Financial Services & Banking Sector Weekly Report
ห้วงเวลา: 5-11 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 5-11 ตุลาคม 2569 ภาพรวมสถานการณ์ภัยคุกคามความมั่นคงปลอดภัยไซเบอร์ในภาคการเงินและการธนาคาร (Financial Services & Banking) จัดอยู่ในระดับความเสี่ยงสูง (High Risk) จากความเคลื่อนไหวของกลุ่มผู้โจมตีที่มีการพัฒนาเครื่องมือและกลวิธีทางเทคนิคอย่างก้าวกระโดด ประการแรก พบผู้โจมตีไม่ทราบฝ่ายใช้เครื่องมือทดสอบเจาะระบบเอไออัตโนมัติ ARTEX ร่วมกับโมเดลภาษาขนาดใหญ่ (LLM) มุ่งเป้าเจาะระบบบริการสินเชื่อและระบบพนักงานของสถาบันการเงินในเกาหลีใต้ ประการที่สอง กลุ่มภัยคุกคามระดับรัฐ TraderTraitor ดำเนินแคมเปญห่วงโซ่อุปทานโดยปลอมแปลง Terraform Provider เพื่อส่งมัลแวร์แบ็กดอร์ FLATROOF และ ROOFDECK เจาะระบบคอมพิวเตอร์ของนักพัฒนาภาคสินทรัพย์ดิจิทัล ประการที่สาม ตรวจพบส่วนขยายเบราว์เซอร์ Firefox อันตรายจำนวน 16 รายการที่ลอกเลียนแบบอินเทอร์เฟซของกระเป๋าเงินดิจิทัล Rabby และ OKX เพื่อดักขโมย Seed Phrase และ Private Key ส่งต่อไปยังเซิร์ฟเวอร์ Cloudflare Workers และประการที่สี่ มัลแวร์ดูดเหรียญคริปโท Noir Drainer พัฒนากลไกควบคุมแบบไดนามิกโดยฉวยใช้เรคคอร์ด DNS TXT และบริการสอบถาม DNS ผ่าน HTTPS (DoH) สาธารณะเป็น Dead Drop Resolver เพื่อหลบเลี่ยงการตรวจจับของเกตเวย์ความปลอดภัยเครือข่าย
ทีมนักวิจัย CrowdStrike Intelligence ตรวจพบโครงสร้างพื้นฐานการโจมตีทางไซเบอร์ที่มุ่งเป้าองค์กรทางการเงินในเกาหลีใต้ระหว่างปลายเดือนกันยายนถึงต้นเดือนตุลาคม 2569 ส่งผลให้ข้อมูลของสถาบันการเงินบางแห่งถูกจารกรรม โดยผู้โจมตีได้นำเครื่องมือเพนเทสต์เอไออัตโนมัติ (Agentic Pentesting Tool) ชื่อ ARTEX ซึ่งพัฒนาขึ้นในประเทศจีน มาประยุกต์ใช้ร่วมกับโมเดลภาษาขนาดใหญ่ (LLMs) เพื่อสแกนและเจาะระบบบริการตรวจสอบสถานะสินเชื่อของนายหน้าการเงินและระบบสนับสนุนการทำงานเคลื่อนที่ของพนักงานธนาคาร การตรวจสอบเซิร์ฟเวอร์เปิดเผยพบประวัติการทำงานร่วมกับ Claude Code และการเชื่อมต่อพร็อกซี xcai.pro สำหรับเรียกใช้งานโมเดล DeepSeek
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันการเงินและธนาคารพาณิชย์ในไทย - ธนาคารและสถาบันการเงินในประเทศไทยกำลังเร่งขยายระบบบริการดิจิทัลและเปิดช่องทาง API เชื่อมต่อกับพันธมิตรภายนอก เครื่องมือโจมตีอัตโนมัติด้วยเอไออย่าง ARTEX ช่วยให้ผู้ไม่หวังดีสามารถสแกนค้นหาช่องโหว่และส่งคำสั่งเจาะระบบได้อย่างรวดเร็วในระดับนาที หากระบบงานของไทยขาดการเฝ้าระวังพฤติกรรมการสแกนที่ขับเคลื่อนด้วยปัญญาประดิษฐ์ อาจนำไปสู่การรั่วไหลของข้อมูลธุรกรรมและข้อมูลส่วนบุคคลของลูกค้าได้
ยุทธศาสตร์: ภัยคุกคามทางไซเบอร์กำลังก้าวเข้าสู่ยุค Agentic AI Offensive ซึ่งกลุ่มผู้โจมตียกระดับขีดความสามารถด้วยการนำปัญญาประดิษฐ์มาเป็นเอเจนต์ดำเนินการเจาะระบบสถาบันการเงินอย่างเป็นอิสระ
ยุทธการ: ผู้ไม่หวังดีผสานการใช้พร็อกซีปกปิดตัวตนเข้ากับเซิร์ฟเวอร์โอเพนไดเรกทอรีที่ส่งคำสั่งภาษาธรรมชาติไปยังเครื่องมือ ARTEX ช่วยพรางพฤติกรรมการสแกนให้กลมกลืนกับคำสั่งงานทดสอบของผู้ดูแลระบบ
ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องเฝ้าระวังและบล็อกการเชื่อมต่อไปยังไอพี 38.244.50[.]120 โดเมนเอพีไอ xcai[.]pro พร้อมทั้งตรวจสอบการสแกนหรือการยิงคำสั่งอัตโนมัติที่พุ่งเป้าแอปพลิเคชันส่วนหน้าของธนาคาร
สถาบันการเงิน, ธนาคารพาณิชย์, ระบบบริการตรวจสอบสินเชื่อ, ระบบสนับสนุนการทำงานเคลื่อนที่สำหรับพนักงานสถาบันการเงิน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Zscaler ThreatLabz เปิดเผยรายงานการตรวจพบแคมเปญของกลุ่มภัยคุกคาม TraderTraitor (กลุ่มที่ได้รับการประเมินว่าเชื่อมโยงกับเกาหลีเหนือ) ที่จดทะเบียนโดเมนเลียนแบบ hashicorp-terraform.io เพื่อแจกจ่าย Terraform Provider ปลอมแปลง มุ่งเป้านักพัฒนาและผู้ดูแลโครงสร้างพื้นฐานคลาวด์ในภาคธุรกิจคริปโทเคอร์เรนซี เมื่อเหยื่อติดตั้งโปรไวเดอร์ดังกล่าว สคริปต์ Bash จะเริ่มทำงานและดาวน์โหลดแบ็กดอร์ FLATROOF ที่รองรับทั้ง Linux, macOS และ Windows พร้อมสคริปต์ Python ขโมยข้อมูลคุกกี้ รหัสผ่าน และกระเป๋าเงินดิจิทัลในเครื่อง ก่อนดาวน์โหลดแบ็กดอร์ระยะที่สอง ROOFDECK ผ่าน Pastebin Dead Drop และควบคุมระบบผ่าน Telegram Bot API หรือเว็บฮุก
ความเสี่ยงระดับสูงต่อศูนย์ซื้อขายสินทรัพย์ดิจิทัล (Digital Asset Exchanges) และบริษัทฟินเทคในไทย - บริษัทการเงินและคริปโทเคอร์เรนซีในประเทศไทยมีการใช้งานเครื่องมือ Infrastructure as Code เช่น Terraform อย่างแพร่หลาย หากนักพัฒนาหลงเชื่อดาวน์โหลดโปรไวเดอร์ปลอมจากโดเมนเลียนแบบ ผู้โจมตีจะสามารถขโมยคีย์เข้ารหัสกระเป๋าเงินดิจิทัล ข้อมูลความลับบนคลาวด์ และเข้าควบคุมระบบเซิร์ฟเวอร์จนนำไปสู่ความสูญเสียทางการเงินมูลค่ามหาศาล
ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐที่เน้นการโจรกรรมทางการเงินมุ่งเป้าโจมตีห่วงโซ่อุปทานของเครื่องมือพัฒนาคลาวด์เพื่อเข้าถึงสินทรัพย์ดิจิทัลขององค์กรเป้าหมายโดยตรง
ยุทธการ: ผู้โจมตีใช้ชื่อโดเมนใกล้เคียงกับผู้ให้บริการหลัก (Typosquatting) ผสานกับเพย์โหลดที่รองรับข้ามแพลตฟอร์ม และใช้ช่องทางสื่อสารสาธารณะอย่าง Telegram เพื่ออำพรางการรับส่งคำสั่ง
ยุทธวิธี: ฝ่ายเทคโนโลยีสารสนเทศต้องตรวจสอบความถูกต้องของค่าแฮชและลายเซ็นของโมดูล Terraform บล็อกการเชื่อมต่อโดเมน hashicorp-terraform[.]io และเฝ้าระวังไฟล์ imagent บนระบบปฏิบัติการ
อุตสาหกรรมสินทรัพย์ดิจิทัลและคริปโทเคอร์เรนซี, สตาร์ตอัปฟินเทค, วิศวกร DevOps และโครงสร้างพื้นฐานคลาวด์ภาคการเงิน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัยความมั่นคงปลอดภัย Socket ตรวจพบส่วนขยาย (Extensions) ที่เป็นอันตรายจำนวน 16 รายการบนร้านค้าส่วนขยายของ Mozilla Firefox ที่ปลอมแปลงเป็นเครื่องมือใช้งานทั่วไป หรือลอกเลียนแบบหน้าตาและกระบวนการทำงานของกระเป๋าเงินดิจิทัลยอดนิยมอย่าง Rabby Wallet และ OKX Web3 Wallet โดยโค้ดอันตรายที่ฝังใน background.js และสคริปต์ฝั่ง UI จะคอยดักจับข้อความ Seed Phrase ความยาว 12 หรือ 24 คำ รวมถึงรหัส Private Key ขนาด 64 ตัวอักษร ขณะที่เหยื่อพิมพ์นำเข้าหรือสร้างกระเป๋าเงิน จากนั้นจะส่งข้อมูลกุญแจลับดังกล่าวไปยังเซิร์ฟเวอร์ Cloudflare Workers ของผู้โจมตีทันที
ความเสี่ยงระดับสูงต่อนักลงทุนและผู้ใช้งานสินทรัพย์ดิจิทัลในไทย - ผู้ใช้งานกระเป๋าเงินดิจิทัลและแพลตฟอร์ม DeFi ในประเทศไทยมักนิยมติดตั้งส่วนขยายบนเว็บเบราว์เซอร์เพื่อความสะดวกในการทำธุรกรรม หากผู้ใช้งานติดตั้งส่วนขยายอันตรายเหล่านี้ ข้อมูล Seed Phrase และ Private Key จะถูกจารกรรมในทันที ส่งผลให้ผู้โจมตีสามารถโอนถ่ายสินทรัพย์ดิจิทัลและเหรียญคริปโททั้งหมดออกจากบัญชีได้โดยที่ผู้เสียหายไม่สามารถกู้คืนได้
ยุทธศาสตร์: กลุ่มอาชญากรไซเบอร์หันมาพุ่งเป้าโจมตีส่วนขยายเบราว์เซอร์ฝั่งผู้ใช้งานปลายทาง เพื่อดักจับข้อมูลประจำตัวทางการเงินตั้งแต่ขั้นตอนการป้อนข้อมูลลงในระบบ
ยุทธการ: ผู้โจมตีใช้ประโยชน์จากบริการคลาวด์เซิร์ฟเวอร์เลส Cloudflare Workers ในการรับข้อมูลที่ถูกขโมยมา เพื่ออำพรางทราฟฟิกให้กลมกลืนกับเครือข่ายคลาวด์ทั่วไปและหลบเลี่ยงการถูกบล็อกโดเมน
ยุทธวิธี: องค์กรและผู้ใช้งานต้องถอนการติดตั้งส่วนขยายตามรายชื่อแฮชที่ตรวจพบ ตรวจสอบประวัติการส่งข้อมูลออกไปยังโดเมนลงท้าย workers[.]dev และเปลี่ยนรหัสผ่านกระเป๋าเงินทันทีหากสงสัยว่าตกเป็นเหยื่อ
ผู้ใช้งานกระเป๋าเงินดิจิทัล (Rabby, OKX), นักลงทุนในตลาดสินทรัพย์ดิจิทัลและ DeFi, ผู้ใช้งานเว็บเบราว์เซอร์ Firefox
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Infoblox เปิดเผยผลการวิเคราะห์มัลแวร์ดูดเงินดิจิทัล Noir (Wallet Drainer) ที่ให้บริการในรูปแบบ Drainer-as-a-Service (DaaS) ซึ่งพัฒนากลวิธีหลบเลี่ยงการตรวจจับโดยนำเรคคอร์ด DNS TXT ร่วมกับบริการ DNS over HTTPS (DoH) สาธารณะของ Google และ Cloudflare มาใช้เป็น Dead Drop Resolver แบบไดนามิก ตัวโหลดสคริปต์บนหน้าเว็บเหยื่อจะส่งคำถาม DoH ไปยังเรคคอร์ด _r.noir.black เพื่อดึงโดเมนพูลที่กำลังให้บริการ (เช่น render-984.pages.dev) พร้อมทั้งเรียก API สำรองที่ noir.black ก่อนเชื่อมโยงเข้ากับหน้าเว็บหลอกลวงเพื่อหลอกให้ผู้ใช้เซ็นอนุมัติธุรกรรมดูดสินทรัพย์ผ่าน WalletConnect
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อนักลงทุนและชุมชนคริปโทเคอร์เรนซีในไทย - ผู้ใช้งานและนักลงทุนในไทยที่เข้าร่วมกิจกรรมแอร์ดรอป (Airdrop) หรือกิจกรรมการมีส่วนร่วมในโครงการ Web3 มีความเสี่ยงที่จะตกเป็นเหยื่อหน้าเว็บหลอกลวงที่ผูกกับ Noir Drainer การใช้คำสั่ง DoH ผ่านผู้ให้บริการคลาวด์ขนาดใหญ่ทำให้ไฟร์วอลล์และเกตเวย์ความปลอดภัยขององค์กรไม่สามารถดักตรวจหรือตัดการเชื่อมต่อไปยังเซิร์ฟเวอร์ดูดเหรียญได้อย่างมีประสิทธิภาพ
ยุทธศาสตร์: อุตสาหกรรมอาชญากรรมไซเบอร์สายขโมยเงินดิจิทัลพัฒนาโครงสร้างพื้นฐานที่ทนทานต่อการถูกปิดกั้น โดยอาศัยโปรโตคอลมาตรฐานของอินเทอร์เน็ตในการหลบเลี่ยงมาตรการป้องกัน
ยุทธการ: การนำบริการ DoH มาใช้ค้นหาเรคคอร์ด DNS TXT ช่วยให้ผู้ดูแลมัลแวร์สามารถสลับเปลี่ยนโดเมนเซิร์ฟเวอร์ดูดเงินได้อย่างต่อเนื่องภายในหลักนาทีโดยไม่ต้องปรับแก้โค้ดบนหน้าเว็บเหยื่อ
ยุทธวิธี: ฝ่ายดูแลความปลอดภัยเครือข่ายต้องกำหนดนโยบายจำกัดการใช้งาน DoH ตรงไปยังผู้ให้บริการภายนอก บล็อกการเข้าถึงชื่อโฮสต์ _r.noir[.]black และเฝ้าระวังโดเมนบริการคลาวด์เพจอย่างผิดปกติ
นักลงทุนและผู้ถือครองสินทรัพย์ดิจิทัล, ชุมชน Web3 และการเงินแบบกระจายศูนย์ (DeFi), แพลตฟอร์มธุรกรรมบล็อกเชน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง