CGI-CTI-WEEKLY-20261012-IT - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคส่วนเทคโนโลยีสารสนเทศและโทรคมนาคม ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบการยกระดับภัยคุกคามภาคเทคโนโลยีสารสนเทศอย่างเข้มข้น ทั้งการแทรกซึมห่วงโซ่อุปทาน GitHub Actions เพื่อขโมย Secret ในระบบ CI/CD การฉวยใช้ช่องโหว่รุนแรงบนซอฟต์แวร์สำรองข้อมูล AhsayCBS ฝังเว็บเชลล์และมัลแวร์ขุดเหรียญ การแพร่กระจายส่วนขยาย VS Code อันตราย และการตรวจพบรูทคิทระดับเคอร์เนล RwyKit ที่ปลอมแปลงทราฟฟิก HTTP

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 5-11 ตุลาคม 2569 สถานการณ์ภัยคุกคามความมั่นคงปลอดภัยไซเบอร์ในภาคเทคโนโลยีสารสนเทศและโทรคมนาคม (IT & Telecommunication) จัดอยู่ในระดับความเสี่ยงสูง (High Risk) โดยตรวจพบความพยายามแทรกซึมผ่านห่วงโซ่อุปทานซอฟต์แวร์ เครื่องมือพัฒนา และโครงสร้างพื้นฐานระดับแกนกลางอย่างมีนัยสำคัญ ประการแรก แคมเปญ GhostAction หวนกลับมาโจมตีระลอกใหญ่ด้วยการฉวยใช้สิทธิ์ส่วนบุคคล (PAT) แทรกเวิร์กโฟลว์อันตรายลงใน GitHub Actions ของคลังโค้ดสาธารณะกว่า 772 แห่งเพื่อขโมยความลับและประวัติ Git ก่อนขยายผลสู่คลังโค้ดกว่า 30,000 แห่ง ประการที่สอง พบการโจมตีจริงผ่านการเชื่อมโยงช่องโหว่คู่บนซอฟต์แวร์สำรองข้อมูลระดับองค์กร AhsayCBS (CVE-2026-105133 และ CVE-2026-105134) เพื่อรันโค้ดทางไกลในสิทธิ์ SYSTEM ฝังเว็บเชลล์และมัลแวร์ขุดเหรียญ XMRig ประการที่สาม ตรวจพบแคมเปญ GlassWorm แพร่กระจายส่วนขยาย VS Code อันตรายกว่า 10 รายการที่แอบอ้างเป็นธีมปรับแต่งหน้าจอเพื่อลอบสั่งการสคริปต์แบทช์และใช้เทคนิค Dead Drop บนบล็อกเชน Solana และประการที่สี่ นักวิจัยตรวจพบรูทคิทระดับเคอร์เนล RwyKit ที่ได้รับการลงนามดิจิทัลอย่างถูกต้อง แฝงตัวเป็นไดรเวอร์เครือข่าย NDIS เพื่อดักจับและแก้ไขการตอบสนองของทราฟฟิก HTTP ในระดับเคอร์เนล Windows โดยตรง

เหตุการณ์เด่นประจำสัปดาห์

แคมเปญโจมตีห่วงโซ่อุปทาน "GhostAction" ฉวยใช้สิทธิ์ GitHub Actions ขโมยความลับ CI/CD และประวัติ Git ทั่วโลก

เผยแพร่: 7 ตุลาคม 2569 · แหล่งที่มา: GitGuardian · Admiralty B2

ทีมนักวิจัย GitGuardian เปิดเผยการกลับมาอย่างต่อเนื่องของแคมเปญ GhostAction ซึ่งพุ่งเป้าแทรกซึมห่วงโซ่อุปทานบนแพลตฟอร์ม GitHub Actions โดยผู้โจมตีอาศัยโทเคนสิทธิ์ส่วนบุคคล (PAT) ของนักพัฒนาที่รั่วไหลจากมัลแวร์ขโมยข้อมูล ลอบฝังเวิร์กโฟลว์อัตโนมัติอันตรายชื่อ security-audit.yml ลงในคลังโค้ดสาธารณะกว่า 772 โครงการ ส่งผลให้ความลับกว่า 2,577 รายการถูกส่งออกไปยังเซิร์ฟเวอร์ควบคุม ก่อนที่ในเดือนตุลาคม 2569 จะพบการแพร่กระจายระลอกใหม่สู่คลังโค้ดกว่า 30,000 แห่ง โดยขยายขีดความสามารถไปสู่การสแกนประวัติ Git ย้อนหลังทั้งหมดเพื่อค้นหาคีย์คลาวด์และ API

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ระดับสูงต่อนักพัฒนาซอฟต์แวร์ บริษัทเทคโนโลยีสารสนเทศ และสตาร์ตอัปในไทยที่ใช้งาน GitHub Actions ในกระบวนการ CI/CD หรือพึ่งพาโอเพนซอร์สจากภายนอก หากนักพัฒนาเผลอใช้ Token ร่วมกันหรือไม่ได้ตั้งค่าป้องกันการรันเวิร์กโฟลว์อัตโนมัติจาก Pull Request ภายนอก อาจนำไปสู่การรั่วไหลของ AWS, Azure หรือ GCP Secret ในระบบคลาวด์องค์กร

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ภัยคุกคามสะท้อนถึงการยกระดับการเจาะห่วงโซ่อุปทานซอฟต์แวร์ สู่โครงสร้างพื้นฐานระบบอัตโนมัติของกระบวนการ DevOps เพื่อเข้าถึงกุญแจสำคัญขององค์กร

ยุทธการ: ผู้โจมตีฉวยใช้ความน่าเชื่อถือของไปป์ไลน์ CI/CD ในการสั่งรันโค้ดสแกนประวัติ Git ย้อนหลัง และส่งออกข้อมูลที่ขโมยได้ไปยังเซิร์ฟเวอร์ควบคุมภายนอก

ยุทธวิธี: แทรกไฟล์เวิร์กโฟลว์ security-audit.yml อาศัยสิทธิ์ PAT ที่ถูกขโมย และใช้สคริปต์ส่งคำขอ HTTP POST บรรจุข้อมูล Secret ไปยังไอพี 193.32.204[.]199 พอร์ต 3000

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

นักพัฒนาซอฟต์แวร์, โครงการโอเพนซอร์ส, ผู้ให้บริการคลาวด์ และองค์กรด้านเทคโนโลยีสารสนเทศที่พึ่งพากระบวนการ CI/CD

MITRE ATT&CK

T1195.002 Compromise Software Supply Chain T1078.004 Cloud Accounts T1552.001 Credentials In Files T1528 Steal Application Access Token T1059.004 Unix Shell T1496 Resource Hijacking

IOC ที่สำคัญ

193.32.204[.]199 170.39.218[.]2 hxxp://193.32.204[.]199:3000/api/workflow/receive?inj=<id> carte-avantage[.]com bold-dhawan.45-139-104-115.plesk[.]page

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: GitGuardian →

ผู้ไม่ประสงค์ดีฉวยใช้ช่องโหว่รุนแรงบนซอฟต์แวร์สำรองข้อมูล AhsayCBS ฝัง Web Shell และปล่อยมัลแวร์ขุดเหรียญ XMRig

เผยแพร่: 8 ตุลาคม 2569 · แหล่งที่มา: Huntress · Admiralty B2

Huntress ตรวจพบการโจมตีจริงผ่านการเชื่อมโยงช่องโหว่สองรายการบนซอฟต์แวร์บริหารการสำรองข้อมูลระดับองค์กร Ahsay Cloud Backup Suite (AhsayCBS) ได้แก่ ช่องโหว่ข้ามการยืนยันตัวตน (CVE-2026-105133) ในฟังก์ชัน checkSysPwd และช่องโหว่รันโค้ดระยะไกล (CVE-2026-105134) ในคอมโพเนนต์ Replication Receiver ส่งผลให้ผู้โจมตีสั่งรันคำสั่งในสิทธิ์ NT AUTHORITY\SYSTEM โดยไม่ต้องยืนยันตัวตน เพื่อฝังเว็บเชลล์ รันสคริปต์ PowerShell Taskgmr.ps1 และติดตั้งมัลแวร์ขุดเหรียญ XMRig ที่พรางตัวเป็น Microsoft Edge

ผลกระทบต่อประเทศไทย

ความเสี่ยงโดยตรงในระดับสูงต่อผู้ให้บริการ Managed Service Provider (MSP) และศูนย์ข้อมูลหรือฝ่ายไอทีขององค์กรในไทยที่ใช้ AhsayCBS เป็นเซิร์ฟเวอร์สำรองข้อมูลส่วนกลางและเปิดพอร์ตสู่สาธารณะ หากถูกเจาะระบบอาจส่งผลให้ไฟล์ข้อมูลสำรองทั้งหมดถูกเข้าถึงหรือทำลาย รวมถึงเซิร์ฟเวอร์สำรองข้อมูลอาจถูกยึดเป็นฐานขุดเหรียญคริปโทและโจมตีโครงสร้างพื้นฐานภายใน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: โครงสร้างพื้นฐานระบบสำรองข้อมูลกลายเป็นเป้าหมายหลักของผู้โจมตีเพื่อตัดตอนกลไกการกู้คืนระบบและทำลายความต่อเนื่องทางธุรกิจ

ยุทธการ: ผู้โจมตีเชื่อมต่อช่องโหว่การยืนยันตัวตนเข้ากับการรันคำสั่งทางไกลเพื่อบรรลุผลลัพธ์การควบคุมระบบแบบเบ็ดเสร็จในสิทธิ์สูงสุดของระบบปฏิบัติการ

ยุทธวิธี: ส่งคำขอ HTTP ไปยังเอนด์พอยต์ /rps/api/json/UpdateReceivers.do เพื่อให้ cbssvcX64.exe รันคำสั่ง และใช้ไดรเวอร์ WinRing0x64.sys ช่วยทำงาน

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ผู้ให้บริการระบบสารสนเทศ (Managed Service Providers - MSPs), ฝ่ายไอทีองค์กร, ระบบสำรองข้อมูลระดับองค์กร

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1059.001 PowerShell T1505.003 Web Shell T1036.005 Match Legitimate Resource Name or Location T1068 Exploitation for Privilege Escalation T1496 Resource Hijacking

IOC ที่สำคัญ

177.4.12[.]11 38.60.252[.]110 xmr.kryptex[.]network 51.195.127[.]124 4dcb0202fe8b2d4d7b183764e38184cd6ed50132786cc7e7d1f7f4bce1dd6f3d 05f69ae6b2b89c1c4dcf836bff032232f11bf0109f2b498e2345045d06139034

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Huntress →

แคมเปญ "GlassWorm" แพร่กระจายส่วนขยาย VS Code อันตราย ลอบดาวน์โหลดสคริปต์และสั่งการผ่าน Dead Drop บนบล็อกเชน

เผยแพร่: 6 ตุลาคม 2569 · แหล่งที่มา: Socket Research · Admiralty B2

ทีมวิจัยความมั่นคงปลอดภัย Socket ตรวจพบแคมเปญโจมตีห่วงโซ่อุปทานชื่อ GlassWorm ซึ่งเผยแพร่ส่วนขยายอันตรายบน VS Code Marketplace และ Open VSX รวมกันกว่า 10 รายการ โดยแอบอ้างเป็นธีมปรับแต่งหน้าจอที่มียอดดาวน์โหลดหลักพันครั้ง ภายในโค้ด JavaScript ของส่วนขยายจะลอบเรียกคำสั่งดาวน์โหลดสคริปต์แบทช์จากโดเมนภายนอกมาบันทึกเป็น temp_batch.cmd และสั่งรันแบบซ่อนหน้าต่างคอนโซล รวมทั้งยังพบการเข้ารหัสโค้ดและใช้สัญญาบนเครือข่ายบล็อกเชน Solana เป็น Dead Drop Resolver เพื่อค้นหาเซิร์ฟเวอร์ควบคุม

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อเครื่องคอมพิวเตอร์ของนักพัฒนาและโปรแกรมเมอร์ในองค์กรไทย - ปัจจุบัน Visual Studio Code เป็นโปรแกรมเขียนโค้ดยอดนิยมสูงสุดในหมู่นักพัฒนาไทย การติดตั้งส่วนขยายปรับแต่งหน้าจอโดยไม่ตรวจสอบแหล่งที่มาอย่างเข้มงวด อาจเปิดช่องทางให้ผู้โจมตีเข้าถึงเครื่องคอมพิวเตอร์ของทีมพัฒนา (Developer Workstations) และขโมยซอร์สโค้ดที่เป็นความลับทางการค้า

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: สภาพแวดล้อมเครื่องมือพัฒนาซอฟต์แวร์ (IDE) กลายเป็นช่องทางแทรกซึมที่เข้าถึงลึกถึงทรัพยากรภายในองค์กรโดยผ่านการตรวจจับของเกตเวย์ความปลอดภัย

ยุทธการ: ผู้โจมตีล่อลวงผู้ใช้ผ่านการออกแบบธีมยอดนิยมและใช้เทคนิคการซ่อนหน้าต่างเพื่อไม่ให้ผู้ใช้สังเกตเห็นความผิดปกติขณะกำลังเขียนโปรแกรม

ยุทธวิธี: แทรกคำสั่ง Node.js ดึงสคริปต์จาก hxxps://fingercakes4sale[.]store/dsyuC บันทึกเป็น temp_batch.cmd และสั่งรันผ่าน cmd.exe พร้อมแฟลก windowsHide

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

นักพัฒนาซอฟต์แวร์, แผนกวิศวกรรมไอที, สภาพแวดล้อม IDE และเครื่องคอมพิวเตอร์ตั้งโปรแกรม

MITRE ATT&CK

T1195.001 Compromise Software Dependencies and Development Tools T1059.007 JavaScript T1059.003 Windows Command Shell T1105 Ingress Tool Transfer T1564.003 Hidden Window T1102.001 Dead Drop Resolver

IOC ที่สำคัญ

hxxps://fingercakes4sale[.]store/dsyuC fingercakes4sale[.]store

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Socket Research →

ตรวจพบรูทคิทระดับเคอร์เนล "RwyKit" แฝงตัวในไดรเวอร์ NDIS ของ Windows ลักลอบดักจับและแก้ไขทราฟฟิก HTTP

เผยแพร่: 8 ตุลาคม 2569 · แหล่งที่มา: ExaTrack · Admiralty B2

นักวิจัยความมั่นคงปลอดภัยจาก ExaTrack ค้นพบรูทคิทระดับเคอร์เนลที่ไม่เคยปรากฏมาก่อนชื่อ RwyKit ซึ่งได้รับการลงลายมือชื่อดิจิทัลอย่างถูกต้องและแฝงตัวเป็นไดรเวอร์ NDIS (Network Driver Interface Specification) โดยสวมรอยเป็นไดรเวอร์ usbcore มัลแวร์ตัวนี้มีคุณสมบัติในการดักจับ แก้ไข และปลอมแปลงการตอบสนองของข้อมูลโปรโตคอล HTTP โดยตรงที่ระดับเคอร์เนลของ Windows เพื่อเปลี่ยนเส้นทางทราฟฟิกเว็บไปยังปลายทางของผู้โจมตีอย่างแนบเนียนและหลบเลี่ยงการตรวจจับของซอฟต์แวร์ความปลอดภัย

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อระบบปฏิบัติการ Windows และเซิร์ฟเวอร์ในไทย - การฝังตัวในระดับเคอร์เนลผ่านไดรเวอร์ที่ได้รับการเซ็นรับรองถูกต้อง ทำให้โซลูชันแอนติไวรัสหรือ EDR บนโฮสต์ตรวจจับได้ยากมาก หากถูกโจมตี ข้อมูลการท่องเว็บหรือการดาวน์โหลดไฟล์ของพนักงานอาจถูกสับเปลี่ยนและนำไปสู่การติดตั้งเพย์โหลดอันตรายเพิ่มเติม

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การแทรกซึมระดับเคอร์เนลผ่านไดรเวอร์ที่ได้รับใบรับรองถูกต้องสะท้อนถึงขีดความสามารถขั้นสูงของผู้โจมตีในการทำลายความน่าเชื่อถือของกลไกความปลอดภัยระบบ

ยุทธการ: บิดเบือนการไหลของข้อมูลเครือข่ายตั้งแต่ระดับเคอร์เนล ทำให้ระบบตรวจสอบความปลอดภัยบนโฮสต์มองไม่เห็นข้อมูลที่ถูกดัดแปลงแก้ไข

ยุทธวิธี: ติดตั้ง NDIS filter driver สวมชื่อเซอร์วิส usbcore และเชื่อมต่อไปยังเซิร์ฟเวอร์ tt.51wanyx[.]net เพื่อรับคำสั่งและคอนฟิกการเปลี่ยนเส้นทาง HTTP

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โครงสร้างพื้นฐานระบบปฏิบัติการ Windows, สภาพแวดล้อมเครือข่ายไอทีองค์กร, เครื่องเซิร์ฟเวอร์และเครื่องลูกข่าย

MITRE ATT&CK

T1014 Rootkit T1547.006 Kernel Modules and Extensions T1036.005 Match Legitimate Resource Name or Location T1040 Network Sniffing T1557 Adversary-in-the-Middle T1553.002 Code Signing

IOC ที่สำคัญ

0642ac2213f7e13e737d1b75bed02c6c0459ec59911a7d9f87876fead294eaff 2b237c9af84831150ea027ee9d35b20a1669c8e515a324fff58b8fd751460f8a 85a52b92e240700e2f3ab62357f6f565b55de202e90a6032c9b732df92e2d6cf tt.51wanyx[.]net hxxp://tt.51wanyx[.]net/xstf/allport.asp

