Energy & Utilities Sector Weekly Report
ห้วงเวลา: 5-11 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 5-11 ตุลาคม 2569 ภาพรวมภัยคุกคามความมั่นคงปลอดภัยไซเบอร์ในภาคพลังงานและสาธารณูปโภค (Energy & Utilities) มีความเสี่ยงอยู่ในระดับสูงอย่างมีนัยสำคัญ โดยตรวจพบความเคลื่อนไหวของกลุ่มผู้โจมตีที่มุ่งเป้าโจมตีโครงสร้างพื้นฐานสำคัญ (Critical Infrastructure) และระบบเทคโนโลยีปฏิบัติการ (Operational Technology: OT) ผ่าน 4 ปฏิบัติการสำคัญ ประการแรก ทีมนักวิจัย SOCRadar ตรวจพบ CyberXero โบรกเกอร์ผู้เปิดทางเข้าถึงระบบ (IAB) ที่นำโมเดล AI มาจัดระเบียบการโจมตี (AI Orchestration Layer) ควบคู่เอเจนต์เจาะระบบอัตโนมัติพุ่งเป้าโครงสร้างพื้นฐานพลังงานและสาธารณูปโภค ประการที่สอง ปฏิบัติการมัลแวร์เรียกค่าไถ่ Emperador พัฒนาด้วยภาษา Rust ใช้โมเดลขู่กรรโชกสองชั้น (Double Extortion) และเผยแพร่ข้อมูลสัญญาซื้อขายไฟฟ้า (PPA) ของโครงการพลังงานหมุนเวียนที่ถูกโจรกรรม ประการที่สาม บริษัท ESET ตรวจพบวิวัฒนาการของมัลแวร์ MATCHBOIL พัฒนาด้วยภาษา C# ภายใต้การควบคุมของกลุ่ม UAC-0099 มุ่งเป้าจารกรรมข้อมูลเชิงยุทธศาสตร์ขององค์กรในภาคพลังงานและโลหะวิทยา และประการสุดท้าย หน่วยงาน Unit 42 เผยแพร่รายงานแคมเปญ Blinder Tunnel จากกลุ่มเชื่อมโยงอิหร่าน CL-STA-1178 ที่ลวงเหยื่อด้วยไฟล์โครงงานภาษา C# ปลอม ฝังโค้ดผ่าน AppDomainManager และใช้ Chisel ลักลอบสร้างอุโมงค์เชื่อมต่อเครือข่ายโครงสร้างพื้นฐานสำคัญ
ทีมนักวิจัยความมั่นคงปลอดภัย SOCRadar (STRU) เผยแพร่รายงานการเฝ้าระวังกลุ่มผู้โจมตี CyberXero ซึ่งทำหน้าที่เป็นโบรกเกอร์ผู้เปิดทางเข้าถึงระบบ (Initial Access Broker - IAB) ที่ใช้ภาษารัสเซียเป็นหลัก โดยกลุ่มนี้ได้พัฒนากลไกจัดการโจมตีด้วยปัญญาประดิษฐ์ (AI Orchestration Layer) ควบคุมเอเจนต์อัตโนมัติมากกว่า 50 ตัว เช่น scada-attacker, exploit-chainer และ lateral-movement เพื่อดำเนินการสแกน สำรวจ และเจาะระบบโครงสร้างพื้นฐานด้านพลังงานและสาธารณูปโภคอย่างแม่นยำ จากความผิดพลาดในการตั้งค่าไดเรกทอรีเปิด (Open Directory) ของผู้โจมตี ทำให้นักวิจัยสามารถตรวจพบประวัติบันทึกคำสั่ง AI สคริปต์อัตโนมัติ และข้อมูลที่ถูกโจรกรรมซึ่งครอบคลุมผู้ใช้งานมากกว่า 628,000 รายการ
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - องค์กรในภาคพลังงาน โครงข่ายระบบส่งไฟฟ้า และระบบสาธารณูปโภคน้ำของไทยกำลังอยู่ในช่วงการเชื่อมต่ออุปกรณ์ดิจิทัลและ IoT สู่ศูนย์ควบคุม แม้การโจมตีโดยตรงจะพุ่งเป้าไปที่ยูเครนเป็นหลัก แต่การที่กลุ่ม IAB พัฒนาเวิร์กโฟลว์ AI Orchestration สำเร็จ ย่อมเปิดโอกาสให้เครื่องมือและเทคนิคการโจมตีอัตโนมัตินี้แพร่กระจายไปยังตลาดมืดใต้ดิน ส่งผลให้ผู้ให้บริการโครงสร้างพื้นฐานสำคัญในไทยมีความเสี่ยงที่จะถูกบอทสแกนและเจาะระบบเพิ่มขึ้นอย่างก้าวกระโดด
ยุทธศาสตร์: กลุ่มผู้ไม่หวังดีเริ่มเปลี่ยนผ่านจากการเจาะระบบด้วยแรงงานมนุษย์ไปสู่การใช้อัตโนมัติขั้นสูงด้วย AI Multi-Agent เพื่อค้นหาช่องโหว่บนโครงข่ายพลังงานและขายสิทธิ์การเข้าถึงให้กลุ่มแรนซัมแวร์หรือกลุ่มจารกรรมระดับรัฐ
ยุทธการ: ผู้โจมตีผสานเครื่องมือสแกนระดับคอมโมดิตีเข้ากับโมเดล AI ขั้นสูงเพื่อจำลองและวิเคราะห์ระบบ SCADA/ICS แบบอัตโนมัติ ช่วยลดระยะเวลาจากขั้นตอนเริ่มต้นจนถึงการเจาะลึกเครือข่ายภายในได้อย่างรวดเร็ว
ยุทธวิธี: ผู้ดูแลระบบโครงข่ายพลังงานและไอทีต้องตรวจสอบพฤติกรรมการเรียกใช้ API ภายนอก ตรวจหาพฤติกรรมการสแกนที่ผิดปกติจากไอพี C2 ของกลุ่ม CyberXero และจำกัดการเข้าถึงหน้าเว็บคอนโซลจัดการอุปกรณ์จากอินเทอร์เน็ตสาธารณะ
ภาคพลังงานและระบบส่งไฟฟ้า (Energy & Power Grid), โครงสร้างพื้นฐานสาธารณูปโภค (Utilities), ผู้ดูแลระบบ WordPress และระบบอีคอมเมิร์ซ
ทีมนักวิจัยความมั่นคงปลอดภัย CyberXTron ตรวจพบการเคลื่อนไหวของกลุ่มมัลแวร์เรียกค่าไถ่ Emperador ซึ่งเปิดตัวปฏิบัติการในรูปแบบ Ransomware-as-a-Service (RaaS) บนเครือข่าย Tor ตั้งแต่เดือนสิงหาคมและมีความเคลื่อนไหวต่อเนื่องถึงเดือนตุลาคม 2569 โดยมีรายชื่อเหยื่อ 37 องค์กรใน 19 ประเทศ ทั้งในกลุ่มอุตสาหกรรมการผลิต การขนส่ง และภาคพลังงานและสาธารณูปโภค มัลแวร์ตัวเข้ารหัสถูกพัฒนาด้วยภาษา Rust มีขนาดไฟล์ไม่เกิน 1 MB รองรับทั้ง Windows และ Linux โดยใช้อัลกอริทึม ChaCha20 ในการเข้ารหัสข้อมูล ร่วมกับการนำข้อมูลสำคัญออกสู่ภายนอกเพื่อขู่กรรโชกสองชั้น (Double Extortion) ซึ่งตรวจพบการปล่อยไฟล์ข้อมูลโครงการพลังงานหมุนเวียนและสัญญาซื้อขายไฟฟ้า (PPA) ขนาดกว่า 12 GB
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - องค์กรภาคพลังงานและผู้พัฒนาโครงการพลังงานทดแทนในประเทศไทยกำลังขยายการทำสัญญาซื้อขายไฟฟ้า (PPA) ทั้งในระดับองค์กรและข้ามพรมแดน หากระบบไอทีถูกเจาะและข้อมูลสัญญาลับทางธุรกิจรั่วไหล จะสร้างความเสียหายทางพาณิชย์อย่างรุนแรง นอกจากนี้ ตัวมัลแวร์ที่พัฒนาด้วยภาษา Rust ยังมีความสามารถในการทำงานข้ามระบบปฏิบัติการและหลบเลี่ยงการตรวจจับของซอฟต์แวร์แอนติไวรัสแบบดั้งเดิมได้ดี
