Education and Research Sector Cyber Threat Intelligence Weekly Report
ห้วงเวลา: 5-11 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 5-11 ตุลาคม 2569 สถานการณ์ภัยคุกคามทางไซเบอร์ต่อภาคการศึกษาและสถาบันวิจัยทวีความซับซ้อนและมีทิศทางพุ่งเป้าอย่างมีนัยสำคัญใน 4 มิติหลัก ประการแรก กลุ่มภัยคุกคามระดับสูง UAT-11985 ดำเนินแคมเปญสเปียร์ฟิชชิ่งพุ่งเป้าบุคคลากรในสถาบันวิจัยและมหาวิทยาลัย โดยสร้างบัตรเชิญสัมมนาวิชาการจำลองด้วย AI และใช้ชุดเครื่องมือฟิชชิ่ง AitM เชื่อมต่อสตรีม WebSocket แบบเรียลไทม์เพื่อข้ามผ่านระบบความปลอดภัย MFA ประการที่สอง มีการเปิดเผยการฉวยใช้ช่องโหว่รุนแรง Unauthenticated OS Command Injection บน Zimbra Collaboration Suite (CVE-2026-73570) ที่ถูกขึ้นบัญชี CISA KEV ซึ่งส่งผลกระทบโดยตรงต่อระบบรับส่งอีเมลของมหาวิทยาลัยและสถาบันการศึกษา ประการที่สาม ตรวจพบการสแกนและพยายามเจาะช่องโหว่ Arbitrary File Access บนระบบ Atlassian (CVE-2026-21589) ซึ่งเป็นแพลตฟอร์มบริหารโครงการวิจัยและสารสนเทศยอดนิยมในสถาบันอุดมศึกษา และประการสุดท้าย หน่วยงานความมั่นคง CISA และพันธมิตรระหว่างประเทศออกประกาศเตือนภัยร่วม (AA26-281A) ถึงพฤติกรรมของกลุ่มจารกรรมไซเบอร์ที่เชื่อมโยงกับรัฐบาลจีน ซึ่งผสมผสานเครื่องมือสแกนอัตโนมัติ เครือข่ายพร็อกซี และมัลแวร์ขโมยข้อมูล มุ่งเจาะเครือข่ายสถาบันวิจัยและอุดมศึกษาเพื่อขโมยทรัพย์สินทางปัญญาและข้อมูลงานวิจัยที่มีความอ่อนไหวสูง
ทีมนักวิจัย Cisco Talos ตรวจพบแคมเปญสเปียร์ฟิชชิ่งของกลุ่ม APT รหัส UAT-11985 ที่พุ่งเป้าบุคลากรของสถาบันวิจัยและองค์กรเชิงนโยบาย ผู้โจมตีนำข้อมูลสัมมนาวิชาการที่มีอยู่จริง เช่น จากศูนย์สหภาพยุโรปศึกษาและสถาบันความสัมพันธ์ระหว่างประเทศ มาสร้างอีเมลเชิญร่วมงานที่มีโครงสร้างภาษาคล้ายคลึงกันอย่างเป็นแบบแผน ซึ่งชี้ให้เห็นถึงการใช้ Generative AI ในการปรับแต่งเนื้อหาให้เข้ากับเหยื่อแต่ละรายอย่างรวดเร็ว พร้อมทั้งดัดแปลงโปสเตอร์งานด้วย QR code มุ่งร้าย (Quishing) โดยลิงก์จะนำเหยื่อเข้าสู่หน้าฟิชชิ่ง Google แบบ Adversary-in-the-Middle (AitM) ที่ทำงานร่วมกันระหว่าง HTTP POST เพื่อขโมยลายนิ้วมือเครื่องและข้อมูลระบุตัวตน กับช่องทาง WebSocket แบบเรียลไทม์เพื่อซิงโครไนซ์ขั้นตอนยืนยันตัวตนหลายปัจจัย (MFA) ส่งผลให้ผู้โจมตีสามารถดักจับ Session Token และยึดบัญชีได้อย่างสมบูรณ์ ทั้งนี้ Talos ประเมินด้วยความเชื่อมั่นปานกลางว่าผู้พัฒนาชุดฟิชชิ่งนี้ใช้ภาษาจีนตัวย่อเป็นภาษาหลัก