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: ExaTrack →

ข้อสังเกตประจำสัปดาห์

การโจมตีห่วงโซ่อุปทานระบบอัตโนมัติ (CI/CD Pipeline) กำลังทวีความรุนแรงขึ้น โดยผู้โจมตีมุ่งเน้นการขโมย Personal Access Token (PAT) ของนักพัฒนาเพื่อแทรกเวิร์กโฟลว์อันตรายและสแกนค้นหาความลับย้อนหลังในประวัติ Git ส่งผลให้กุญแจคลาวด์และ API ตกอยู่ในความเสี่ยงเป็นวงกว้าง
ระบบบริหารจัดการการสำรองข้อมูล (Backup Infrastructure) กลายเป็นเป้าหมายหลักของการโจมตีเพื่อทำลายความสามารถในการกู้คืนระบบ โดยผู้โจมตีใช้เทคนิคเชื่อมโยงช่องโหว่ (Vulnerability Chaining) ข้ามขั้นตอนการยืนยันตัวตนและยึดสิทธิ์สูงสุดในการควบคุมเซิร์ฟเวอร์
ผู้พัฒนาภัยคุกคามหันมาใช้เทคนิคการแฝงตัวระดับลึก ทั้งการฝังตัวในสภาพแวดล้อม IDE ผ่านส่วนขยายอันตราย และการแทรกซึมระดับเคอร์เนลระบบปฏิบัติการผ่านไดรเวอร์ที่ได้รับใบรับรอง เพื่อดัดแปลงการรับส่งข้อมูลเครือข่ายและหลบเลี่ยงการตรวจจับของซอฟต์แวร์ความปลอดภัยดั้งเดิม

ข้อเสนอแนะ

องค์กรควรทบทวนและจำกัดสิทธิ์ของ Personal Access Token (PAT) ในระบบ GitHub Actions ให้เป็นแบบ Fine-grained พร้อมทั้งเปิดใช้งานมาตรการบังคับอนุมัติเวิร์กโฟลว์ก่อนรันคำสั่งจากผู้มีส่วนร่วมภายนอก
ผู้ดูแลระบบที่ใช้งาน Ahsay Cloud Backup Suite (AhsayCBS) ต้องเร่งติดตั้งแพตช์อัปเดตเวอร์ชันล่าสุด (AhsayCBS 10.3.4.45 หรือ 9.15.2.70) ในทันที และจำกัดการเข้าถึงพอร์ตบริการสำรองข้อมูลเฉพาะภายในเครือข่ายที่ได้รับอนุญาตหรือผ่าน VPN เท่านั้น
กำหนดนโยบายควบคุมการติดตั้งส่วนขยายบนเครื่องมือเขียนโปรแกรม (IDE Extension Allowlisting) ภายในทีมพัฒนา และรณรงค์ให้นักพัฒนาติดตั้งเฉพาะส่วนขยายที่มีเครื่องหมายรับรองจากผู้เผยแพร่ที่เชื่อถือได้
เปิดใช้งานฟังก์ชัน Driver Signature Enforcement และเทคโนโลยีความปลอดภัยระดับเคอร์เนล เช่น Hypervisor-Protected Code Integrity (HVCI) บนระบบปฏิบัติการ Windows เพื่อสกัดกั้นการโหลดไดรเวอร์ที่ไม่ได้รับอนุญาต
ติดตั้งโซลูชันการตรวจจับความลับที่รั่วไหล (Secret Scanning) ภายในคลังโค้ดขององค์กรอย่างสม่ำเสมอ เพื่อให้สามารถเพิกถอนและหมุนเวียนคีย์ (Key Rotation) ได้ทันท่วงทีเมื่อตรวจพบสัญญาณความเสี่ยง

สรุป: ภัยคุกคามภาคเทคโนโลยีสารสนเทศในรอบสัปดาห์นี้ชี้ให้เห็นถึงความเสี่ยงสูงจากการแทรกซึมห่วงโซ่อุปทาน CI/CD บน GitHub Actions การฉวยใช้ช่องโหว่รุนแรงบนซอฟต์แวร์สำรองข้อมูล AhsayCBS การแพร่กระจายส่วนขยาย VS Code อันตราย และการตรวจพบเคอร์เนลรูทคิท RwyKit ดักแก้ข้อมูล HTTP องค์กรจึงควรเร่งอัปเดตแพตช์ระบบสำรองข้อมูล คุมเข้มสิทธิ์การเข้าถึงไปป์ไลน์ และตรวจสอบสภาพแวดล้อมการพัฒนาซอฟต์แวร์อย่างต่อเนื่อง

TLP:CLEAR

ห้วงเวลาข้อมูล: 5-11 ตุลาคม 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)