CGI-CTI-WEEKLY-20261019-EDU  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการศึกษาและวิจัย ประจำสัปดาห์

Education & Research Weekly Report

ห้วงเวลา: 12-18 ตุลาคม 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ตรวจสอบยืนยันจากรายงานภัยคุกคามระดับสากล พบการใช้อาวุธ AI Agent อัตโนมัติเจาะระบบเซิร์ฟเวอร์งานพิมพ์ PaperCut NG/MF ในสถาบันการศึกษาทั่วโลก, การโจมตีซัพพลายเชน PyPI ใน Operation FalseProof มุ่งเป้าล่อลวงนักวิจัยไซเบอร์ด้วย PoC ปลอม, การสอดแนมทางไซเบอร์ของกลุ่ม Kimsuky ใน Operation GitPower พุ่งเป้าคลังสมองและนักวิจัยนโยบาย, และการโจมตี Entra ID Device-Code Phishing โดยกลุ่ม GTG-20006 พุ่งเป้าสถาบันวิจัย

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 12-18 ตุลาคม 2569 สถานการณ์ภัยคุกคามไซเบอร์ที่มุ่งเป้าภาคการศึกษาและวิจัย (Education & Research) ทวีความซับซ้อนอย่างมีนัยสำคัญ ทั้งในมิติการเจาะโครงสร้างพื้นฐานไอทีของสถานศึกษาและการพุ่งเป้าจารกรรมข้อมูลงานวิจัยเชิงยุทธศาสตร์ ประการแรก Hunt.io เปิดโปงการค้นพบโครงสร้างพื้นฐานของผู้ไม่หวังดีที่นำเฟรมเวิร์ก AI Agent มาควบคุมการสแกนและเจาะระบบเซิร์ฟเวอร์บริหารงานพิมพ์ PaperCut NG/MF ที่ใช้งานอย่างแพร่หลายในมหาวิทยาลัยกว่า 45 ประเทศทั่วโลก โดยฉวยใช้ช่องโหว่ CVE-2026-81578 และเส้นทาง RCE ผ่าน XML-RPC ร่วมกับการฝังเครื่องมือ Chisel ทันเนลถาวร ประการที่สอง S2W รายงานปฏิบัติการ Operation FalseProof ของกลุ่ม UNSI-022 ซึ่งวางยาแพ็กเกจบน PyPI แฝงในโค้ดทดสอบช่องโหว่ (PoC) บน GitHub เพื่อแพร่กระจายดรอปเปอร์ SporeDrop และสปายแวร์ MeridianSpy มุ่งเป้านักวิจัยและนักวิชาการที่ศึกษาช่องโหว่ความปลอดภัย ประการที่สาม Genians ตรวจพบปฏิบัติการ Operation GitPower ของกลุ่ม Kimsuky ที่ใช้การฟิชชิ่งแฝงหัวข้อสัมมนาวิชาการล่อลวงผู้เชี่ยวชาญด้านนโยบายและสถาบันคลังสมอง และประการสุดท้าย ReversingLabs รายงานการตรวจพบแคมเปญของกลุ่ม GTG-20006 ที่มีความเชื่อมโยงกับ Midnight Blizzard ซึ่งใช้การโจมตีแบบ Device-Code Phishing ขโมยโทเคน Microsoft 365 และติดตั้งแบ็กดอร์ CornFlake มุ่งเป้าองค์กรวิจัยเชิงนโยบาย

เหตุการณ์เด่นประจำสัปดาห์

แคมเปญโจมตีด้วยอาวุธ AI มุ่งเป้าเซิร์ฟเวอร์ PaperCut NG/MF เจาะช่องโหว่ CVE-2026-81578 และ RCE ผ่าน XML-RPC เพื่อขโมยรหัสผ่านและสร้างทันเนล SOCKS5

เผยแพร่: 15 ตุลาคม 2569  ·  แหล่งที่มา: Hunt.io Threat Intelligence  ·  Admiralty B2

ทีมนักวิจัย Hunt.io ตรวจพบโครงสร้างพื้นฐานของกลุ่มผู้ไม่หวังดีที่ใช้เฟรมเวิร์ก AI Agent ในการโจมตีเซิร์ฟเวอร์ระบบจัดการงานพิมพ์ PaperCut NG/MF ในมหาวิทยาลัยและสถานศึกษากว่า 45 ประเทศทั่วโลก โดยผู้โจมตีเปิดเซิร์ฟเวอร์หลัก 45.142.193.132 ที่เปิดเผยไดเรกทอรี ทำให้ตรวจพบไฟล์คู่มือการทำงานของเอเจนต์ (AGENTS.md) เวิร์กเบนช์ "pupercut" โค้ดโจมตีบายพาสสิทธิ์ CVE-2026-81578 และเส้นทางเจาะระบบ RCE ลำดับที่สองผ่านโพรโทคอล XML-RPC พร้อมทั้งติดตั้ง Chisel เพื่อทำ Reverse SOCKS5 Tunneling และใช้สคริปต์ภาษา Rust ดึงข้อมูลความลับ LSA Secrets และบันทึกรีจิสทรี SAM

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อมหาวิทยาลัยและสถาบันการศึกษาในไทย - ซอฟต์แวร์ PaperCut NG/MF ได้รับความนิยมติดตั้งอย่างแพร่หลายในห้องสมุด ศูนย์คอมพิวเตอร์ และคณะวิชาของมหาวิทยาลัยทั้งภาครัฐและเอกชนในประเทศไทย หากเซิร์ฟเวอร์เปิดให้เข้าถึงได้จากอินเทอร์เน็ตภายนอกและยังไม่ได้อัปเดตแพตช์ มีความเสี่ยงสูงที่จะถูกระบบ AI อัตโนมัติสแกนและยึดครองเซิร์ฟเวอร์ ส่งผลให้บัญชีผู้ใช้งานนักศึกษา คณาจารย์ ตลอดจนเครือข่ายภายในมหาวิทยาลัยตกอยู่ในอันตราย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การนำระบบ Autonomous AI Agent มาใช้ประสานงานการเจาะระบบแบบครบวงจร ช่วยลดเวลาในการค้นหาและยึดครองเซิร์ฟเวอร์เป้าหมายในสถาบันการศึกษาทั่วโลกอย่างก้าวกระโดด

ยุทธการ: ผู้โจมตีใช้เส้นทาง XML-RPC RCE เป็นแผนสำรองเมื่อช่องทางเว็บถูกปิดกั้น พร้อมวาง Chisel ทำทันเนลย้อนกลับเพื่อหลบเลี่ยงการบล็อกขาเข้าของไฟร์วอลล์สถาบัน

ยุทธวิธี: ฝ่ายไอทีสถาบันการศึกษาต้องปิดกั้นพอร์ต PaperCut (9191/9192) ไม่ให้เข้าถึงจากอินเทอร์เน็ตสาธารณะ อัปเดตแพตช์เวอร์ชันล่าสุดทันที และบล็อกการสื่อสารไปยังไอพี 45.142.193.132 บนไฟร์วอลล์

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สถาบันอุดมศึกษา, มหาวิทยาลัย, วิทยาลัย, โรงเรียน, ศูนย์คอมพิวเตอร์และห้องสมุดสถาบันการศึกษา, และองค์กรที่ใช้งาน PaperCut Application Server

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1059.006 Python T1572 Protocol Tunneling T1090.002 External Proxy T1003.004 LSA Secrets T1003.002 Security Account Manager T1071.001 Web Protocols
IOC ที่สำคัญ
45.142.193[.]132 (Primary orchestration host / Open directories) 45.158.196[.]75 (Secondary build and execution VPS) hxxp://45.142.193[.]132:8000 (Bulk post-exploitation staging directory) hxxp://45.142.193[.]132:18080 (AI agent workbench pupercut/ open directory) hxxps://45.142.193[.]132:18443 (Chisel reverse tunnel C2 endpoint) 528cd4e69ecfa5191adbcf6ef28667bf (MD5 - lsa_read.exe Rust LSA secret reader)
แหล่งที่มา: Hunt.io Threat Research →

แคมเปญ Operation FalseProof โดยกลุ่ม UNSI-022 ปล่อยแพ็กเกจ PyPI วางยาเลียนแบบโค้ดทดสอบช่องโหว่ (PoC) พุ่งเป้านักวิจัยความมั่นคงปลอดภัยไซเบอร์และนักวิชาการ

เผยแพร่: 16 ตุลาคม 2569  ·  แหล่งที่มา: S2W Threat Intelligence (Virus Bulletin 2026)  ·  Admiralty B2

ทีมนักวิจัยความมั่นคงปลอดภัย S2W เปิดเผยปฏิบัติการ Operation FalseProof ดำเนินการโดยกลุ่ม UNSI-022 มุ่งเป้าหมายไปยังนักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์ นักวิเคราะห์ช่องโหว่ และนักวิจัยในห้องปฏิบัติการมหาวิทยาลัย ผู้โจมตีโคลนคลังโค้ด PoC ช่องโหว่ที่เป็นกระแส (เช่น MongoBleed, React2Shell) บน GitHub และหลอกให้เหยื่อรันสคริปต์ทดสอบ ซึ่งจะแอบติดตั้งแพ็กเกจ PyPI วางยาที่คอมไพล์เนทีฟโมดูลล่วงหน้า เพื่อปล่อยดรอปเปอร์ SporeDrop และสปายแวร์ MeridianSpy ที่ฉวยใช้ Mapbox Datasets API และ Coda.io เป็นช่องทาง C2 ในการรับคำสั่งและขโมยข้อมูลงานวิจัย

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับปานกลางถึงสูงต่อนักวิจัยไซเบอร์และคณาจารย์ในไทย - นักวิจัย คณาจารย์ และนักศึกษาในศูนย์วิจัยไซเบอร์ สถาบันเทคโนโลยี และห้องปฏิบัติการคอมพิวเตอร์ในมหาวิทยาลัยไทยที่ดาวน์โหลดโค้ด PoC ช่องโหว่ใหม่จาก GitHub เพื่อทดลองในสภาพแวดล้อมแล็บ มีความเสี่ยงที่จะตกเป็นเหยื่อของการติดตั้งเพย์โหลดนี้ ส่งผลให้ข้อมูลเครื่องแล็บ รายงานช่องโหว่ที่ยังไม่เปิดเผย และทรัพย์สินทางปัญญาถูกขโมย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้ไม่หวังดีหันมาพุ่งเป้าบุคคลที่มีทักษะเทคนิคสูง โดยการวางยาช่องทางที่นักวิจัยไว้วางใจอย่างคลังโค้ด PoC และคลังแพ็กเกจโอเพนซอร์ส เพื่อใช้เป็นสะพานเชื่อมเข้าสู่ข้อมูลงานวิจัยและเครือข่ายสถาบัน

ยุทธการ: การใช้สคริปต์ setup.py และเนทีฟโมดูล (.pyd/.so) ช่วยให้มัลแวร์ทำงานได้ก่อนที่การตรวจสอบโค้ดระดับ Python จะเริ่มขึ้น พร้อมทั้งใช้ Legitimate Cloud APIs เพื่อหลบเลี่ยงไฟร์วอลล์

ยุทธวิธี: นักวิจัยต้องรันโค้ด PoC ช่องโหว่บนสภาพแวดล้อมที่แยกขาดจากเครือข่าย (Isolated VM) ตรวจสอบไฟล์ requirements.txt ทุกครั้ง และเฝ้าระวังการเชื่อมต่อไปยังไอพี 139.99.54.58 บนไฟร์วอลล์

