Public Health & Healthcare Sector Weekly Threat Intelligence Report
ห้วงเวลา: 5-11 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 5 ถึง 11 ตุลาคม 2569 ภัยคุกคามทางไซเบอร์ที่มุ่งเป้าภาคสาธารณสุขและการแพทย์ยังคงทวีความซับซ้อน โดยพบการเปลี่ยนแปลงเชิงยุทธวิธีอย่างชัดเจนของกลุ่มกรรโชกทรัพย์ทางการเงินที่หันมาใช้โมเดลขู่กรรโชกสองชั้นควบคู่กับการประยุกต์ใช้โปรโตคอล AI สมัยใหม่ เช่น การเคลื่อนไหวของกลุ่มแรนซัมแวร์ Emperador ที่พัฒนาด้วยภาษา Rust ปฏิบัติการในรูปแบบ RaaS ขโมยข้อมูลและขู่กรรโชกองค์กร 37 แห่งทั่วโลก รวมถึงหน่วยงานสาธารณสุข ขณะที่ทีมวิจัย CloudSEK เปิดโปงปฏิบัติการของพันธมิตรแรนซัมแวร์ Gentlemen รหัส Azazel ที่ฉวยใช้ข้อมูลความลับ CI/CD และโปรโตคอล Model Context Protocol ในการขโมยข้อมูลวิจัยทางการแพทย์และเภสัชกรรม นอกจากนี้ พันธมิตรความมั่นคงไซเบอร์สากลนำโดย CISA ได้ออกประกาศแจ้งเตือน AA26-281A กรณีกลุ่มภัยคุกคามเชื่อมโยงรัฐบาลจีนผสานเครื่องมือสแกนอัตโนมัติเข้ากับการเจาะระบบโดยตรงเพื่อจารกรรมข้อมูลภาคสุขภาพและโครงสร้างพื้นฐานสำคัญ ควบคู่กับรายงานจาก Cisco Talos ที่ตอกย้ำถึงความเปราะบางของอุปกรณ์การแพทย์ดั้งเดิมที่ไม่สามารถอัปเดตแพตช์ได้และภัยคุกคามมัลแวร์ที่ฝังคำสั่งพรางตัวหลบหลีกการตรวจจับของระบบวิเคราะห์ AI
ทีมวิเคราะห์ CloudSEK TRIAD เปิดเผยรายงานสืบสวนปฏิบัติการของ Azazel ซึ่งเป็นพันธมิตรของกลุ่มแรนซัมแวร์ The Gentlemen ที่ใช้ภาษารัสเซีย ก่อเหตุโจมตีเหยื่อกว่า 24 องค์กรใน 6 ประเทศ โดยมีเป้าหมายครอบคลุมกลุ่มสาธารณสุข เภสัชกรรม และชีวการแพทย์ ผู้โจมตีลักลอบนำโทเคนและข้อมูลความลับของระบบ CI/CD มาใช้เปิดช่องทางเข้าสู่ระบบ และประยุกต์ใช้โปรโตคอล Model Context Protocol ผ่านสคริปต์ C2 เช่น mcp_test.py และเครื่องมือสแกน internet-census-mcp-scanner เพื่อควบคุมระบบและส่งออกข้อมูลสำคัญไปยังระบบจัดเก็บไฟล์คลาวด์ ก่อนนำข้อมูลไปเผยแพร่บนเว็บไซต์กรรโชกทรัพย์ส่วนตัวเพื่อเรียกค่าไถ่
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยองค์กรด้านสาธารณสุข การแพทย์ชีวภาพ และบริษัทยาในประเทศไทยเริ่มนำระบบอัตโนมัติ CI/CD และเครื่องมือทดสอบ AI มาใช้งานในระบบวิจัยและจัดการข้อมูลผู้ป่วย หากไม่มีการจัดเก็บค่า Secret และ API Keys ในระบบ Secrets Management ที่รัดกุม อาจถูกแฮกเกอร์ฉวยใช้ข้อมูลรับรองในการแทรกซึมเข้าถึงฐานข้อมูลเวชระเบียนและสูตรยาทางการค้า