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันวิจัยและนักวิชาการในไทย เนื่องจากนักวิจัยและคณาจารย์มหาวิทยาลัยในไทยที่ทำงานร่วมกับสถาบันวิจัยในภูมิภาคเอเชียตะวันออกและเอเชียตะวันออกเฉียงใต้ มีโอกาสตกเป็นเป้าหมายของอีเมลเชิญร่วมสัมมนานานาชาติ หากบุคลากรหลงเชื่อและลงชื่อเข้าใช้งานผ่านระบบ AitM อาจทำให้บัญชี Google Workspace ของมหาวิทยาลัยและข้อมูลงานวิจัยสำคัญถูกเข้าถึงได้
ยุทธศาสตร์: สถาบันวิจัยและมหาวิทยาลัยเป็นเป้าหมายสำคัญของการจารกรรมข่าวกรองนโยบายและเทคโนโลยี โดยผู้โจมตีนำ AI มาช่วยผลิตเนื้อหาฟิชชิ่งที่แนบเนียนและน่าเชื่อถือในปริมาณมาก
ยุทธการ: ผู้โจมตีผสานการวิศวกรรมสังคมแบบผสม ทั้งสเปียร์ฟิชชิ่งทางอีเมล โปสเตอร์ทางกายภาพ และเฟรมเวิร์ก AitM สตรีมมิงผ่าน WebSocket เพื่อเอาชนะกลไกความปลอดภัย MFA มาตรฐาน
ยุทธวิธี: หน่วยงานวิจัยต้องยกระดับการยืนยันตัวตนไปสู่มาตรฐาน FIDO2 หรือฮาร์ดแวร์ Passkey ที่ทนทานต่อการโจมตีแบบ AitM พร้อมทั้งบล็อกการเชื่อมต่อไปยังโดเมนและไอพีของเซิร์ฟเวอร์ C2 ทันที
สถาบันวิจัย องค์กรคลังสมองด้านนโยบาย มหาวิทยาลัย สถาบันอุดมศึกษา และผู้ใช้งานระบบยืนยันตัวตน Google Account
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
รายงานแจ้งเตือนภัยคุกคามเปิดเผยรายละเอียดช่องโหว่รหัส CVE-2026-73570 (CVSS 8.9 HIGH) บนแพลตฟอร์มระบบอีเมล Zimbra Collaboration Suite (ZCS) ซึ่งได้รับการขึ้นบัญชีในแคตตาล็อก Known Exploited Vulnerabilities (KEV) ของ CISA ช่องโหว่นี้เกิดจากข้อผิดพลาดในคอมโพเนนต์แจ้งเตือน SNMP (zimbra-snmp) โดยผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตนสามารถส่งทราฟฟิก SMTP ที่สร้างขึ้นเป็นพิเศษเพื่อสั่งรันคำสั่งบนระบบปฏิบัติการได้โดยตรงในสิทธิ์ของผู้ใช้ zimbra จากข้อมูลการเฝ้าระวังพบการโจมตีหลังการเจาะระบบ (Post-Exploitation) อย่างกว้างขวาง ทั้งการติดตั้ง JSP เว็บเชลล์บนไดเรกทอรีของ Jetty การยกระดับสิทธิ์สู่ root ด้วยชุดเครื่องมือ Looptik LPE การขโมยข้อมูลรหัสผ่านและฐานข้อมูลกล่องข้อความ ตลอดจนการฝังโปรแกรมขุดเหรียญและมัลแวร์ควบคุมระยะไกล
มีความเสี่ยงโดยตรงในระดับสูง เนื่องจากมหาวิทยาลัย สถาบันอาชีวศึกษา และโรงเรียนหลายแห่งในประเทศไทยยังคงติดตั้งและใช้งานเซิร์ฟเวอร์ Zimbra Collaboration แบบ On-premise สำหรับระบบอีเมลของคณาจารย์และนักศึกษา หากระบบเปิดให้เข้าถึงได้จากอินเทอร์เน็ตและเปิดใช้งานโมดูล zimbra-snmp โดยยังไม่ได้อัปเกรดเป็นเวอร์ชัน 10.1.20 ขึ้นไป จะตกเป็นเป้าหมายของการเจาะระบบและการดักข้อมูลรับส่งภายในสถาบัน