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

นักวิจัยความมั่นคงปลอดภัยไซเบอร์, คณาจารย์และนักศึกษาห้องปฏิบัติการวิจัยคอมพิวเตอร์, สถาบันวิจัยเทคโนโลยี, และนักพัฒนาซอฟต์แวร์

MITRE ATT&CK
T1195.001 Compromise Software Dependencies and Development Tools T1204.002 Malicious File T1027.002 Software Packing T1102.002 Bidirectional Communication T1567.002 Exfiltration to Cloud Storage T1082 System Information Discovery T1059.006 Python
IOC ที่สำคัญ
8d1f03e9022525b03e9e27b8924b695891a024d94381e4bac3110ded8a8c4b1c (SHA-256 - CoDawnloader) 93eb736a6e493218c3ca60df99eabcd73adbf5b42ef32e569e6aa3d8a3d37f66 (SHA-256 - CoDawnloader) ec00dd503dd7195bf6243076f040f833b12e8833695f5a5a98414bb92b43d3bd (SHA-256 - cryptography.pyd) 139.99.54[.]58 (Exfiltration C2 IP) hxxps://api.mapbox[.]com/datasets/v1/mattallahsaed/cmismaye7000s1mp2v8fkn4lp/features/dm370543acmdopk296nahbtua (MeridianSpy C2 via Mapbox API)
แหล่งที่มา: S2W Threat Research →

กลุ่มภัยคุกคาม Kimsuky ปฏิบัติการ "Operation GitPower" ส่งอีเมลฟิชชิ่งแฝงเชิญสัมมนาวิชาการ พุ่งเป้าสถาบันคลังสมองและนักวิจัยนโยบายระหว่างประเทศ

เผยแพร่: 12 ตุลาคม 2569  ·  แหล่งที่มา: Genians Security Center  ·  Admiralty B2

ศูนย์ความปลอดภัย Genians เปิดเผยรายงานวิเคราะห์แคมเปญ Operation GitPower ดำเนินการโดยกลุ่มแฮกเกอร์ระดับรัฐ Kimsuky (TA406) จากเกาหลีเหนือ มุ่งเป้าผู้เชี่ยวชาญด้านนโยบายการทูต ความมั่นคง สถาบันคลังสมอง (Think Tanks) และนักวิชาการด้านความสัมพันธ์ระหว่างประเทศ โดยผู้โจมตีส่งอีเมลฟิชชิ่งแบบเจาะจงหลอกล่อด้วยการเชิญร่วมงานสัมมนาวิชาการนานาชาติและขอความเห็นบทความวิจัย เมื่อเหยื่อตอบกลับ ผู้โจมตีจะส่งลิงก์ดาวน์โหลดเอกสาร PDF จากเซิร์ฟเวอร์ที่ถูกยึดครอง พร้อมแฝงสคริปต์ PowerShell และไฟล์ทางลัด LNK ที่ฉวยใช้แพลตฟอร์ม GitHub และ GitLab เป็นช่องทางดาวน์โหลดเพย์โหลดและควบคุม C2 เพื่อขโมยเอกสารงานวิจัยนโยบาย

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันวิจัยและคลังสมองในไทย - สถาบันวิจัยด้านนโยบายความมั่นคง สถาบันเอเชียศึกษา และคณาจารย์ด้านรัฐศาสตร์และความสัมพันธ์ระหว่างประเทศในมหาวิทยาลัยไทย มีการติดต่อประสานงานวิชาการระดับนานาชาติอย่างต่อเนื่อง หากขาดความระมัดระวังต่ออีเมลล่อลวงที่แนบเอกสารสัมมนา อาจถูกใช้เป็นช่องทางฝังตัวและโจมตีต่อเนื่องเพื่อขโมยข้อมูลการประเมินนโยบายยุทธศาสตร์ของประเทศ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: หน่วยข่าวกรองระดับรัฐใช้การทูตวิชาการและงานวิจัยเป็นฉากบังหน้าเพื่อแทรกซึมเข้าสู่เครือข่ายนักวิชาการและผู้กำหนดนโยบายระดับสูง เพื่อรวบรวมข่าวกรองเชิงยุทธศาสตร์ทางภูมิรัฐศาสตร์

ยุทธการ: การใช้วิธีพูดคุยสร้างความคุ้นเคยก่อนส่งลิงก์อันตราย (Reply-inducing Lure) ควบคู่กับการใช้บริการ GitHub/GitLab ที่ถูกต้อง ช่วยลดโอกาสการตรวจพบจากระบบกรองอีเมลและไฟร์วอลล์

ยุทธวิธี: ผู้ดูแลระบบควรเปิดใช้งานระบบตรวจจับไฟล์ LNK สองนามสกุล บล็อกการรัน PowerShell โดยผู้ใช้งานทั่วไป และเฝ้าระวังโดเมน dothome.co.kr ที่ถูกใช้เป็นโฮสต์วางไฟล์อันตราย

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สถาบันคลังสมอง (Think Tanks), สถาบันวิจัยนโยบายระหว่างประเทศ, มหาวิทยาลัยและคณะรัฐศาสตร์หรือความสัมพันธ์ระหว่างประเทศ, และองค์กรอิสระด้านสิทธิและนโยบาย

MITRE ATT&CK
T1566.002 Spearphishing Link T1598.003 Spearphishing Link (Phishing for Information) T1059.001 PowerShell T1053.005 Scheduled Task T1036.007 Double File Extension T1102.002 Bidirectional Communication T1567.001 Exfiltration to Code Repository
IOC ที่สำคัญ
45.150.109[.]102 (C2 IP) 85.155.224[.]59 (C2 IP) argeninese.dothome.co[.]kr (Compromised hosting hostname) 05cec01db363488e6762097095d7b7fc (MD5 Malicious sample) babiest26[@]outlook.com (Attacker spear-phishing sender email)
แหล่งที่มา: Genians Threat Research →

กลุ่มภัยคุกคาม Midnight Blizzard (GTG-20006) ใช้เทคนิค Device-Code Phishing แพร่กระจายสเตเจอร์ ChocoShell และแบ็กดอร์ CornFlake มุ่งเป้าสถาบันวิจัยและคลังสมอง

เผยแพร่: 15 ตุลาคม 2569  ·  แหล่งที่มา: ReversingLabs Threat Research  ·  Admiralty B2

ทีมนักวิจัย ReversingLabs เปิดเผยการแกะรอยแคมเปญของกลุ่ม GTG-20006 ซึ่งได้รับการประเมินด้วยความเชื่อมั่นปานกลางว่าอาจเชื่อมโยงกับกลุ่ม Midnight Blizzard (APT29) มุ่งเป้าหมายไปยังสถาบันคลังสมอง (Think Tanks) องค์กรวิจัยเชิงนโยบาย และสถาบันการทูต โดยผู้โจมตีใช้เทคนิคฟิชชิ่งแบบ Microsoft Entra ID Device Code หลอกให้เหยื่อกรอกรหัสอุปกรณ์บนหน้าล็อกอินปลอม เพื่อเข้าถึงโทเคนของบัญชี Microsoft 365 จากนั้นจะดาวน์โหลดสเตเจอร์ PowerShell "ChocoShell" จากเซิร์ฟเวอร์สเตจิง 213.145.86.112 และปล่อยแบ็กดอร์ภาษา Go "CornFlake" เพื่อบันทึกการพิมพ์ ขโมยข้อมูลจากเว็บเบราว์เซอร์ และสร้างช่องทางแอบแฝงถาวร

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันการศึกษาและสถาบันวิจัยในไทย - มหาวิทยาลัยและสถาบันวิจัยในประเทศไทยที่ใช้งานคลาวด์ Microsoft 365 และ Entra ID โดยยังไม่ได้กำหนดนโยบาย Conditional Access เพื่อจำกัดหรือปิดการล็อกอินแบบ Device Flow อาจถูกผู้โจมตีล่อลวงเจ้าหน้าที่วิจัยหรือคณาจารย์ให้ป้อนรหัสอุปกรณ์ ซึ่งจะทำให้ผู้โจมตีได้สิทธิ์เข้าถึงอีเมลและไฟล์เอกสารวิจัยบน SharePoint และ OneDrive โดยไม่ต้องผ่านการตรวจสอบ MFA ปกติ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: หน่วยจารกรรมระดับรัฐหันมาใช้ประโยชน์จากกระบวนการยืนยันตัวตนบนคลาวด์ที่ถูกกฎหมาย (OAuth Device Flow) เพื่อเลี่ยงการตรวจจับของ MFA แบบดั้งเดิม โดยมุ่งเจาะกลุ่มวิจัยนโยบายและคลังสมอง

ยุทธการ: การเชื่อมโยงสเตเจอร์ PowerShell สองระยะเพื่อตรวจสอบบริบทของเหยื่อ ก่อนจะติดตั้งเพย์โหลด Go x64 ที่คอมไพล์แบบเจาะจง ช่วยให้หลบเลี่ยงระบบ EDR บนเครื่องปลายทางได้เป็นอย่างดี

ยุทธวิธี: ผู้ดูแลระบบไอทีของสถาบันต้องปิดการใช้งาน Device Code Flow บน Microsoft Entra ID หากไม่มีความจำเป็น และตรวจสอบการเชื่อมต่อไปยังโดเมน ms365-live.com และไอพี 213.145.86.112

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สถาบันคลังสมอง (Think Tanks), สถาบันวิจัยนโยบายสาธารณะ, มหาวิทยาลัยและหน่วยงานวิจัยระดับสูง, และหน่วยงานการศึกษาที่ใช้งาน Microsoft 365

MITRE ATT&CK
T1566.002 Spearphishing Link T1528 Steal Application Access Token T1059.001 PowerShell T1053.005 Scheduled Task T1056.001 Keylogging T1555.003 Credentials from Web Browsers T1071.001 Web Protocols
IOC ที่สำคัญ
ms365-live[.]com (Lookalike domain for device-code phishing) owa-ms365[.]com (Lookalike domain for device-code phishing) 213.145.86[.]112 (ChocoShell stager hosting and C2 beacon server) be99857449d2856dd5a84e21c8a3d5e0e01456adb44062ddec5a6b4970d8d42c (SHA-256 - ChocoShell ps1 stager) 918fa52ae45ed60ba7cc8bdc99c3cbe9ab92e0375ec31fc05d0d4513be11c593 (SHA-256 - CornFlake Go x64 backdoor)
แหล่งที่มา: ReversingLabs Threat Research →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามไซเบอร์ภาคการศึกษาและวิจัยประจำสัปดาห์มุ่งเน้นทั้งการนำ AI มาใช้เจาะเซิร์ฟเวอร์ระบบงานพิมพ์ PaperCut การปล่อยโค้ด PoC วางยาบน PyPI มุ่งเป้านักวิจัย และการโจมตีขโมยโทเคนคลาวด์ของสถาบันคลังสมอง ฝ่ายไอทีมหาวิทยาลัยต้องเร่งปิดกั้นพอร์ตบริการที่เข้าถึงจากภายนอก จำกัดการยืนยันตัวตนแบบ Device Code และแยกสภาพแวดล้อมการทดสอบโค้ดอย่างเข้มงวด

TLP:CLEAR

ห้วงเวลาข้อมูล: 12-18 ตุลาคม 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)