Government & National Security Sector Weekly Report
ห้วงเวลา: 5-11 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 5-11 ตุลาคม 2569 สถานการณ์ภัยคุกคามความมั่นคงปลอดภัยไซเบอร์ในกลุ่มอุตสาหกรรมภาครัฐและความมั่นคง (Government & National Security) ทั่วโลกทวีความรุนแรงและอยู่ในระดับความเสี่ยงสูง (High Risk) จากความเคลื่อนไหวเชิงรุกของกลุ่มภัยคุกคามระดับรัฐและการฉวยใช้ช่องโหว่ระดับวิกฤตบนอุปกรณ์เครือข่ายด่านหน้า ประการแรก พันธมิตรหน่วยงานความมั่นคงไซเบอร์ระหว่างประเทศนำโดย CISA, FBI และ NSA ร่วมกับพันธมิตรนานาชาติ เผยแพร่ข้อแนะนำแจ้งเตือนกลุ่มภัยคุกคามที่เชื่อมโยงกับรัฐบาลจีน ซึ่งผสานการใช้บอตเน็ต เทคนิค Living-off-the-Land (LotL) และเครื่องมืออัตโนมัติเข้ากับปฏิบัติการเจาะระบบเชิงลึกเพื่อจารกรรมข้อมูลลับในหน่วยงานภาครัฐ ประการที่สอง ESET Research ตรวจพบวิวัฒนาการของมัลแวร์ C# ดาวน์โหลดเดอร์ MATCHBOIL โดยกลุ่มจารกรรม UAC-0099 ที่เชื่อมโยงกับรัสเซีย ซึ่งนำตัวบดบังโค้ดระดับพาณิชย์มาใช้หลบเลี่ยงแซนด์บ็อกซ์เพื่อมุ่งเป้าโจมตีหน่วยงานรัฐและศาลยุติธรรม ประการที่สาม พบการฉวยใช้ช่องโหว่ Zero-Day บน Citrix NetScaler ADC และ Gateway (CVE-2026-88771) ในการติดตั้งเว็บเชลล์และ Platypus agent เพื่อยึดครองอุปกรณ์ด่านหน้าเครือข่าย และประการที่สี่ มีรายงานการโจมตีจริงผ่านช่องโหว่ Zero-Day ระดับวิกฤตบนเกตเวย์ความปลอดภัยอีเมล FortiMail (CVE-2026-104286) ซึ่งเปิดทางให้ผู้โจมตีเขียนไฟล์ระบบตามอำเภอใจและเข้าควบคุมระบบรับส่งอีเมลทางการขององค์กร
หน่วยงาน CISA ร่วมกับ FBI, NSA และพันธมิตรด้านความมั่นคงไซเบอร์จากสหราชอาณาจักร ออสเตรเลีย แคนาดา และนิวซีแลนด์ เผยแพร่ข้อแนะนำร่วมฉบับ AA26-281a แจ้งเตือนพฤติกรรมของกลุ่มภัยคุกคามที่เชื่อมโยงกับรัฐบาลจีน (โดยมี Integrity Technology Group สนับสนุน) ซึ่งใช้เครือข่ายบอตเน็ตอุปกรณ์เราเตอร์ โครงสร้างพื้นฐาน VPN และเทคนิค Living-off-the-Land (LotL) ร่วมกับสคริปต์สแกนอัตโนมัติ เมื่อเข้าสู่เครือข่ายได้ ผู้โจมตีจะเปลี่ยนเป็นปฏิบัติการโดยมนุษย์เพื่อสำรวจเครือข่ายภายใน ดึงข้อมูลฐานข้อมูล Active Directory (NTDS) และฝังตัวควบคุมระบบระยะยาว
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - หน่วยงานภาครัฐ กระทรวงด้านความมั่นคง และหน่วยงานกำกับดูแลโครงสร้างพื้นฐานสำคัญของไทย เป็นเป้าหมายที่มีมูลค่าสูงด้านข่าวกรองภูมิรัฐศาสตร์ในภูมิภาคเอเชียตะวันออกเฉียงใต้ การที่ผู้โจมตีใช้บอตเน็ตเราเตอร์ตามบ้านเรือนและสำนักงานขนาดเล็ก (SOHO) เพื่อส่งคำขอ ทำให้ระบบตรวจจับแบบเดิมของไทยแยกแยะได้ยาก จึงต้องเฝ้าระวังบัญชีผู้ใช้ที่มีสิทธิ์สูงและตรวจสอบการดึงข้อมูลจากโดเมนคอนโทรลเลอร์อย่างใกล้ชิด
ยุทธศาสตร์: กลุ่มจารกรรมข้อมูลระดับรัฐของจีนปรับเปลี่ยนยุทธศาสตร์โดยผสานบอตเน็ตอุปกรณ์เครือข่ายเชิงพาณิชย์เพื่อปกปิดร่องรอยและรักษาขีดความสามารถในการเข้าถึงระบบข่าวกรองระดับชาติในระยะยาว
ยุทธการ: ผู้โจมตีใช้ระบบอัตโนมัติค้นหาช่องโหว่ภายนอกอย่างรวดเร็ว เมื่อเข้าถึงเครือข่ายได้จะเปลี่ยนเป็นการควบคุมด้วยตนเองเพื่อเจาะลึกสู่ Active Directory และหลบเลี่ยงระบบตรวจจับ
ยุทธวิธี: ผู้ดูแลระบบเครือข่ายต้องเฝ้าระวังการใช้งานคำสั่ง Windows Native คำสั่งสกัดข้อมูลฐานข้อมูล NTDS (เช่น ntdsutil, secretsdump) และปิดกั้นการเชื่อมต่อไปยังโดเมนและ URL โครงสร้างพื้นฐานตามที่ระบุในข้อแนะนำ
หน่วยงานภาครัฐ (Government Entities), กระทรวงการต่างประเทศและความมั่นคง, โครงสร้างพื้นฐานสารสนเทศสำคัญ (CII), องค์กรความร่วมมือระหว่างประเทศ
ทีมนักวิจัยความมั่นคงปลอดภัย ESET Research เผยแพร่งานวิจัยวิเคราะห์มัลแวร์ MATCHBOIL ซึ่งเป็นซอฟต์แวร์ดาวน์โหลดเดอร์ที่พัฒนาด้วยภาษา C# ของกลุ่มภัยคุกคาม UAC-0099 ที่ได้รับการประเมินว่าสอดคล้องกับผลประโยชน์ของรัสเซีย โดยมุ่งเป้าโจมตีหน่วยงานราชการ ศาล องค์กรด้านความมั่นคง และสื่อมวลชน ในเวอร์ชันล่าสุดกลุ่มผู้โจมตีได้ยกระดับการพรางโค้ดจากการสลับอักขระ Unicode มาเป็นการใช้เครื่องมือเชิงพาณิชย์ Eziriz .NET Reactor ควบคู่การตรวจสอบสภาพแวดล้อมเพื่อขัดขวางการวิเคราะห์ของแซนด์บ็อกซ์ ก่อนเชื่อมต่อเซิร์ฟเวอร์ C2 เพื่อส่งต่อมัลแวร์ MATCHWOK และฝังตัวผ่าน Scheduled Tasks และ Registry Run Keys
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - หน่วยงานภาครัฐของไทยที่มีระบบงานสารบรรณอิเล็กทรอนิกส์และเว็บพอร์ทัลที่พัฒนาบนสภาพแวดล้อม .NET Framework และ C# มีความเสี่ยงที่จะเผชิญการนำเทคนิคการพรางโค้ดด้วยตัวบดบังระดับพาณิชย์และมัลแวร์ประเภทดาวน์โหลดเดอร์มาประยุกต์ใช้โดยผู้โจมตีกลุ่มอื่น จึงต้องเฝ้าระวังตัวชี้วัดภัยคุกคาม โดเมน C2 และสแกนหาไฟล์ .NET ที่ผิดปกติในระบบ
ยุทธศาสตร์: กลุ่มจารกรรมข้อมูลระดับรัฐพัฒนาเครื่องมือเฉพาะทางอย่างต่อเนื่องเพื่อรักษาขีดความสามารถในการเข้าถึงระบบเป้าหมายทางยุทธศาสตร์และข้อมูลลับของราชการ
ยุทธการ: ผู้โจมตีหลีกเลี่ยงการตรวจจับโดยนำเครื่องมือบดบังโค้ดระดับพาณิชย์มาใช้ร่วมกับการสร้าง Scheduled Tasks เพื่อหน่วงเวลาให้มัลแวร์หลักทำงานเฉพาะเมื่อผ่านการตรวจสอบความปลอดภัย
ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องตรวจสอบการสร้าง Scheduled Task ที่ผิดปกติ บล็อกการเชื่อมต่อโดเมน C2 และสแกนไบนารี .NET ที่มีการบรรจุโค้ดแบบบดบังความชัดเจน
หน่วยงานภาครัฐ (Government & Public Administration), หน่วยงานด้านความมั่นคงและกองทัพ, องค์กรในกระบวนการยุติธรรมและศาล (Judicial Entities), สื่อมวลชน
หน่วยตอบสนองภัยคุกคาม eSentire TRU ตรวจพบคลัสเตอร์การโจมตีหลายกลุ่มที่มุ่งฉวยใช้ช่องโหว่ระดับวิกฤต Zero-Day บน Citrix NetScaler ADC และ NetScaler Gateway (CVE-2026-88771) ซึ่งเปิดทางให้ผู้โจมตีส่งคำขอรันคำสั่งโดยไม่ต้องผ่านการยืนยันตัวตน จากนั้นดาวน์โหลดสเตเจอร์และติดตั้งเว็บเชลล์หลากหลายรูปแบบ เช่น PHP web shell ปลอมแปลงเป็นไฟล์ nsgtrust.deb และสคริปต์ Perl รวมถึงการติดตั้ง Platypus agent ซึ่งเป็นโทรจันควบคุมระยะไกลที่พัฒนาด้วยภาษา Go บนสถาปัตยกรรม FreeBSD เพื่อสร้างการควบคุมอุปกรณ์ด่านหน้าเครือข่ายและขโมยไฟล์การตั้งค่าระบบ
ความเสี่ยงสูงทางตรงต่อหน่วยงานภาครัฐในไทย - อุปกรณ์ Citrix NetScaler ADC และ Gateway ได้รับความนิยมสูงในหน่วยงานราชการไทยในการเป็นเกตเวย์ให้บริการระบบสารสนเทศภาครัฐและระบบเครือข่ายเสมือน (SSL VPN) สำหรับเจ้าหน้าที่ หากอุปกรณ์ยังไม่ได้รับการอัปเดตแพตช์ฉุกเฉิน ผู้ไม่หวังดีสามารถเข้าควบคุมอุปกรณ์ด่านหน้าและใช้เป็นฐานในการเจาะทะลุเข้าสู่เครือข่ายภายในของราชการได้ทันที
ยุทธศาสตร์: อุปกรณ์ Edge Gateway และระบบเข้าถึงระยะไกลยังคงเป็นจุดยุทธศาสตร์สูงสุดที่ผู้โจมตีมุ่งเป้าเจาะระบบเพื่อเป็นบันไดก้าวแรก (Initial Access) สู่เครือข่ายภาครัฐ
ยุทธการ: ผู้โจมตีเร่งสร้างสคริปต์อัตโนมัติเพื่อสแกนและส่งเพย์โหลดเจาะระบบในวงกว้างทันทีที่ช่องโหว่ถูกค้นพบ พร้อมติดตั้งช่องทางสำรองหลายรูปแบบเพื่อป้องกันการถูกตัดการเชื่อมต่อ
ยุทธวิธี: ผู้ดูแลระบบต้องตรวจสอบความสมบูรณ์ของระบบไฟล์บน NetScaler ทันที ค้นหาไฟล์ deb หรือ pl แปลกปลอม บล็อกการเชื่อมต่อไปยังไอพีและโดเมน Platypus และบังคับใช้แพตช์อัปเดตล่าสุด
หน่วยงานภาครัฐและรัฐวิสาหกิจ (Government & State Enterprises), องค์กรที่ใช้งานอุปกรณ์ Citrix NetScaler ADC/Gateway, ผู้ให้บริการศูนย์ข้อมูลภาครัฐ
บริษัทวิจัยความมั่นคงปลอดภัย Brandefense รายงานการตรวจพบการฉวยใช้ช่องโหว่ Zero-Day ระดับวิกฤต (CVSS 9.8) รหัส CVE-2026-104286 บนระบบเกตเวย์ความปลอดภัยอีเมล FortiMail โดยมีสาเหตุมาจากข้อผิดพลาดในการตรวจสอบพาธไฟล์ในโมดูลจัดการคำขอ Identity-Based Encryption (IBE) ส่งผลให้ผู้โจมตีภายนอกสามารถส่งคำขอที่ออกแบบพิเศษเพื่อสร้างหรือเขียนทับไฟล์ใดๆ บนระบบโดยไม่ต้องยืนยันตัวตน ผู้โจมตีได้ฉวยใช้ช่องโหว่นี้เพื่อดัดแปลงไลบรารีระบบ /data/lib/liblog.so ติดตั้งไบนารีเว็บคอนโซลแปลกปลอม /data/bin/webconsole และแทนที่ไฟล์บริการส่งเมล เพื่อยึดการควบคุมอุปกรณ์และดักรับข้อมูลการสื่อสารทางอีเมลของราชการ
ความเสี่ยงสูงทางตรงต่อหน่วยงานภาครัฐในไทย - อุปกรณ์ FortiMail เป็นระบบรักษาความปลอดภัยอีเมลที่ได้รับการติดตั้งใช้งานอย่างแพร่หลายในหน่วยงานราชการไทย กระทรวง และกรมต่างๆ การถูกแทรกซึมในระดับ Mail Transfer Agent จะส่งผลให้ผู้โจมตีสามารถดักอ่านหนังสือราชการลับ บิดเบือนเนื้อหาในอีเมลราชการ หรือใช้ระบบส่งต่ออีเมลหลอกลวง (Spear-phishing) ไปยังหน่วยงานอื่นในนามราชการได้
ยุทธศาสตร์: เกตเวย์อีเมลเป็นโครงสร้างพื้นฐานวิกฤตด้านการสื่อสารของรัฐบาล การแทรกซึมสำเร็จจะเปิดโอกาสให้ผู้โจมตีได้ข้อมูลข่าวกรองราชการและทำลายความเชื่อมั่นของระบบสื่อสารภาครัฐ
ยุทธการ: ผู้โจมตีมุ่งเน้นการโจมตีแบบเจาะจงผ่านช่องโหว่ที่ไม่ต้องอาศัยสิทธิ์ผู้ใช้งาน (Unauthenticated) โดยฉวยโอกาสเข้าฝังตัวถาวรในระดับไลบรารีระบบ เพื่อให้คงอยู่แม้จะมีการรีบูตเครื่อง
ยุทธวิธี: ผู้ดูแลระบบต้องปิดฟีเจอร์ IBE ชั่วคราวทันทีหากยังไม่ได้ใช้งาน ตรวจสอบค่าแฮชของ /data/lib/liblog.so และตรวจสอบการมีอยู่ของไฟล์ /data/bin/webconsole รวมถึงตัดการเชื่อมต่อไปยัง IP ผู้ไม่ประสงค์ดี
หน่วยงานภาครัฐและกระทรวง (Government Ministries & Agencies), หน่วยงานด้านความมั่นคง, องค์กรที่มีการติดตั้งอุปกรณ์เกตเวย์ความปลอดภัย FortiMail