ยุทธศาสตร์: เซิร์ฟเวอร์รับส่งอีเมลของสถานศึกษาถือเป็นหัวใจของการติดต่อสื่อสารทางวิชาการและเป็นจุดศูนย์รวมข้อมูลสำคัญ การถูกแทรกซึมทำให้เกิดความเสียหายต่อความน่าเชื่อถือและข้อมูลส่วนบุคคลในวงกว้าง
ยุทธการ: ผู้โจมตีเปลี่ยนจากการสแกนภายนอกไปสู่การยกระดับสิทธิ์ในแนวดิ่งอย่างรวดเร็วผ่านคำสั่งและสคริปต์อัตโนมัติ เพื่อติดตั้งแบ็กดอร์และฝังตัวถาวรในโครงสร้างพื้นฐานเซิร์ฟเวอร์
ยุทธวิธี: ผู้ดูแลระบบต้องเร่งอัปเกรด ZCS เป็นเวอร์ชัน 10.1.20 หรือปิดการใช้งานแพ็กเกจ zimbra-snmp ชั่วคราว พร้อมตรวจสอบหาไฟล์ JSP ผิดปกติในไดเรกทอรี mailboxd ทันที
สถาบันการศึกษา มหาวิทยาลัย หน่วยงานวิจัย ผู้ให้บริการระบบอีเมล และเซิร์ฟเวอร์ Zimbra Collaboration Suite ที่เปิดบริการ SMTP สู่เครือข่ายภายนอก
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ศูนย์เฝ้าระวังความมั่นคงปลอดภัยอินเทอร์เน็ต SANS Internet Storm Center (ISC) ตรวจพบกิจกรรมการสแกนและการพยายามฉวยใช้ช่องโหว่ Arbitrary File Access รหัส CVE-2026-21589 บนผลิตภัณฑ์ Atlassian (ครอบคลุม Jira, Confluence และ Bitbucket) โดยผู้โจมตีอาศัยเทคนิค Path Traversal รูปแบบพิเศษที่ใช้เครื่องหมายโคลอนคู่ (::) แทนเครื่องหมายสแลช เช่น ..::..::..::..::..::WEB-INF::web.xml เพื่อหลบเลี่ยงการตรวจสอบของระบบและอ่านไฟล์สำคัญภายในเว็บแอปพลิเคชันโดยไม่ต้องผ่านการยืนยันตัวตน จากการวิเคราะห์ฮันนีพอตของ SANS พบการส่งคำขอโจมตีอย่างต่อเนื่องจากกลุ่มไอพีที่โฮสต์อยู่บน DigitalOcean ซึ่งชี้ชัดว่าเป็นแคมเปญสแกนหาเป้าหมายอัตโนมัติจากผู้โจมตีกลุ่มเดียวกัน เพื่อลอบดึงข้อมูลไฟล์ตั้งค่าระบบ รหัสผ่าน และกุญแจความลับ
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อศูนย์คอมพิวเตอร์และคณะวิชาในไทย เนื่องจากแพลตฟอร์ม Atlassian Confluence และ Jira มีการติดตั้งใช้งานอย่างกว้างขวางในสถาบันอุดมศึกษาและห้องปฏิบัติการวิจัยของไทย เพื่อใช้เป็นคลังจัดเก็บเอกสารโครงงานวิจัย แผนงานพัฒนา และซอร์สโค้ด หากเซิร์ฟเวอร์เปิดสู่อินเทอร์เน็ตสาธารณะโดยไม่มีการจำกัดสิทธิ์ อาจถูกสแกนเจาะข้อมูลงานวิจัยและคีย์ความปลอดภัยของระบบ
ยุทธศาสตร์: ซอฟต์แวร์สนับสนุนการทำงานร่วมกันทางวิชาการตกเป็นเป้าหมายของการสอดแนมข้อมูลเบื้องต้น เพื่อค้นหาข้อมูลประจำตัวและเส้นทางการเข้าถึงโครงสร้างพื้นฐานส่วนใน
ยุทธการ: ผู้โจมตีนำเทคนิคหลบเลี่ยงการกรองพาธด้วยสัญลักษณ์เฉพาะมาผสานกับการใช้เซิร์ฟเวอร์คลาวด์สาธารณะในการยิงคำขอสแกนความเร็วสูง
ยุทธวิธี: ฝ่ายเทคโนโลยีสารสนเทศของสถานศึกษาต้องอัปเดตแพตช์ความปลอดภัยที่ Atlassian เผยแพร่เมื่อวันที่ 5 ตุลาคม 2569 ทันที และบล็อกกลุ่มไอพีผู้สแกนบนไฟร์วอลล์เครือข่าย
สถาบันอุดมศึกษา มหาวิทยาลัย ห้องปฏิบัติการวิจัย หน่วยงานพัฒนาซอฟต์แวร์ และระบบเซิร์ฟเวอร์ Atlassian Jira, Confluence, Bitbucket
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
สำนักงานรักษาความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ร่วมกับ FBI, NSA และหน่วยงานพันธมิตรด้านความมั่นคงไซเบอร์ระดับนานาชาติ ออกประกาศเตือนภัยร่วมรหัส AA26-281A ระบุพฤติกรรมของกลุ่มภัยคุกคามทางไซเบอร์ที่มีความเชื่อมโยงกับรัฐบาลจีน ซึ่งได้รับการสนับสนุนจากบริษัท Integrity Technology Group โดยกลุ่มนี้มีความเคลื่อนไหวในการผสานการใช้งานเครื่องมือสแกนอัตโนมัติ บอตเน็ตขนาดใหญ่ และเทคนิคการเจาะระบบแบบเฉพาะเจาะจง เพื่อเข้าถึงและขโมยข้อมูลที่มีความสำคัญจากองค์กรต่างๆ ทั่วโลก รวมถึงสถาบันการศึกษาและวิจัย โดยฉวยใช้ช่องโหว่บนเว็บแอปพลิเคชันและบริการอีเมล Microsoft Exchange จากนั้นใช้เทคนิค Living-off-the-land, ติดตั้งเว็บเชลล์ และมัลแวร์ Curlc4 เพื่อสกัดอีเมล บัญชีผู้ใช้ และผลงานวิจัยเชิงยุทธศาสตร์อย่างต่อเนื่อง
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันวิจัยวิทยาศาสตร์และเทคโนโลยีในไทย องค์กรการศึกษาและศูนย์วิจัยด้านวิศวกรรม เทคโนโลยีชีวภาพ และปัญญาประดิษฐ์ในประเทศไทยที่มีโครงการร่วมมือหรือมีข้อมูลทรัพย์สินทางปัญญามูลค่าสูง อาจตกเป็นเป้าหมายของการสอดแนมและจารกรรมข้อมูลเพื่อประโยชน์เชิงการแข่งขันระดับนานาชาติ
ยุทธศาสตร์: ภัยคุกคามระดับรัฐมุ่งเป้าโจมตีภาคการศึกษาและสถาบันวิจัยเพื่อย่นระยะเวลาการวิจัยและพัฒนา และสร้างความได้เปรียบเชิงยุทธศาสตร์ด้านเทคโนโลยีขั้นสูง
ยุทธการ: ผู้โจมตีเปลี่ยนผ่านจากการใช้มัลแวร์สำเร็จรูปมาพึ่งพาเครือข่ายเราเตอร์พร็อกซีและเครื่องมือ Living-off-the-land เพื่อทำให้การตรวจจับย้อนรอยเป็นไปได้ยาก
ยุทธวิธี: ผู้ดูแลระบบเครือข่ายของมหาวิทยาลัยต้องปิดกั้นบริการและพอร์ตที่ไม่ได้ใช้งาน ตรวจสอบความถูกต้องของข้อมูลนำเข้าในเว็บแอปพลิเคชัน และเปิดใช้งาน MFA ในทุกจุดเชื่อมต่อ
สถาบันอุดมศึกษา สถาบันวิจัยวิทยาศาสตร์และเทคโนโลยี โครงสร้างพื้นฐานสำคัญ ภาครัฐ และระบบบริการ Microsoft Exchange
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง