CGI-CTI-WEEKLY-20261012-TRN  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการขนส่งและโลจิสติกส์ ประจำสัปดาห์

Transportation & Logistics Sector Weekly Report

ห้วงเวลา: 5-11 ตุลาคม 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบการพุ่งเป้าโจมตีภาคการขนส่ง โลจิสติกส์ และการบินพลเรือนอย่างมีนัยสำคัญ ทั้งการแอบอ้างแบรนด์ท่าอากาศยานสากล Dubai Airports โดยกลุ่มเชื่อมโยงอิหร่าน CL-STA-1178 เพื่อเจาะระบบโครงสร้างพื้นฐาน การเจาะระบบบริษัทโลจิสติกส์และขโมยกุญแจ Shipping API โดยพันธมิตรแรนซัมแวร์ Gentlemen การขยายตัวของโครงสร้างพื้นฐาน SMS Smishing สวมรอยแบรนด์จัดส่งพัสดุ และการใช้วิศวกรรมสังคมพุ่งเป้าเครือข่ายโลจิสติกส์และคมนาคมโดยกลุ่มจารกรรม UAC-0099

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 5-11 ตุลาคม 2569 สถานการณ์ภัยคุกคามไซเบอร์ในภาคการขนส่งและโลจิสติกส์ (Transportation & Logistics) จัดอยู่ในระดับความเสี่ยงสูง (High Risk) โดยตรวจพบว่าผู้ไม่ประสงค์ดีทั้งกลุ่มจารกรรมระดับรัฐและอาชญากรไซเบอร์มุ่งฉวยโอกาสจากห่วงโซ่อุปทานและจุดเชื่อมต่อบริการคมนาคมขนส่ง ประการแรก รายงานของ Palo Alto Networks Unit 42 ชี้ว่ากลุ่ม CL-STA-1178 (Blinder Tunnel) ที่เชื่อมโยงกับอิหร่าน ได้แอบอ้างฝ่ายไอทีของท่าอากาศยานดูไบ (Dubai Airports) เผยแพร่โครงการ C# อันตรายเพื่อทำ AppDomainManager Hijacking ฝังมัลแวร์ ShelbyLoader V2 และใช้ GitHub API เป็น C2 เจาะระบบโครงสร้างพื้นฐานการบิน ประการที่สอง CloudSEK เปิดเผยปฏิบัติการของพันธมิตรแรนซัมแวร์ Gentlemen นาม Azazel ที่เจาะระบบและขโมยข้อมูล 6TB จากกว่า 24 องค์กร รวมถึงระบบโลจิสติกส์ โดยเก็บเกี่ยวกุญแจ Shipping API และรหัสผ่านฐานข้อมูลจากสภาพแวดล้อม CI/CD ประการที่สาม Censys ตีแผ่โครงสร้างพื้นฐานการสวมรอยแบรนด์จัดส่งพัสดุและไปรษณีย์ เช่น USPS ผ่าน SMS Smishing หลอกส่งมัลแวร์ NetSupport RAT และสคริปต์ ClickFix และประการที่สี่ ESET Research รายงานวิวัฒนาการของมัลแวร์ดาวน์โหลดเดอร์ MATCHBOIL โดยกลุ่ม UAC-0099 ที่พุ่งเป้าหน่วยงานคมนาคมขนส่งผ่านเอกสารล่อลวงทางธุรกิจ เพื่อปูทางสู่การจารกรรมข้อมูลเชิงลึกในเครือข่ายเป้าหมาย

เหตุการณ์เด่นประจำสัปดาห์

กลุ่มภัยคุกคาม CL-STA-1178 (Blinder Tunnel) แอบอ้างหน่วยงานท่าอากาศยานดูไบ (Dubai Airports) โจมตีโครงสร้างพื้นฐานการบินพลเรือนด้วย C# และ GitHub C2

เผยแพร่: 6 ตุลาคม 2569  ·  แหล่งที่มา: Palo Alto Networks Unit 42  ·  Admiralty B2