ยุทธศาสตร์: ตลาด RaaS หันมาใช้โมเดลแบ่งผลกำไรสูงถึงร้อยละ 90 เพื่อดึงดูดพันธมิตรและโบรกเกอร์เปิดทาง (IAB) ส่งผลให้องค์กรโครงสร้างพื้นฐานและพลังงานทั่วโลกกลายเป็นเป้าหมายหลักในการกรรโชกทรัพย์
ยุทธการ: ผู้โจมตีเน้นยุทธวิธีขโมยข้อมูลลับเฉพาะด้าน เช่น สัญญาซื้อขายพลังงานและพิมพ์เขียวโครงการ เพื่อใช้เป็นอำนาจต่อรองกดดันการจ่ายค่าไถ่ แม้ในกรณีที่ระบบสำรองข้อมูลจะไม่ถูกเข้ารหัสก็ตาม
ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องตรวจสอบไฟล์ปฏิบัติการภาษา Rust ที่ไม่ผ่านการลงนามดิจิทัล บล็อกการเชื่อมต่อโดเมนเครือข่าย Tor และจำกัดการเข้าถึงบัญชีผู้ดูแลระบบที่ควบคุมฐานข้อมูลสัญญาและเอกสารโครงการ
ภาคพลังงานและสาธารณูปโภค (Energy & Utilities), ภาคอุตสาหกรรมการผลิต (Manufacturing), ภาคการขนส่งและโลจิสติกส์, หน่วยงานภาครัฐ
ทีมนักวิจัยความมั่นคงปลอดภัย ESET Research เผยแพร่งานวิจัยวิเคราะห์วิวัฒนาการของมัลแวร์ MATCHBOIL ซึ่งเป็นซอฟต์แวร์ดาวน์โหลดเดอร์ที่พัฒนาด้วยภาษา C# ของกลุ่มภัยคุกคาม UAC-0099 ที่เชื่อมโยงกับรัสเซีย โดยมุ่งเป้าโจมตีหน่วยงานรัฐ สถาบันการเงิน และองค์กรในภาคพลังงานและโลหะวิทยา มัลแวร์ตัวนี้ทำหน้าที่ติดต่อเซิร์ฟเวอร์ควบคุม (C2) เพื่อดาวน์โหลดเพย์โหลดขั้นตอนถัดไป ติดตั้งระบบ และสร้างความคงทนผ่าน Scheduled Task หรือ Registry Run Key โดยในเวอร์ชันล่าสุดผู้โจมตีได้ยกระดับการพรางโค้ดจากการใช้สัญลักษณ์ Unicode มาเป็นการใช้เครื่องมือ Eziriz .NET Reactor ควบคู่การตรวจสอบสภาพแวดล้อมเพื่อหลบเลี่ยงระบบแซนด์บ็อกซ์
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - องค์กรด้านพลังงานและระบบสาธารณูปโภคในไทยมีระบบบริหารจัดการที่พึ่งพาซอฟต์แวร์บนสภาพแวดล้อม .NET Framework และ C# เป็นจำนวนมาก เทคนิคการพรางโค้ดด้วย Eziriz .NET Reactor และการใช้สคริปต์ WMI หรือ Visual Basic ในการฝังตัวสร้างความคงทน เป็นรูปแบบการโจมตีที่ระบบตรวจจับทั่วไปอาจมองข้าม จึงจำเป็นต้องเฝ้าระวังตัวชี้วัดภัยคุกคามและโดเมน C2 ที่ตรวจพบ
ยุทธศาสตร์: กลุ่มจารกรรมข้อมูลระดับรัฐพัฒนาเครื่องมือเฉพาะทางอย่างต่อเนื่องเพื่อรักษาขีดความสามารถในการเข้าถึงระบบเป้าหมายทางยุทธศาสตร์พลังงานระยะยาว
ยุทธการ: ผู้โจมตียกระดับการหลบเลี่ยงการตรวจจับโดยนำเครื่องมือบดบังโค้ดระดับพาณิชย์มาใช้ ร่วมกับการตั้งเวลารันงานผ่าน Scheduled Tasks เพื่อให้เพย์โหลดหลักทำงานเฉพาะเมื่อผ่านการตรวจสอบความปลอดภัย
ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องตรวจสอบการสร้าง Scheduled Task ที่น่าสงสัย บล็อกการเชื่อมต่อโดเมน C2 และสแกนไบนารี .NET ที่มีการบรรจุโค้ดแบบบดบังความชัดเจนผิดปกติ
ภาคพลังงาน (Energy), ภาคอุตสาหกรรมโลหะวิทยาและการผลิต (Metallurgy & Manufacturing), หน่วยงานภาครัฐ, สถาบันการเงิน
ทีมนักวิจัยความมั่นคงปลอดภัย Unit 42 ตรวจพบแคมเปญ "Blinder Tunnel" ดำเนินการโดยกลุ่มภัยคุกคามที่มีความเชื่อมโยงกับอิหร่าน (ประเมินด้วยความเชื่อมั่นสูง) ภายใต้รหัสติดตาม CL-STA-1178 มุ่งเป้าโจมตีหน่วยงานโครงสร้างพื้นฐานสำคัญ เช่น โทรคมนาคม การบิน และสาธารณูปโภค ผู้โจมตีใช้อีเมลหลอกลวงแอบอ้างฝ่ายไอทีส่งไฟล์โจทย์ทดสอบการเขียนโปรแกรม (.csproj) ที่ฝังโค้ดอันตราย เพื่อทำ AppDomainManager Hijacking ร่วมกับการโหลดไฟล์ DLL ปลอม (DLL Sideloading) ในการติดตั้งมัลแวร์ ShelbyLoader V2 และใช้โครงสร้างพื้นฐานของ GitHub (API, Repositories และ Issues) เป็นช่องทางสำรองในการควบคุมสั่งการ (C2) ควบคู่การใช้เครื่องมือ Chisel ลักลอบสร้างอุโมงค์ส่งผ่านข้อมูล
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - องค์กรผู้ดูแลโครงสร้างพื้นฐานสำคัญและหน่วยงานพลังงานในประเทศไทยมีการจัดจ้างหรือรับสมัครบุคลากรสายเทคโนโลยีและนักพัฒนาซอฟต์แวร์อย่างต่อเนื่อง การโจมตีด้วยไฟล์โครงการพัฒนาโปรแกรม (.csproj) ที่มีโค้ดแฝงสามารถเลี่ยงการสแกนความปลอดภัยและเจาะลึกสู่เครือข่ายภายในผ่านอุโมงค์ Chisel ได้โดยตรง จึงเป็นรูปแบบภัยคุกคามที่ต้องเฝ้าระวังอย่างใกล้ชิด
ยุทธศาสตร์: ภัยคุกคามระดับรัฐขยายเป้าหมายสู่โครงสร้างพื้นฐานพลเรือน โดยอาศัยแพลตฟอร์มคลาวด์สาธารณะที่น่าเชื่อถืออย่าง GitHub เพื่อพรางการจราจรข้อมูล C2 ให้กลมกลืนกับเครือข่ายองค์กร
ยุทธการ: ผู้โจมตีประยุกต์ใช้เทคนิค Living-off-the-Land และเครื่องมือ Open-Source แบบคู่ขนาน (Dual-Use Tools) เช่น Chisel เพื่อเจาะช่องทางเครือข่ายหลบเลี่ยงไฟร์วอลล์และระบบตรวจจับภัยคุกคาม
ยุทธวิธี: หน่วยงานไอทีต้องจำกัดสิทธิ์การรันโค้ดภายนอกบนเครื่องของนักพัฒนา ตรวจสอบการโหลดไฟล์ .NET AppDomainManager ที่ผิดปกติ และเฝ้าระวังทราฟฟิกขาออกไปยังปลายทางเครือข่ายที่ผิดวิสัย
หน่วยงานโครงสร้างพื้นฐานสำคัญ (Critical Infrastructure), ภาคโทรคมนาคม (Telecommunications), ภาคการบินพลเรือน (Civil Aviation), ผู้ดูแลระบบไอทีและนักพัฒนาซอฟต์แวร์