CGI-CTI-WEEKLY-20261019-ENG  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ด้านพลังงานและสาธารณูปโภค ประจำสัปดาห์

Energy and Utilities Monitoring Weekly Report

ห้วงเวลา: 12-18 ตุลาคม 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากรายงานภัยคุกคามระดับ Tier-1 ตรวจพบแคมเปญจารกรรมไซเบอร์ UAT-6275 มุ่งเป้าโครงสร้างพื้นฐานพลังงานและการบริหารจัดการน้ำ, การค้นพบเทคนิคซ่อนโค้ดอันตรายในโครงการ Orphaned VBA บนไฟล์พิมพ์เขียว AutoCAD DWG สำหรับงานวิศวกรรม, ประกาศเตือนช่องโหว่ร้ายแรงระดับวิกฤตบนไลบรารีควบคุมอุตสาหกรรม Eclipse Milo OPC UA และการเจาะช่องโหว่ RCE ระดับ Root บนไฟร์วอลล์ Palo Alto Networks PAN-OS ซึ่งทำหน้าที่ปกป้องขอบเขตเครือข่าย OT

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 12-18 ตุลาคม 2569 สถานการณ์ภัยคุกคามไซเบอร์ในกลุ่มอุตสาหกรรมพลังงานและสาธารณูปโภค (Energy & Utilities) มีการยกระดับความเสี่ยงอย่างมีนัยสำคัญในทุกมิติของห่วงโซ่การดำเนินงาน ทั้งในระดับการจารกรรมทางยุทธศาสตร์ ห่วงโซ่อุปทานการออกแบบทางวิศวกรรม และความมั่นคงปลอดภัยของระบบควบคุมอุตสาหกรรม (ICS/SCADA) ประการแรก Cisco Talos และ Insikt Group เผยแพร่งานวิจัยการติดตามกลุ่มภัยคุกคาม UAT-6275 (TAG-193 หรือ Silent Lynx) ซึ่งได้รับการประเมินด้วยความเชื่อมั่นปานกลางว่าอาจมีความเชื่อมโยงกับคาซัคสถาน โดยมุ่งเป้าเจาะระบบหน่วยงานภาครัฐ องค์กรบริหารจัดการน้ำ และโครงข่ายพลังงานในภูมิภาคเอเชียกลางผ่านช่องโหว่ WinRAR และการฝังมัลแวร์รีเวิร์สเชลล์ ประการที่สอง SANS Internet Storm Center เปิดเผยการตรวจพบโครงการ Orphaned VBA ที่แฝงตัวอยู่ในไฟล์แบบแปลน AutoCAD DWG ซึ่งเป็นไฟล์สำคัญในงานก่อสร้างโรงไฟฟ้าและสถานีไฟฟ้าย่อย โดยพฤติกรรมตัดการเชื่อมโยงพอยน์เตอร์ช่วยให้โค้ดอันตรายหลบเลี่ยงการสแกนความปลอดภัยได้อย่างมีประสิทธิภาพ ประการที่สาม หน่วยงาน CISA สหรัฐฯ ประกาศคำแนะนำความปลอดภัยด้านระบบควบคุมอุตสาหกรรม ICSA-26-288-01 ระบุช่องโหว่ 6 รายการบน Eclipse Foundation Eclipse Milo ซึ่งเป็นไลบรารี OPC UA ยอดนิยมในระบบ SCADA และเกตเวย์อุตสาหกรรม โดยมีช่องโหว่รุนแรงสูงสุดระดับ CVSS 9.1 เปิดทางให้ผู้โจมตีลักลอบกู้คืนข้อมูลประจำตัวผู้ใช้งาน และประการสุดท้าย พบการพยายามเจาะช่องโหว่การประมวลผลโค้ดระยะไกลระดับ Root บนส่วนต่อประสานการจัดการไฟร์วอลล์ Palo Alto Networks PAN-OS (CVE-2026-0322) ซึ่งเป็นอุปกรณ์ขอบเขตเครือข่ายที่ติดตั้งคั่นระหว่างระบบไอทีองค์กรและระบบปฏิบัติการเทคโนโลยี (OT) ในสถานประกอบการพลังงานอย่างแพร่หลาย

เหตุการณ์เด่นประจำสัปดาห์

กลุ่มจารกรรมไซเบอร์ UAT-6275 มุ่งเป้าโครงสร้างพื้นฐานพลังงานและการบริหารจัดการน้ำในกลุ่มประเทศ CIS ผ่านช่องโหว่ WinRAR และรีเวิร์สเชลล์ Chvost

เผยแพร่: 14 ตุลาคม 2569  ·  แหล่งที่มา: Cisco Talos Intelligence Group  ·  Admiralty B2

ทีมนักวิจัยความมั่นคงปลอดภัย Cisco Talos ร่วมกับ Insikt Group ของ Recorded Future เปิดเผยรายงานความเคลื่อนไหวของกลุ่มจารกรรมไซเบอร์ UAT-6275 ซึ่งมุ่งเป้าโจมตีหน่วยงานราชการ องค์กรด้านการทูต และหน่วยงานกำกับดูแลโครงสร้างพื้นฐานสำคัญ โดยเฉพาะหน่วยงานบริหารจัดการทรัพยากรน้ำและโครงข่ายพลังงานไฟฟ้าในกลุ่มประเทศเครือรัฐเอกราช (CIS) ผู้โจมตีใช้เทคนิคฟิชชิ่งแบบระบุเป้าหมายแนบเอกสารปลอมแปลงและการหลอกล่อด้วยไฟล์บีบอัดที่ใช้ประโยชน์จากช่องโหว่ WinRAR (CVE-2025-8088) ร่วมกับตัวดาวน์โหลดประเภท PS2EXE เพื่อติดตั้งรีเวิร์สเชลล์และมัลแวร์ขนาดเล็กที่พัฒนาขึ้นเอง เช่น Chvost, Laplas และ PickleShell มุ่งเน้นการแอบแฝงตัวระยะยาวเพื่อรวบรวมข้อมูลข่าวกรองด้านพลังงานและการเจรจาทรัพยากรข้ามพรมแดน

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - องค์กรด้านพลังงาน สาธารณูปโภค และหน่วยงานบริหารจัดการน้ำของไทยที่อาจมีห่วงโซ่อุปทานหรือการเชื่อมต่อกับคู่ค้าในภูมิภาคเอเชียกลาง ควรเฝ้าระวังการแอบอ้างเอกสารราชการและการหลอกลวงผ่านไฟล์บีบอัด โดยกลุ่มผู้โจมตีอาจขยายขอบเขตการเก็บข้อมูลเชิงภูมิรัฐศาสตร์ด้านพลังงานและโครงสร้างพื้นฐานสำคัญ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ภัยคุกคามสะท้อนถึงการแข่งขันทางภูมิรัฐศาสตร์ที่มุ่งเน้นการโจรกรรมข้อมูลข่าวกรองเกี่ยวกับทรัพยากรธรรมชาติ โครงสร้างระบบส่งจ่ายพลังงาน และแหล่งน้ำเพื่อสร้างความได้เปรียบในการต่อรองระดับชาติ

ยุทธการ: ผู้โจมตีผสมผสานการใช้ช่องโหว่ของโปรแกรมบีบอัดไฟล์ยอดนิยมร่วมกับสคริปต์ PowerShell ที่อำพรางเป็นไฟล์ปฏิบัติการเพื่อบายพาสการตรวจจับของแอนติไวรัสก่อนลงหลักปักฐานผ่าน Task Scheduler

ยุทธวิธี: ฝ่ายไอทีและศูนย์ปฏิบัติการความปลอดภัยควรบล็อกโดเมน Dynamic DNS ที่ระบุใน IOC ปรับปรุงซอฟต์แวร์ WinRAR ให้เป็นรุ่นล่าสุด และจำกัดการรันสคริปต์ PowerShell ที่สร้างโดยผู้ใช้งานทั่วไป

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐ องค์กรบริหารจัดการน้ำ โครงข่ายระบบส่งจ่ายพลังงานไฟฟ้าและปิโตรเลียม ในกลุ่มประเทศเอเชียกลางและเครือรัฐเอกราช (CIS)

MITRE ATT&CK
T1566.001 Spearphishing Attachment T1203 Exploitation for Client Execution T1059.001 PowerShell T1059.003 Windows Command Shell T1053.005 Scheduled Task T1574.001 DLL Search Order Hijacking
IOC ที่สำคัญ
4.ddns[.]me 6.ddns[.]me asan.zapto[.]org alashsec.hopto[.]me auth-update-check.myddns[.]me blog-tecnet-microsoft.serveftp[.]com

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Cisco Talos Intelligence Group →

SANS ISC ตรวจพบและวิเคราะห์โครงการ VBA ตกค้าง (Orphaned VBA) ในไฟล์พิมพ์เขียว AutoCAD DWG เสี่ยงเล็ดลอดการตรวจจับในระบบวิศวกรรมพลังงาน

เผยแพร่: 14 ตุลาคม 2569  ·  แหล่งที่มา: SANS Internet Storm Center  ·  Admiralty B2

Didier Stevens ผู้เชี่ยวชาญจาก SANS Internet Storm Center รายงานการตรวจพบและวิเคราะห์เชิงลึกเกี่ยวกับโครงสร้างไฟล์พิมพ์เขียว AutoCAD DWG ที่มีโค้ดมาโคร VBA ตกค้างอยู่ในสถานะโครงการกำพร้า (Orphaned VBA Projects) โดยไฟล์แบบแปลนเหล่านี้ยังคงมีโครงสร้าง OLE ที่บรรจุโค้ด VBA ฝังตัวอยู่ภายในไบนารี แต่พอยน์เตอร์ขนาด 32 บิตที่ออฟเซ็ต 0x24 ในส่วนหัวของไฟล์ถูกตั้งค่าเป็นศูนย์ แม้ว่าโปรแกรม AutoCAD จะไม่รันมาโครเหล่านี้ขึ้นมาโดยอัตโนมัติขณะเปิดไฟล์ แต่การคงอยู่ของสตรีมโค้ดลับนี้ทำให้ระบบสแกนความปลอดภัยที่ตรวจสอบเฉพาะส่วนหัวของไฟล์ไม่สามารถมองเห็นได้ ส่งผลให้ผู้ไม่หวังดีสามารถใช้เป็นช่องทางในการลักลอบส่งมัลแวร์หรือซ่อนชุดคำสั่งอันตรายผ่านไฟล์งานออกแบบระบบวิศวกรรม

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - องค์กรด้านพลังงาน ไฟฟ้า น้ำประปา และบริษัทวิศวกรรมโครงสร้างพื้นฐานของไทย มีการแลกเปลี่ยนไฟล์แบบแปลน AutoCAD DWG กับผู้รับเหมาและซัพพลายเออร์ภายนอกเป็นจำนวนมาก ซึ่งหากไม่มีการตรวจสอบโครงสร้างไฟล์อย่างละเอียด อาจทำให้ไฟล์ที่มีการซุกซ่อนโค้ดหรือมัลแวร์เล็ดลอดการตรวจจับของเกตเวย์ความปลอดภัยเข้าสู่ระบบภายใน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ห่วงโซ่อุปทานด้านการออกแบบทางวิศวกรรมและพิมพ์เขียวโครงสร้างพื้นฐานเป็นเป้าหมายที่มีมูลค่าสูง การละเลยการตรวจสอบไฟล์ทางเทคนิคเฉพาะทางเปิดช่องว่างให้เกิดความเสี่ยงระดับองค์กร

ยุทธการ: การปลดพอยน์เตอร์เพื่อสร้างสถานะกำพร้าช่วยให้โค้ดอันตรายหลบเลี่ยงระบบสแกนเอกสารแบบดั้งเดิมที่ยึดติดกับโครงสร้างพอยน์เตอร์มาตรฐานของโปรแกรม CAD

ยุทธวิธี: ฝ่ายความปลอดภัยควรนำกฎตรวจจับ YARA ของ SANS มาปรับใช้บนระบบตรวจจับไฟล์ที่อีเมลเกตเวย์ และใช้เครื่องมืออย่าง oledump ในการสแกนค้นหาสตรีม OLE ภายในไฟล์ DWG โดยไม่พึ่งพาพอยน์เตอร์ส่วนหัว

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรด้านวิศวกรรมพลังงาน สถาปัตยกรรมโครงสร้างพื้นฐาน โรงไฟฟ้า โรงกลั่นน้ำมัน และระบบสาธารณูปโภคที่ใช้งานแบบแปลน AutoCAD

MITRE ATT&CK
T1027 Obfuscated Files or Information T1564 Hide Artifacts T1059.005 Visual Basic T1204.002 Malicious File
IOC ที่สำคัญ
461ed52aeb75384133a8238b2eb481ae5d505d4961effa622673d65a889c8218 09d4607941e458f6dbb6be17825641d863c0b37c185027984e137d8a67e919d8 3310c1a9bfe6115e49d8ac372cef5f460850da05138340107e66b958a6b5bca6

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: SANS Internet Storm Center →

CISA ประกาศแจ้งเตือนความปลอดภัย ICSA-26-288-01 พบคอมโพเนนต์ Eclipse Milo OPC UA มีช่องโหว่ร้ายแรง กระทบระบบควบคุมอุตสาหกรรมและพลังงาน

เผยแพร่: 15 ตุลาคม 2569  ·  แหล่งที่มา: CISA ICS Advisories  ·  Admiralty A1

หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานสหรัฐฯ (CISA) ประกาศคำแนะนำด้านความปลอดภัยระบบควบคุมอุตสาหกรรม (ICS Advisory) รหัส ICSA-26-288-01 แจ้งเตือนการค้นพบช่องโหว่ความปลอดภัยจำนวน 6 รายการในซอฟต์แวร์ Eclipse Foundation Eclipse Milo ซึ่งเป็นไลบรารีภาษา Java สำหรับการสื่อสารตามมาตรฐาน OPC Unified Architecture (OPC UA) ที่ถูกนำไปใช้ในเซิร์ฟเวอร์ SCADA เกตเวย์ข้อมูล และอุปกรณ์ควบคุมในระบบอุตสาหกรรม ช่องโหว่ที่ร้ายแรงที่สุดคือ CVE-2026-60007 (คะแนน CVSS v4.0 สูงถึง 9.1) ซึ่งเกิดจากข้อผิดพลาด Padding Oracle ในการถอดรหัสโทเคนชื่อผู้ใช้ เปิดโอกาสให้ผู้โจมตีที่อยู่ในเส้นทางรับส่งข้อมูลสามารถกู้คืนรหัสผ่านและสวมสิทธิ์เป็นผู้ใช้งานระบบได้ นอกจากนี้ยังมีช่องโหว่การข้ามการตรวจสอบสิทธิ์ (CVE-2026-58080) และการทำให้ระบบหยุดทำงาน (CVE-2026-63252)

ผลกระทบต่อประเทศไทย

ผลกระทบโดยตรงต่อระบบอุตสาหกรรมในไทย - อุปกรณ์ควบคุมอัตโนมัติ เกตเวย์ IIoT และเซิร์ฟเวอร์ SCADA ในโรงไฟฟ้า โรงกลั่นน้ำมัน และระบบสาธารณูปโภคน้ำประปาในไทยที่พัฒนาบนแพลตฟอร์ม Java หรือใช้ไลบรารี Eclipse Milo มีความเสี่ยงต่อการถูกแทรกแซงการควบคุม การข้ามระบบยืนยันตัวตน และการปฏิเสธการให้บริการ ซึ่งอาจส่งผลกระทบต่อเนื่องต่อความต่อเนื่องในการจ่ายกระแสไฟฟ้าและบริการสาธารณูปโภคหลัก

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ความมั่นคงปลอดภัยของมาตรฐานการสื่อสารระบบอุตสาหกรรม เช่น OPC UA เป็นรากฐานสำคัญของความมั่นคงทางพลังงาน การมีช่องโหว่ระดับวิกฤตบนไลบรารีส่วนกลางก่อให้เกิดความเสี่ยงเชิงโครงสร้างต่อโครงสร้างพื้นฐานระดับชาติ

ยุทธการ: ผู้โจมตีสามารถดักจับการสื่อสารในระบบเครือข่ายอุตสาหกรรมเพื่อกู้คืนรหัสผ่านของผู้ควบคุม หรือส่งคำสั่งที่ไม่สมบูรณ์เพื่อทำให้บริการเซิร์ฟเวอร์ OPC UA หยุดทำงาน

ยุทธวิธี: ผู้ดูแลระบบควบคุมอุตสาหกรรมต้องเร่งประสานผู้จัดจำหน่ายอุปกรณ์เพื่ออัปเกรด Eclipse Milo เป็นเวอร์ชัน 1.1.5 ขึ้นไป พร้อมทั้งจำกัดการเข้าถึงเอนด์พอยต์ OPC UA ให้เฉพาะไคลเอนต์ที่ได้รับอนุญาตและปิดการเข้าสู่ระบบแบบไม่ระบุชื่อ (Anonymous)

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคการผลิตขั้นสูง ภาคพลังงานและไฟฟ้า อุตสาหกรรมเคมี และระบบประปาและบำบัดน้ำเสียที่ใช้งานอุปกรณ์มาตรฐาน OPC UA

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1078 Valid Accounts T1499 Endpoint Denial of Service T1552 Unsecured Credentials
IOC ที่สำคัญ
N/A - รายงานฉบับนี้เป็นคำแนะนำด้านช่องโหว่ความปลอดภัยของระบบควบคุมอุตสาหกรรม (Vulnerability Advisory) ผู้ผลิตไม่มีการเผยแพร่ Network/Host IOCs ที่เป็นอันตราย (อ้างอิงรหัสช่องโหว่ CVE-2026-60007, CVE-2026-58080, CVE-2026-62927, CVE-2026-63252)

ดูคำแนะนำด้านความปลอดภัยฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: CISA ICS Advisories →

ตรวจพบการโจมตีช่องโหว่ RCE ระดับ Root บนส่วนต่อประสานการจัดการ Palo Alto Networks PAN-OS (CVE-2026-0322) คุกคามขอบเขตระบบเครือข่าย OT

เผยแพร่: 15 ตุลาคม 2569  ·  แหล่งที่มา: Palo Alto Networks Unit 42  ·  Admiralty B2

Palo Alto Networks และหน่วยงาน CISA แจ้งเตือนการตรวจพบความพยายามโจมตีจริงในวงจำกัดที่มุ่งเป้าช่องโหว่ความปลอดภัยระดับความรุนแรงสูง CVE-2026-0322 (คะแนน CVSS 8.6) บนส่วนต่อประสานการจัดการ (Management Interface) ของระบบปฏิบัติการ PAN-OS ซึ่งส่งผลกระทบต่อไฟร์วอลล์ตระกูล PA-Series, VM-Series และระบบจัดการ Panorama ช่องโหว่นี้เปิดโอกาสให้ผู้โจมตีที่มีสิทธิ์เข้าถึงระบบเครือข่ายของส่วนการจัดการสามารถฝังคำสั่งและประมวลผลโค้ดแปลกปลอมในระดับสิทธิ์สูงสุด (Root Privileges) โดยอุปกรณ์ไฟร์วอลล์เหล่านี้ทำหน้าที่เป็นเกตเวย์หลักในการแบ่งโซนความปลอดภัยและคัดกรองทราฟฟิกระหว่างระบบเครือข่ายองค์กร (IT) และโซนควบคุมระบบอุตสาหกรรม (OT) ในสถานประกอบการพลังงาน

ผลกระทบต่อประเทศไทย

ผลกระทบโดยตรงต่อองค์กรในไทย - ไฟร์วอลล์ Palo Alto Networks ได้รับความนิยมสูงมากในองค์กรด้านพลังงาน ไฟฟ้า น้ำประปา และโทรคมนาคมของไทย โดยเฉพาะการใช้เป็นเกตเวย์ควบคุมการเข้าถึงโซน OT หากเปิดส่วนต่อประสานการจัดการออกสู่อินเทอร์เน็ตหรือเชื่อมต่อกับเครือข่ายภายในที่ถูกบุกรุก ผู้โจมตีสามารถยึดสิทธิ์ Root และแทรกซึมเข้าสู่ระบบควบคุมได้ทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การยึดครองอุปกรณ์ไฟร์วอลล์ขอบเขตทำให้ผู้โจมตีสามารถทะลวงการแบ่งส่วนเครือข่ายตามโมเดล Purdue Model และเข้าถึงส่วนควบคุมลึกในโรงไฟฟ้าหรือสถานีไฟฟ้าย่อยได้

ยุทธการ: ผู้ไม่หวังดีใช้สิทธิ์เข้าถึงระดับผู้ดูแลระบบเพื่อรันโค้ดระดับ Root บนอุปกรณ์ป้องกันขอบเขต ทำให้สามารถดัดแปลงกฎไฟร์วอลล์ ปิดกั้นการบันทึกเหตุการณ์ และดักจับทราฟฟิกข้อมูลควบคุม

ยุทธวิธี: ฝ่ายดูแลระบบต้องตัดการเชื่อมต่อพอร์ตการจัดการของ PAN-OS ออกจากอินเทอร์เน็ตสาธารณะ บังคับให้เข้าถึงผ่านเครือข่ายภายในที่มีการเข้ารหัสและ Jump Box เท่านั้น พร้อมเร่งติดตั้งแพตช์อัปเดตเวอร์ชันล่าสุด

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรด้านพลังงาน สาธารณูปโภค หน่วยงานความมั่นคง และองค์กรระดับองค์กรที่ติดตั้งไฟร์วอลล์ Palo Alto Networks PAN-OS

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1059 Command and Scripting Interpreter T1078 Valid Accounts T1068 Exploitation for Privilege Escalation
IOC ที่สำคัญ
66.42.72[.]14 208.83.239[.]114 149.248.47[.]234

ดูรายละเอียดคำแนะนำความปลอดภัยที่ลิงก์ด้านล่าง

แหล่งที่มา: Palo Alto Networks Security Advisories →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามในภาคพลังงานและสาธารณูปโภคประจำสัปดาห์มุ่งเน้นการจารกรรมข้อมูลยุทธศาสตร์ทรัพยากร การซ่อนโค้ดในไฟล์แบบแปลนวิศวกรรม และการเจาะช่องโหว่บนอุปกรณ์ขอบเขต IT/OT รวมถึงไลบรารี SCADA องค์กรต้องเร่งตัดพอร์ตการจัดการของไฟร์วอลล์ออกจากอินเทอร์เน็ต อัปเดตแพตช์ระบบควบคุมอุตสาหกรรม และเฝ้าระวังไฟล์เอกสารทางเทคนิคอย่างรัดกุม

TLP:CLEAR

ห้วงเวลาข้อมูล: 12-18 ตุลาคม 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)