ทีมนักวิจัย Unit 42 เผยแพร่รายงานวิเคราะห์แคมเปญ Blinder Tunnel ดำเนินการโดยกลุ่มภัยคุกคามที่มีความเชื่อมโยงกับอิหร่าน CL-STA-1178 (กลุ่มเดียวกับ Agent Serpens) มุ่งเป้าโจมตีโครงสร้างพื้นฐานสำคัญ โดยเฉพาะภาคการบินพลเรือน (Civil Aviation) และโทรคมนาคม ผู้โจมตีใช้วิศวกรรมสังคมแอบอ้างเป็นฝ่ายไอทีของท่าอากาศยานดูไบ (Dubai Airports) ส่งไฟล์โครงการเขียนโปรแกรม C# ที่ถูกดัดแปลง (.csproj) ล่อลวงให้เหยื่อเปิดทำงาน นำไปสู่การทำ AppDomainManager Hijacking และ DLL Sideloading เพื่อรันมัลแวร์ ShelbyLoader V2 โดยใช้ GitHub Issues และ Repositories เป็นโครงสร้างพื้นฐานรับส่งคำสั่ง C2 แบบสองทาง พร้อมเปิดทันเนล Chisel แทรกซึมเครือข่ายภายใน

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรการบิน ท่าอากาศยานพาณิชย์ และห่วงโซ่อุปทานการบินในประเทศไทยที่มีการเชื่อมโยงระบบสารสนเทศและการแลกเปลี่ยนข้อมูลกับท่าอากาศยานศูนย์กลางในภูมิภาคตะวันออกกลาง โดยผู้โจมตีอาจนำรูปแบบการแอบอ้างฝ่ายบุคคลของท่าอากาศยานสากลและเทคนิคการฝังโค้ดอันตรายในโครงการซอฟต์แวร์ C# มาปรับใช้โจมตีวิศวกรระบบและนักพัฒนาของสายการบินในไทย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐมุ่งเจาะระบบโครงสร้างพื้นฐานการบินพลเรือนเพื่อเตรียมการจารกรรมข้อมูลการเคลื่อนย้ายและสร้างช่องทางเข้าถึงเชิงยุทธศาสตร์ระยะยาว

ยุทธการ: ผู้โจมตีเปลี่ยนผ่านจากการใช้เอกสารออฟฟิศมาเป็นการแอบอ้างคลังโค้ดซอฟต์แวร์และการใช้บริการคลาวด์สาธารณะอย่าง GitHub API เพื่อพรางทราฟฟิก C2 ร่วมกับทราฟฟิกปกติ

ยุทธวิธี: การฉวยใช้กลไก AppDomainManager ในไฟล์คอนฟิก .NET สั่งโหลด DLL แปลกปลอมโดยไม่ต้องอาศัยสิทธิ์ผู้ดูแลระบบ และใช้ Chisel สร้างทันเนลเชื่อมต่อย้อนกลับสู่ภายนอก

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

การบินพลเรือน (Civil Aviation), ผู้บริหารจัดการท่าอากาศยาน, โทรคมนาคม และวิศวกรระบบสารสนเทศ

MITRE ATT&CK
T1566.002 Spearphishing Link T1574.014 AppDomainManager T1574.001 DLL Search Order Hijacking T1127.001 MSBuild T1102.002 Bidirectional Communication T1572 Protocol Tunneling
IOC ที่สำคัญ
6e7d9b33f1e72ea1ede71373a604ecdb060dab7d42055179c1eede9ecd1fd239 f5b12772db6817f7a765a6fe7565fd3d4f87edc28e42fe3ec0244a372a410fc9 53f35e49eb9b271fd8cbcd3daacb525328dbf159a03dbd1c7adebe0363daa402 3fd810a3aa0039993393741b32287c367a9a5037a41e826906440887cdd3ed13 76273382e4252c1f60a2251141e108942494409c759358320735891762c0682e

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Palo Alto Networks Unit 42 →

กลุ่มพันธมิตรแรนซัมแวร์ Gentlemen เจาะระบบบริษัทโลจิสติกส์ผ่านกุญแจ API การขนส่งและข้อมูลลับ CI/CD

เผยแพร่: 5 ตุลาคม 2569  ·  แหล่งที่มา: CloudSEK  ·  Admiralty B2

CloudSEK เผยแพร่ผลการสืบสวนเชิงลึกต่อกลุ่มพันธมิตรแรนซัมแวร์ภาษารัสเซีย The Gentlemen ภายใต้ชื่อรหัส Azazel ซึ่งโจมตีเหยื่อกว่า 24 องค์กรใน 6 ประเทศ และโจรกรรมข้อมูลรวมกว่า 6TB โดยตรวจพบว่าหนึ่งในเหยื่อหลักอยู่ในภาคบริการโลจิสติกส์ (Logistics) และการขนส่งสินค้า ผู้โจมตีเข้าถึงเครือข่ายจากการเก็บเกี่ยวกุญแจลับที่ฝังอยู่ในระบบ GitLab CI/CD ส่งผลให้ได้สิทธิ์เข้าถึงฐานข้อมูล Oracle, PostgreSQL, รหัสผ่านเซิร์ฟเวอร์ SSH และกุญแจ API การขนส่งสินค้า (Shipping API credentials) ก่อนดำเนินการเข้ารหัสข้อมูลและขู่กรรโชกทรัพย์ผ่านช่องทาง C2 บนโปรโตคอล Model Context Protocol (MCP)

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ให้บริการโลจิสติกส์ คลังสินค้า และผู้ส่งออกสินค้าของไทยที่นำระบบบริหารจัดการการขนส่ง (Transportation Management System - TMS) มาเชื่อมต่อกับพันธมิตรผ่าน API หากไม่มีการควบคุมการจัดเก็บกุญแจ API หรือปล่อยให้รั่วไหลในไปป์ไลน์ CI/CD อาจถูกผู้ไม่ประสงค์ดีสวมรอยเข้าถึงข้อมูลการกระจายสินค้า หรือถูกยึดระบบเพื่อเรียกค่าไถ่จนการจัดส่งหยุดชะงัก

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ห่วงโซ่อุปทานการขนส่งพึ่งพาระบบดิจิทัลและ API มากขึ้น ทำให้กุญแจการเชื่อมต่อกลายเป็นเป้าหมายทำเงินสำคัญของขบวนการแรนซัมแวร์

ยุทธการ: ผู้โจมตีมุ่งเจาะลึกผ่านสภาพแวดล้อม DevOps และตัวแปรระบบ CI/CD เพื่อดึงกุญแจลับไปเปิดประตูเข้าถึงฐานข้อมูลแกนกลางและระบบจัดส่งสินค้าโดยตรง

ยุทธวิธี: สแกนหาความลับในโค้ดและคอนฟิกูเรชัน ใช้บัญชีที่ถูกต้องล็อกอินผ่าน SSH และฉวยใช้โปรโตคอล MCP ในการเป็นช่องทางสั่งการและขโมยข้อมูลลับ

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคโลจิสติกส์และการกระจายสินค้า (Logistics & Supply Chain), บริการขนส่งสินค้า (Shipping), ประกันภัย และเทคโนโลยี

MITRE ATT&CK
T1552.001 Credentials In Files T1528 Steal Application Access Token T1078 Valid Accounts T1021.004 SSH T1567.002 Exfiltration to Cloud Storage T1486 Data Encrypted for Impact
IOC ที่สำคัญ
23.236.169[.]183 162.220.163[.]26 forgitlab[.]com 66.179.30[.]155 141.95.252[.]30 66.203.124[.]135

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: CloudSEK →

Censys ตีแผ่โครงสร้างพื้นฐานการสวมรอยแบรนด์ขนส่งและพัสดุไปรษณีย์ หลอกเหยื่อด้วย SMS Smishing และโทรจัน NetSupport

