญฟิชชิ่งอีเมลแอบอ้างใบสั่งซื้อสินค้า (PO) ฉวยช่องโหว่ Equation Editor แพร่กระจายมัลแวร์ขโมยข้อมูล SnakeKeylogger

เผยแพร่: 8 ตุลาคม 2569  ·  แหล่งที่มา: AhnLab SEcurity intelligence Center (ASEC)  ·  Admiralty B2

ศูนย์วิจัยความมั่นคงปลอดภัย AhnLab (ASEC) แจ้งเตือนแคมเปญฟิชชิ่งอีเมลที่แอบอ้างเป็นเอกสารยืนยันใบสั่งซื้อสินค้า (Purchase Order - PO) พุ่งเป้าฝ่ายจัดซื้อและฝ่ายขายขององค์กรธุรกิจ โดยแนบไฟล์ DOCX ที่ใช้ฟังก์ชัน altChunk โหลดไฟล์ RTF ฝังอ็อบเจกต์ Equation.3 เพื่อฉวยโอกาสจากช่องโหว่ Microsoft Equation Editor (CVE-2017-11882) รันสคริปต์ VBS ถอดรหัสสภาพแวดล้อม Python 3.12 แบบพกพาไปไว้ในโฟลเดอร์เทมเพลต และประมวลผลสคริปต์ถอดรหัสเพย์โหลดหลายชั้น (Salsa20, ChaCha20, RC4 และ XOR) จนนำไปสู่การติดตั้งมัลแวร์ SnakeKeylogger ขโมยประวัติการกดแป้นพิมพ์ ข้อมูลในคลิปบอร์ด รหัสผ่านที่บันทึกในเว็บเบราว์เซอร์ โปรแกรมอีเมล และไคลเอนต์ FTP ส่งกลับไปยังเซิร์ฟเวอร์ C2 ทางโปรโตคอลอีเมล SMTP

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อฝ่ายจัดซื้อและฝ่ายการเงินของธุรกิจไทย - แผนกจัดซื้อและฝ่ายขายของบริษัทในไทยต้องรับส่งไฟล์ใบสั่งซื้อสินค้า (PO) และใบเสนอราคาทางอีเมลเป็นประจำทุกวัน หากเจ้าหน้าที่เปิดไฟล์แนบโดยไม่ตรวจสอบและเครื่องคอมพิวเตอร์ยังไม่ได้ปิดใช้งาน Equation Editor มัลแวร์จะสามารถขโมยรหัสผ่านบัญชีอีเมลบริษัท บัญชีธนาคารออนไลน์ และข้อมูลคู่ค้าทางธุรกิจได้ทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: อาชญากรไซเบอร์ยังคงใช้ประโยชน์จากเวิร์กโฟลว์ธุรกิจตามปกติ เช่น การออกเอกสารจัดซื้อจัดจ้าง เป็นเหยื่อล่อฟิชชิ่งในการเข้าถึงข้อมูลลับขององค์กร

ยุทธการ: การใช้เทคนิค altChunk ร่วมกับการแตกสภาพแวดล้อม Python ช่วยให้ผู้โจมตีสามารถซ่อนโค้ดและหลบเลี่ยงการตรวจจับของซอฟต์แวร์แอนติไวรัสบนเกตเวย์ได้อย่างแนบเนียน

ยุทธวิธี: องค์กรต้องปิดการทำงานของ Microsoft Equation Editor ผ่าน Group Policy หรือ Windows Registry ทันที และเปิดใช้งานระบบตรวจจับพฤติกรรมการเชื่อมต่อ SMTP ขาออกจากไคลเอนต์ทั่วไป

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

แผนกจัดซื้อ ฝ่ายขาย บัญชีการเงินขององค์กรธุรกิจ (Corporate Procurement & Finance) และผู้ใช้งานโปรแกรมชุด Microsoft Office

MITRE ATT&CK
T1566.001 Spearphishing Attachment T1203 Exploitation for Client Execution T1059.005 Visual Basic T1059.006 Python T1027 Obfuscated Files or Information T1547.001 Registry Run Keys / Startup Folder T1056.001 Keylogging T1555.003 Credentials from Web Browsers T1071.003 Mail Protocols
IOC ที่สำคัญ
0552617f3e2400d7bdac63f91d974be4 22d304d7e8ceae68e3e1c9038c6b9046 3a9699a4de2fdfc04d47e671d6ee11bb cphost17[.]qhoster[.]net exzwzc[.]com

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: AhnLab SEcurity intelligence Center (ASEC) →

FBI และ USSS แจ้งเตือนแคมเปญ "FortiBleed" ขโมยบัญชีผ่าน FortiGate SSL VPN เพื่อยึดสิทธิ์ผู้ดูแลระบบและปล่อยแรนซัมแวร์

เผยแพร่: 6 ตุลาคม 2569  ·  แหล่งที่มา: Federal Bureau of Investigation (FBI) / U.S. Secret Service (USSS)  ·  Admiralty A1

หน่วยงาน FBI และสำนักงานสืบราชการลับแห่งสหรัฐฯ (USSS) ร่วมกับศูนย์รับเรื่องร้องเรียนอาชญากรรมทางอินเทอร์เน็ต (IC3) ออกประกาศแจ้งเตือนภัยคุกคามร่วม (JCSA-20261006-01) ระบุว่าแคมเปญ "FortiBleed" ยังคงมีความเคลื่อนไหวอย่างต่อเนื่องในการพุ่งเป้าอุปกรณ์ไฟร์วอลล์และเกตเวย์ Fortinet FortiGate SSL VPN ขององค์กรธุรกิจ โดยผู้โจมตีไม่ได้ใช้ช่องโหว่ Zero-Day ใหม่ แต่ใช้ข้อมูลบัญชีที่รั่วไหล บันทึกจากมัลแวร์ขโมยข้อมูล (Infostealers) และการยิงรหัสผ่าน (Credential Stuffing/Password Spraying) ร่วมกับการใช้คลัสเตอร์ GPU ถอดรหัสพาสเวิร์ดแฮช SHA-256 แบบออฟไลน์ เพื่อล็อกอินเข้าสู่อุปกรณ์ผ่านพร็อกซี สร้างบัญชีแอดมินปลอม เปลี่ยนรหัสผ่านตัดสิทธิ์ผู้ดูแลระบบตัวจริง (Account Access Removal) และส่งต่อสิทธิ์การเข้าถึงให้แก่กลุ่มแรนซัมแวร์ เช่น INC Ransom, Lynx และ Payload เข้าติดตั้งแรนซัมแวร์ในระบบเครือข่ายองค์กร

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับวิกฤตต่อโครงสร้างพื้นฐานเครือข่ายขององค์กรในไทย - อุปกรณ์ไฟร์วอลล์และ SSL VPN ของ Fortinet เป็นหนึ่งในโซลูชันเชื่อมต่อระยะไกลที่ได้รับความนิยมสูงสุดในประเทศไทยทั้งในองค์กรขนาดใหญ่และ SMEs อุปกรณ์ที่ยังเปิดหน้าล็อกอินแอดมินสู่อินเทอร์เน็ตสาธารณะ ขาดการเปิดใช้งาน MFA หรือใช้รหัสผ่านที่เคยรั่วไหล มีความเสี่ยงสูงที่จะถูกยึดครองระบบและล็อกสิทธิ์ผู้ดูแลระบบทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: อุปกรณ์รักษาความปลอดภัยที่ติดตั้งบริเวณชายขอบเครือข่าย (Edge Devices) กลายเป็นเป้าหมายหลักในการเจาะระบบเพื่อเป็นฐานที่มั่นสำหรับกระจายแรนซัมแวร์ทั่วองค์กร

ยุทธการ: ผู้โจมตีเปลี่ยนผ่านจากการแฮกช่องโหว่ซอฟต์แวร์มาเป็นการใช้ประโยชน์จากบัญชีหลุดรอด (Identity-based attacks) ร่วมกับการถอดรหัสแบบกระจายศูนย์ ทำให้การป้องกันด้วยไฟร์วอลล์เดิมไม่ได้ผล

ยุทธวิธี: ผู้ดูแลระบบต้องปิดการเข้าถึงหน้าบริหารจัดการ (Admin Interface) จากอินเทอร์เน็ตสาธารณะ บังคับใช้ MFA แบบทนทานต่อฟิชชิ่ง อัปเกรดการเก็บรหัสผ่านเป็น PBKDF2 และรีเซ็ตรหัสผ่าน VPN ทันที

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจทุกกลุ่มอุตสาหกรรม (Corporate & Enterprise IT), สถาบันที่ใช้งาน Fortinet FortiGate SSL VPN และระบบการทำงานแบบรีโมต

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1110.003 Password Spraying T1110.004 Credential Stuffing T1110.002 Password Cracking T1078 Valid Accounts T1136.001 Local Account T1531 Account Access Removal T1041 Exfiltration Over C2 Channel
IOC ที่สำคัญ
45.154.12[.]132 154.202.59[.]169 103.27.186[.]156 45.155.250[.]158 85.11.187[.]8 193.8.187[.]2

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: FBI & USSS Joint Cybersecurity Advisory (IC3) →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามไซเบอร์ภาคองค์กรธุรกิจสัปดาห์นี้ชี้ให้เห็นถึงความเสี่ยงจากการแอบอ้างเครื่องมือคลาวด์ Power BI ส่งมัลแวร์รีโมต การบุกรุกของแรนซัมแวร์ Akira ผ่าน RDP การหลอกล่อด้วยใบสั่งซื้อสินค้าปล่อย SnakeKeylogger และการยึดอุปกรณ์ FortiGate SSL VPN เพื่อปล่อยแรนซัมแวร์ องค์กรธุรกิจและ SMEs ควรเร่งปิดช่องทางเข้าถึงที่ไม่จำเป็นและบังคับใช้ MFA อย่างเข้มงวด

TLP:CLEAR

ห้วงเวลาข้อมูล: 5-11 ตุลาคม 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)