ยุทธศาสตร์: กลุ่มพันธมิตรแรนซัมแวร์ปรับเปลี่ยนพฤติกรรมจากการเข้ารหัสไฟล์ธรรมดาไปสู่การจารกรรมทรัพย์สินทางปัญญาด้านสุขภาพและเภสัชกรรม พร้อมใช้ประโยชน์จากโปรโตคอล AI เพื่อเพิ่มประสิทธิภาพในการควบคุมและขโมยข้อมูล
ยุทธการ: ฝ่ายรักษาความมั่นคงปลอดภัยต้องจัดทำระบบหมุนเวียนและจัดเก็บค่า Secrets ในกระบวนการ CI/CD แยกจากโค้ด พร้อมทั้งตรวจสอบการเชื่อมต่อขาออกจากเครื่องมือทดสอบ AI ไปยังภายนอกเครือข่ายอย่างเข้มงวด
ยุทธวิธี: ตรวจสอบการใช้งานสคริปต์ภาษา Python ที่เชื่อมโยงกับฐานข้อมูล PostgreSQL และ MSSQL ผ่าน pg_dump ตลอดจนการเฝ้าระวังการส่งถ่ายข้อมูลผ่านพอร์ต 443 ไปยังผู้ให้บริการคลาวด์ MEGA และบล็อกการเชื่อมต่อไปยังโดเมนและไอพี C2 ของกลุ่มผู้โจมตี
องค์กรสาธารณสุขและการแพทย์ (Healthcare), อุตสาหกรรมเภสัชกรรมและชีวการแพทย์ (Pharmacy, Biomedical), ภาคการประกันภัยสุขภาพ, และระบบพัฒนาซอฟต์แวร์ CI/CD
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมวิจัย CyberXTron ตรวจพบการเคลื่อนไหวของกลุ่มแรนซัมแวร์กลุ่มใหม่ชื่อ Emperador ซึ่งปฏิบัติการในรูปแบบ Ransomware-as-a-Service โดยพัฒนาตัวเข้ารหัสด้วยภาษา Rust รองรับทั้งระบบปฏิบัติการ Windows และ Linux ด้วยอัลกอริทึม ChaCha20 ตัวมัลแวร์มีขนาดเล็กไม่ถึง 1 MB และมาพร้อมแผงควบคุมอัตโนมัติสำหรับพันธมิตรในการสร้างเพย์โหลด เจรจาเรียกค่าไถ่ และเผยแพร่ข้อมูลที่ขโมยมา กลุ่มผู้ก่อเหตุใช้วิธีการขู่กรรโชกสองชั้นและได้เผยแพร่รายชื่อเหยื่อบนเว็บไซต์ Tor Leak Site แล้วจำนวน 37 องค์กรใน 19 ประเทศ ครอบคลุมหลากหลายภาคส่วนรวมถึงโรงพยาบาลและสาธารณสุข โดยเสนอส่วนแบ่งรายได้สูงถึง 90% ให้แก่พันธมิตรเพื่อเร่งขยายการโจมตี
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยกลุ่ม Emperador มุ่งโจมตีเป้าหมายอย่างไม่เลือกสัญชาติใน 19 ประเทศรวมถึงภูมิภาคเอเชียตะวันออกเฉียงใต้ เช่น เวียดนาม และฟิลิปปินส์ โรงพยาบาลและสถานพยาบาลในไทยที่ใช้งานระบบแม่ข่ายทั้ง Windows และ Linux ที่ยังขาดการสำรองข้อมูลแบบออฟไลน์ มีความเสี่ยงที่จะตกเป็นเป้าหมายของการเจาะระบบเพื่อขโมยเวชระเบียนและระงับการให้บริการทางการแพทย์
ยุทธศาสตร์: โมเดลธุรกิจ RaaS ที่เปิดรับพันธมิตรอย่างเสรีพร้อมให้ส่วนแบ่ง 90/10 จูงใจให้เกิดการร่วมมือกับนายหน้าขายสิทธิ์เข้าถึงระบบเพื่อเร่งเจาะเครือข่ายสถานพยาบาล
ยุทธการ: ศูนย์ปฏิบัติการความปลอดภัยของโรงพยาบาลต้องเฝ้าระวังมัลแวร์ที่เขียนด้วยภาษา Rust ซึ่งมีความสามารถในการหลบเลี่ยงการตรวจจับของซิกเนเจอร์แบบดั้งเดิม และเร่งตรวจสอบความปลอดภัยของทั้งระบบ Windows และ Linux
ยุทธวิธี: ตรวจสอบและสกัดกั้นการเชื่อมต่อเครือข่าย Tor ไปยังเว็บไซต์กรรโชกทรัพย์, เฝ้าระวังการลบ Shadow Copies และ Event Logs ด้วยคำสั่งระบบ, และคัดกรองการรับส่งอีเมลไปยังที่อยู่ติดต่อของผู้ก่อเหตุ
สถานพยาบาลและสาธารณสุข (Health), โรงงานอุตสาหกรรมการผลิต, หน่วยงานภาครัฐ, ระบบโครงสร้างพื้นฐานคมนาคม, และระบบเซิร์ฟเวอร์แบบ Cross-Platform (Windows และ Linux)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
หน่วยงานความมั่นคงปลอดภัยไซเบอร์สหรัฐฯ (CISA, FBI, NSA) ร่วมกับหน่วยปฏิบัติการภารกิจไซเบอร์แห่งชาติ ออกประกาศแจ้งเตือนร่วมรหัส AA26-281A ระบุว่ากลุ่มภัยคุกคามที่มีความเชื่อมโยงกับรัฐบาลจีนได้ยกระดับยุทธวิธีโดยผสานเครื่องมือสแกนเครือข่ายอัตโนมัติเข้ากับการเจาะระบบโดยตรงเพื่อแทรกซึมเข้าสู่เครือข่ายโครงสร้างพื้นฐานสำคัญ โดยเฉพาะภาคสาธารณสุขและสุขอนามัย (Healthcare and Public Health), โรงงานอุตสาหกรรมวิกฤต, และหน่วยงานเทคโนโลยีสารสนเทศ ผู้ก่อเหตุใช้เครื่องมือโอเพนซอร์ซและมัลแวร์เฉพาะทางในการสำรวจช่องโหว่ ดัมป์ข้อมูลประจำตัว และขโมยข้อมูลลับของระบบวิจัยทางการแพทย์
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยหน่วยงานสาธารณสุข โรงพยาบาลมหาวิทยาลัย และศูนย์วิจัยทางคลินิกในประเทศไทยที่เชื่อมโยงกับโครงการระหว่างประเทศ เป็นเป้าหมายที่มีมูลค่าสูงในการจารกรรมข้อมูลทรัพย์สินทางปัญญาด้านชีวการแพทย์ การใช้เครื่องมือสแกนอัตโนมัติของกลุ่มผู้โจมตีอาจพบช่องโหว่ในระบบเชื่อมต่ออินเทอร์เน็ตของสถานพยาบาลไทยได้อย่างรวดเร็ว
ยุทธศาสตร์: ผู้คุกคามระดับรัฐมุ่งเน้นการโจมตีภาคสาธารณสุขเพื่อโจรกรรมข้อมูลผลการวิจัยทางชีววิทยาและเวชระเบียนประชากรสำหรับสร้างความได้เปรียบเชิงภูมิรัฐศาสตร์และการพัฒนาเทคโนโลยีชีวภาพ
ยุทธการ: ฝ่ายป้องกันต้องเฝ้าระวังพฤติกรรมการสแกนหาช่องโหว่แบบครอบคลุมและต่อเนื่อง รวมถึงการตรวจสอบการดัมป์หน่วยความจำ LSASS หรือบัญชี Active Directory ภายในเครือข่ายโรงพยาบาล
ยุทธวิธี: เฝ้าระวังและสกัดกั้นแฮชของเครื่องมือสแกนและมัลแวร์ เช่น nbtscan_linux, DiagTrack.exe, live700_v1.exe, conhost.exe (SoftEther VPN จำแลง) และ secretsdump.exe พร้อมทั้งจำกัดการเชื่อมต่อโปรโตคอลการบริหารจัดการจากภายนอก