เผยแพร่: 9 ตุลาคม 2569  ·  แหล่งที่มา: Censys  ·  Admiralty B2

Censys ตีพิมพ์รายงานวิเคราะห์โครงสร้างพื้นฐานการสวมรอยแบรนด์และภัยหลอกลวงออนไลน์ โดยระบุถึงการพุ่งเป้าปลอมแปลงเป็นแบรนด์ผู้ให้บริการขนส่งพัสดุด่วนและไปรษณีย์ระดับสากล เช่น บริการไปรษณีย์แห่งชาติสหรัฐฯ (USPS) ผ่านการโจมตีแบบ SMS Phishing (Smishing) แจ้งเตือนพัสดุตกหล่น ผู้โจมตีสร้างโฮสต์เนมปลอมโดยนำชื่อแบรนด์ไปใส่ในส่วนหน้าของซับโดเมนเพื่อพรางตาบนหน้าจอโทรศัพท์มือถือ เมื่อเหยื่อกดลิงก์จะถูกนำไปยังหน้าเว็บหลอกลวงที่นำไปสู่การติดตั้งโทรจันควบคุมระยะไกล NetSupport RAT หรือหน้าต่างตรวจสอบความปลอดภัยปลอมแบบ ClickFix เพื่อหลอกให้รันสคริปต์ติดมัลแวร์

ผลกระทบต่อประเทศไทย

มีความเชื่อมโยงโดยตรงกับสถานการณ์ภัยคุกคามในประเทศไทย ซึ่งมิจฉาชีพและกลุ่มอาชญากรไซเบอร์นิยมส่งข้อความ SMS สวมรอยเป็นผู้ให้บริการจัดส่งพัสดุชั้นนำในประเทศ (เช่น ไปรษณีย์ไทย, แฟลช เอ็กซ์เพรส, เคอรี่ เอ็กซ์เพรส) โดยอ้างเหตุผลเรื่องพัสดุไม่สามารถจัดส่งได้ เพื่อหลอกลวงให้ผู้บริโภคและบุคลากรในองค์กรกรอกข้อมูลส่วนบุคคล บัตรเครดิต หรือดาวน์โหลดแอปพลิเคชันควบคุมเครื่องทางไกล

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: อุตสาหกรรมขนส่งพัสดุและไปรษณีย์ถูกนำมาใช้เป็นเครื่องมือหลอกลวงเนื่องจากเป็นจุดสัมผัสที่สร้างความน่าเชื่อถือและความเร่งด่วนต่อประชาชนในวงกว้าง

ยุทธการ: กลุ่มมิจฉาชีพตั้งโครงสร้างพื้นฐานและจดโดเมนจำนวนมากเพื่อสร้างซับโดเมนที่มีชื่อแบรนด์ขนส่ง หลบเลี่ยงระบบบล็อกเกอร์ของเว็บเบราว์เซอร์บนมือถือ

ยุทธวิธี: ส่งข้อความ SMS แนบลิงก์สั้น นำทางสู่หน้าเว็บปลอมที่รันสคริปต์ ClickFix ล่อลวงให้ผู้ใช้คัดลอกคำสั่ง PowerShell หรือดาวน์โหลดไฟล์ payload หลอกขโมยข้อมูล

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ผู้ให้บริการขนส่งพัสดุและไปรษณีย์ (Courier & Postal Services), อีคอมเมิร์ซ, และผู้ใช้บริการจัดส่งสินค้า

MITRE ATT&CK
T1566.002 Spearphishing Link T1583.001 Domains T1036.005 Match Legitimate Resource Name or Location T1059.001 PowerShell T1204.001 Malicious Link T1105 Ingress Tool Transfer
IOC ที่สำคัญ
usps[.]xupqnqz[.]one binance-idexchange[.]com hxxp://binance-idexchange[.]com/333.mp4 google[.]2oauth[.]com i-ua[.]cc[.]cd

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Censys →

ESET เผยวิวัฒนาการมัลแวร์ดาวน์โหลดเดอร์ MATCHBOIL โดยกลุ่ม UAC-0099 มุ่งเป้าจารกรรมข้อมูลภาคการขนส่ง

เผยแพร่: 8 ตุลาคม 2569  ·  แหล่งที่มา: ESET WeLiveSecurity  ·  Admiralty B2

ESET Research รายงานการติดตามกลุ่มภัยคุกคาม UAC-0099 ซึ่งมีประวัติพุ่งเป้าโจมตีหน่วยงานในยูเครนและภาคพื้นยุโรปอย่างต่อเนื่อง โดยในรอบปี 2569 พบการขยายเป้าหมายมายังภาคคมนาคมขนส่ง (Transport) การผลิต และโครงสร้างพื้นฐานพลังงาน กลุ่มผู้โจมตีได้พัฒนาเครื่องมือดาวน์โหลดเดอร์ภาษา C# ตัวใหม่ชื่อ MATCHBOIL ควบคู่กับแบคดอร์ MATCHWOK อาศัยการส่งอีเมลฟิชชิ่งแนบไฟล์เอกสารและลิงก์สมัครงานหลอกลวง มัลแวร์มีความสามารถในการตรวจสอบสภาพแวดล้อมเพื่อหลบเลี่ยงการวิเคราะห์ (Evasion) เรียกใช้งาน WMI ค้นหาข้อมูลเครื่อง และสื่อสารผ่านโปรโตคอลเว็บเพื่อดาวน์โหลดโมดูลจารกรรมขั้นถัดไป

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อระบบเทคโนโลยีสารสนเทศของหน่วยงานบริหารโครงสร้างพื้นฐานด้านการขนส่งของไทย แม้ปฏิบัติการของ UAC-0099 จะมีขอบเขตภูมิศาสตร์หลักในยุโรปตะวันออก แต่เทคนิคการใช้มัลแวร์ดาวน์โหลดเดอร์ C# ขนาดเล็กและการติดต่อ C2 ผ่านโดเมนที่ดูน่าเชื่อถือ เป็นรูปแบบที่มักถูกลอกเลียนแบบโดยกลุ่มผู้ก่อภัยคุกคามข้ามชาติเพื่อใช้เจาะระบบโลจิสติกส์ในภูมิภาคเอเชียตะวันออกเฉียงใต้

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การจารกรรมข้อมูลด้านการขนส่งและการเคลื่อนย้ายกำลังบำรุงมีบทบาทสำคัญต่อการประเมินสถานการณ์ความมั่นคงและเศรษฐกิจในภาวะความขัดแย้ง

ยุทธการ: ผู้โจมตีปรับปรุงซอร์สโค้ดและสถาปัตยกรรมตัวโหลดอย่างต่อเนื่อง เพื่อทำให้ตัวดาวน์โหลดมีขนาดกะทัดรัดและสามารถฝังตัวผ่านงานที่ตั้งเวลาไว้ (Scheduled Tasks)

ยุทธวิธี: หลอกล่อเหยื่อด้วยไฟล์ล่อลวง เรียกคำสั่ง Visual Basic และ WMI ตรวจสอบชื่อเครื่อง จากนั้นเข้ารหัสทราฟฟิกด้วย Asymmetric Cryptography ติดต่อไปยังโดเมนควบคุมภายนอก

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการขนส่งและคมนาคม (Transport), หน่วยงานภาครัฐ, และภาคการผลิตอุตสาหกรรม

MITRE ATT&CK
T1566.002 Spearphishing Link T1204.002 Malicious File T1047 Windows Management Instrumentation T1547.001 Registry Run Keys / Startup Folder T1053.005 Scheduled Task T1573.002 Asymmetric Cryptography
IOC ที่สำคัญ
virtualdailyplanner[.]pro telemetry-conf[.]com flycloud-service[.]com airarticlegenerate[.]com 64.95.10[.]223 b6569b0050b864c4a0d32326954bc2d3852a3958

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: ESET Research →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามภาคการขนส่งและโลจิสติกส์ในสัปดาห์นี้ชี้ชัดถึงความพยายามเจาะโครงสร้างพื้นฐานการบินผ่านการแอบอ้างท่าอากาศยานดูไบของกลุ่ม CL-STA-1178 การจารกรรมกุญแจ Shipping API ในภาคโลจิสติกส์โดยกลุ่มแรนซัมแวร์ Gentlemen การสวมรอยแบรนด์จัดส่งพัสดุเพื่อแพร่กระจายโทรจัน NetSupport และการพุ่งเป้าภาคคมนาคมโดยกลุ่ม UAC-0099 องค์กรจึงควรเร่งป้องกันการทำ DLL Sideloading คุมเข้มความลับในระบบ CI/CD และยกระดับการเฝ้าระวังภัยฟิชชิ่งสวมรอยแบรนด์ขนส่ง

TLP:CLEAR

ห้วงเวลาข้อมูล: 5-11 ตุลาคม 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)