ภาคสาธารณสุขและสุขอนามัย (Healthcare and Public Health), โรงพยาบาลและสถาบันวิจัยการแพทย์, หน่วยงานโครงสร้างพื้นฐานสำคัญ, และผู้ให้บริการเทคโนโลยีสารสนเทศ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
รายงานจดหมายข่าว Threat Source ของ Cisco Talos ชี้ประเด็นสำคัญด้านการบริหารจัดการความเสี่ยงในระบบเทคโนโลยีดั้งเดิม ซึ่งพบได้อย่างแพร่หลายในโรงพยาบาลและสถานพยาบาล เช่น เครื่องมือแพทย์และระบบการพิมพ์เช็คการเงินที่มีข้อจำกัดไม่สามารถอัปเดตระบบปฏิบัติการใหม่ได้และหยุดการทำงานไม่ได้ โดยเสนอแนวทางแบ่งแยกเครือข่ายอย่างเด็ดขาด พร้อมทั้งแจ้งเตือนการตรวจพบมัลแวร์ยุคใหม่ เช่น ตระกูล MANTLEMAZE ที่เริ่มฝังคำสั่งภาษาธรรมชาติแบบ Prompt Injection ลงในไบนารีไฟล์ เพื่อหลอกลวงระบบวิเคราะห์ความปลอดภัยอัตโนมัติที่ขับเคลื่อนด้วย AI ร่วมกับการใช้ไดรเวอร์ที่มีช่องโหว่ปิดการทำงานของระบบ EDR
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย โดยโรงพยาบาลไทยจำนวนมากยังมีอุปกรณ์ทางการแพทย์ ระบบเวชระเบียนรุ่นเก่า หรือระบบสนับสนุนที่ทำงานบนระบบปฏิบัติการรุ่นที่ไม่ได้รับการสนับสนุนด้านความปลอดภัย ซึ่งไม่สามารถอัปเดตหรือติดตั้งโปรแกรมป้องกันได้ การขาดการแบ่งแยกเครือข่ายที่รัดกุมอาจทำให้ระบบเหล่านี้กลายเป็นจุดอ่อนให้ผู้โจมตีแทรกซึมและฝังตัวในระยะยาว
ยุทธศาสตร์: ผู้บริหารโรงพยาบาลต้องตระหนักว่าความปลอดภัยของระบบดั้งเดิมที่ไม่สามารถอัปเดตได้ขึ้นอยู่กับการควบคุมสภาพแวดล้อมเครือข่ายและการบริหารความเสี่ยง ไม่ใช่การรอคอยแพตช์จากผู้ผลิตเพียงอย่างเดียว
ยุทธการ: ออกแบบสถาปัตยกรรมเครือข่ายโรงพยาบาลแบบแยกโซน ปิดกั้นการเชื่อมต่ออินเทอร์เน็ตของอุปกรณ์การแพทย์ และตรวจสอบกระบวนการประมวลผลของระบบตรวจจับภัยคุกคาม AI ไม่ให้ตกเป็นเหยื่อของการฉีดคำสั่งพรางตัว
ยุทธวิธี: ตรวจจับไฟล์ไบนารีที่พบการฝังข้อความภาษาธรรมชาติที่สั่งการระบบวิเคราะห์, ตรวจสอบการโหลดไดรเวอร์ต้องสงสัยที่อาจถูกใช้ในเทคนิค BYOVD, และเฝ้าระวังแฮชตัวอย่างมัลแวร์ที่ตรวจพบตามฐานข้อมูลความปลอดภัยของ Cisco Talos
สถานพยาบาลและโรงพยาบาล (Healthcare Providers), อุปกรณ์ทางการแพทย์และระบบปฏิบัติการดั้งเดิม (Legacy OT/IT Devices), ระบบวิเคราะห์มัลแวร์อัตโนมัติด้วย AI, และศูนย์ปฏิบัติการ SOC
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง