CGI-CTI-WEEKLY-20261019-FIN  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการเงินและการธนาคาร ประจำสัปดาห์

Banking & Financial Services Sector Weekly Report

ห้วงเวลา: 12-18 ตุลาคม 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากรายงานภัยคุกคามระดับ Tier-1 ตรวจพบโทรจันการเงิน Android "Hirudo" แทนที่แอปธนาคารด้วยเวอร์ชันดัดแปลงและระบุเป้าหมายประเทศไทยในโค้ด, โทรจัน Casbaneiro แทรกแซงเบราว์เซอร์ผ่าน Remote Access เจาะพอร์ทัลการเงินกว่า 65 แห่ง, แคมเปญ GhostX ปล่อย GhostBat RAT ดักจับ PIN แป้นพิมพ์บนแอปชำระเงินดิจิทัล, และปฏิบัติการ Apex Accelerator ปล่อยแพ็กเกจ npm วางยาพุ่งเป้าขโมยกระเป๋าเงินคริปโตและข้อมูลลับของสตาร์ทอัพฟินเทค

ภาพรวมประจำสัปดาห์

ในห้วงสัปดาห์ระหว่างวันที่ 12-18 ตุลาคม 2569 ภูมิทัศน์ภัยคุกคามทางไซเบอร์ที่มุ่งเป้าภาคการเงินและการธนาคารมีความเคลื่อนไหวสำคัญ โดยเฉพาะการยกระดับเทคนิคการขโมยข้อมูลรับรองทางการเงินบนอุปกรณ์พกพาและการโจมตีห่วงโซ่อุปทานเทคโนโลยีทางการเงิน (Fintech Supply Chain) กรณีการตรวจพบโทรจัน Android สายพันธุ์ใหม่ "Hirudo" ที่ก้าวข้ามการหลอกลวงด้วยหน้าต่างซ้อนทับ (Overlay) แบบดั้งเดิมไปสู่การติดตั้งแอปธนาคารเวอร์ชันดัดแปลง (Hooked Patched APKs) เพื่อปิดการตรวจสอบ Play Integrity จากภายในแอป ซึ่งพบการระบุเป้าหมายดักจับข้อมูลในประเทศไทยไว้ในโค้ด ขณะเดียวกันยังพบการแพร่ระบาดของโทรจันการเงิน Casbaneiro ที่ฉวยใช้โปรแกรมควบคุมระยะไกล (RMM) ขององค์กรเพื่อติดตั้งส่วนขยายเบราว์เซอร์ Chromium ขโมยรหัสผ่านและคุกกี้เซสชันของพอร์ทัลธนาคารกว่า 65 แห่ง ตลอดจนแคมเปญเครือข่าย GhostX ที่ใช้การส่ง SMS Phishing แอบอ้างแอปจราจรเพื่อติดตั้ง GhostBat RAT ดักจับรหัส PIN จากการสัมผัสแป้นพิมพ์จริงบนแอปชำระเงินดิจิทัล และปฏิบัติการแฝงตัว Apex Accelerator ที่ปล่อยแพ็กเกจ npm วางยาหลอกล่อสตาร์ทอัพ Web3 ด้วยข้อเสนอการตรวจสอบโค้ดและเครดิต AI เพื่อขโมยกระเป๋าเงินคริปโต สถาบันการเงินและองค์กรธุรกิจจึงจำเป็นต้องยกระดับการตรวจสอบความสมบูรณ์ของแอปพลิเคชันจากฝั่งเซิร์ฟเวอร์และการตรวจตราห่วงโซ่อุปทานซอฟต์แวร์อย่างเข้มงวด

เหตุการณ์เด่นประจำสัปดาห์

โทรจันสายพันธุ์การเงิน Android "Hirudo" ปลอมแปลงอัปเดตและเข้าแทนที่แอปธนาคารด้วยเวอร์ชันดัดแปลง (Hooked Patched Copies) เพื่อข้ามผ่านการตรวจสอบ Play Integrity

เผยแพร่: 14 ตุลาคม 2569  ·  แหล่งที่มา: ThreatFabric  ·  Admiralty B2

ThreatFabric ตรวจพบมัลแวร์ควบคุมอุปกรณ์ทางไกล (RAT) สายพันธุ์ใหม่บนระบบ Android ในชื่อ "Hirudo" ซึ่งแพร่กระจายผ่านแอปพลิเคชันซื้อสินค้าและความบันเทิงปลอม (เช่น Shopora, 1V1 X, ZoyaTV) บนโครงสร้างพื้นฐาน Amazon CloudFront ตัวแอปตัวล่อจะแสดงหน้าต่างแจ้งเตือนการอัปเดตปลอมเพื่อหลอกติดตั้งเพย์โหลด Hirudo RAT ความร้ายแรงของ Hirudo คือการก้าวข้ามจากการใช้หน้าต่างซ้อนทับ (Overlay Injection) แบบเดิม ไปสู่การติดตั้งแอปพลิเคชันธนาคารเวอร์ชันดัดแปลง (Patched Banking Apps) เข้าแทนที่แอปทางการ โดยตัวแอปดัดแปลงได้ฝังเอนจิน Hooking เพื่อปิดกั้นการตรวจสอบลายเซ็นดิจิทัล การตรวจจับ Accessibility และการตรวจสอบ Google Play Integrity API จากภายในตัวแอป นอกจากนี้ตัวมัลแวร์ยังสร้างหน้าชำระเงินปลอมใน WebView แบบโปร่งแสงเพื่อดักจับรหัส PIN การชำระเงิน (appPayPwd) และขโมยรหัสผ่านการล็อกอินหน้าจอ (Lock-screen Credentials) ทั้งนี้ ในโครงสร้างโค้ดส่วนเป้าหมายดักจับข้อมูลรับรองได้ระบุชื่อประเทศไทย (Thailand) ไว้อย่างชัดเจนร่วมกับอินโดนีเซีย จีน อินเดีย เม็กซิโก และโมร็อกโก

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อผู้ใช้งานโมบายล์แบงก์กิ้งในไทย - แม้แอปธนาคารดัดแปลงเฉพาะตัวในรายงานจะมุ่งเป้าธนาคารในอินโดนีเซีย แต่การที่ซอร์สโค้ดของโทรจันระบุชื่อประเทศไทย (Thailand) เป็นหนึ่งในเป้าหมายดักจับข้อมูลรับรอง (Credential Target) ชี้ชัดว่าผู้โจมตีมีแผนหรือได้เริ่มขยายเป้าหมายมายังภูมิภาคไทยแล้ว และเทคนิคการแทนที่แอปพลิเคชันเพื่อบายพาส Play Integrity แบบ Relay Request ถือเป็นภัยคุกคามโดยตรงต่อมาตรการความปลอดภัยของแอปพลิเคชันธนาคารไทย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้พัฒนาโทรจันการเงินบนมือถือได้เปลี่ยนกระบวนทัศน์จากการหลอกลวงภายนอกแอป มาเป็นการแทรกแซงโค้ดภายในแอปธนาคารโดยตรงเพื่อทำลายระบบตรวจสอบความถูกต้องของแอปพลิเคชัน

ยุทธการ: ผู้โจมตีใช้เครือข่ายโฆษณาและระบบ CDN ที่ถูกกฎหมายในการแจกจ่ายตัวดร็อปเปอร์ พร้อมใช้สถาปัตยกรรมเซิร์ฟเวอร์ในการส่งต่อคำขอ Play Integrity เพื่อหลอกล่อให้ระบบประเมินว่าแอปพลิเคชันไม่ถูกดัดแปลง

ยุทธวิธี: ธนาคารและสถาบันการเงินต้องบังคับใช้การตรวจสอบ Play Integrity API ร่วมกับ Session Binding จากฝั่งเซิร์ฟเวอร์ (Server-side Attestation) และผสานระบบวิเคราะห์พฤติกรรมการใช้งานเพื่อตรวจจับความผิดปกติแม้การตรวจสอบภายนอกจะผ่าน

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สถาบันการเงิน, ธนาคารพาณิชย์, ผู้ให้บริการกระเป๋าเงินอิเล็กทรอนิกส์ (E-Wallet) และผู้ใช้งานสมาร์ตโฟนระบบปฏิบัติการ Android

MITRE ATT&CK
T1407 Download New Code at Runtime T1626 Abuse Accessibility Features T1417 Input Capture: Keylogging T1629 Impair Defenses: Modify Security Controls T1437 Application Layer Protocol T1453 Device Administrator Permissions
IOC ที่สำคัญ
f796eb9ecf516e4f1fafcf89200d9f7d8ddd234f705e63f1bc8fc3ef583f0248 (SHA-256 Shopora Dropper APK com.agbbh.kjdrttt) 425cd7072b5e9386ac94e97fe272980b6ef36240df6b5d77b371ab7378004c83 (SHA-256 Hirudo RAT Payload APK com.zk7qpx.mv9wlt) d3s06yhcwfnwcx[.]cloudfront[.]net (Payload Distribution CDN Host) http[:]//43[.]225[.]157[.]157:8766/request_token (Hirudo RAT Token Request URL) 134[.]122[.]153[.]136 (Hirudo C2 Server IP)

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: ThreatFabric →

โทรจันสายพันธุ์การเงิน Casbaneiro ร่วมกับส่วนขยายเบราว์เซอร์ Chromium ดัดแปลง อาศัยการเจาะระบบผ่านเครื่องมือ Remote Access ขององค์กร

เผยแพร่: 13 ตุลาคม 2569  ·  แหล่งที่มา: Palo Alto Networks Unit 42  ·  Admiralty A1

Palo Alto Networks Unit 42 เผยแพร่รายงานการตรวจพบแคมเปญใหม่ของกลุ่มโทรจันการเงิน Casbaneiro (หรือ Metamorfo) ที่ดำเนินการร่วมกับส่วนขยายเบราว์เซอร์ Chromium อันตราย การโจมตีเริ่มต้นจากอีเมลฟิชชิ่งหลอกล่อให้เหยื่อติดตั้งโปรแกรม Remote-Access (RMM) บนระบบคลาวด์เวอร์ชันทดลองใช้งานที่ผู้โจมตีลงทะเบียนไว้ จากนั้นผู้โจมตีจะใช้คำสั่ง PowerShell ติดตั้งเพย์โหลดสองส่วนคู่ขนาน ได้แก่ ไฟล์ DLL อันตรายภาษา Delphi (zlibai.dll แอบอ้างเป็น zlib) ผ่านเทคนิค DLL Side-Loading กับโปรแกรม VmLauncher.exe ที่มีลายเซ็นถูกต้อง และส่วนขยาย Chromium แบบ Manifest V3 ที่ถูกฝังลงในเบราว์เซอร์โดยตรงโดยไม่ต้องผ่าน Chrome Web Store ส่วนขยายนี้สื่อสารผ่าน WebSocket ไปยังเซิร์ฟเวอร์ C2 ที่ชี้พิกัดผ่าน Dead-drop Resolver บนโดเมนของผู้โจมตี โดยเชื่อมต่อกับแผงควบคุมที่ผู้โจมตีเรียกว่า "Painel Gangster" เพื่อบันทึกภาพหน้าจอ ดักจับคุกกี้ ขโมยรหัสผ่าน และแทรกหน้าต่าง HTML ปลอม พุ่งเป้าพอร์ทัลบริการธนาคารกว่า 65 แห่ง แพลตฟอร์มแลกเปลี่ยนคริปโต 11 แห่ง และบริการเว็บเมล

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อฝ่ายปฏิบัติการการเงินขององค์กรธุรกิจและสถาบันการเงินในไทย - การฉวยใช้เครื่องมือเข้าถึงระบบทางไกล (RMM) ที่ถูกกฎหมายเพื่อติดตั้งส่วนขยายเบราว์เซอร์แบบ Side-load ทำให้ผู้โจมตีสามารถดักจับรหัสผ่าน คุกกี้เซสชัน และโทเคนยืนยันตัวตนของระบบธนาคารทางอินเทอร์เน็ตสำหรับองค์กร (Corporate Online Banking) ได้โดยตรง ซึ่งสามารถข้ามผ่านการป้องกันแบบ MFA บนอุปกรณ์ปลายทางได้

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มอาชญากรรมไซเบอร์สายการเงินหันมาใช้วิธีแทรกแซงสภาพแวดล้อมเบราว์เซอร์โดยตรง เพื่อก้าวข้ามการป้องกันระดับเครือข่ายและการยืนยันตัวตนหลายปัจจัย

ยุทธการ: ผู้โจมตีผสมผสานการใช้ประโยชน์จากเครื่องมือ RMM ที่น่าเชื่อถือร่วมกับเทคนิค DLL Side-Loading บนไบนารีที่ลงนามอย่างถูกต้อง เพื่อหลบเลี่ยงการตรวจจับของซอฟต์แวร์ป้องกันไวรัสและ EDR

ยุทธวิธี: จำกัดสิทธิ์การติดตั้งโปรแกรมควบคุมทางไกล (RMM Tools) ในเครื่องคอมพิวเตอร์แผนกการเงิน และบังคับใช้นโยบายห้ามการติดตั้งส่วนขยายเบราว์เซอร์นอกเหนือจากระบบบริหารจัดการกลาง (Extension Whitelisting)

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สถาบันการเงิน, แพลตฟอร์มแลกเปลี่ยนสินทรัพย์ดิจิทัล, แผนกบัญชีและการเงินขององค์กรธุรกิจ

MITRE ATT&CK
T1566.001 Spearphishing Attachment T1574.002 Hijack Execution Flow: DLL Side-Loading T1176 User Execution: Malicious Browser Extension T1059.001 Command and Scripting Interpreter: PowerShell T1056.001 Input Capture: Keylogging T1071.001 Application Layer Protocol: Web Protocols
IOC ที่สำคัญ
d180a1978cd547f8aa4c387f951c720f0b2ff9641a45a8153994a8f29cfdf610 (SHA-256 zlibai.dll Malicious Delphi DLL) 6cdf132ee130b4cec889e39e06b07559fb4119c61a62d48c03cf357f66eb8900 (SHA-256 zlibai.dll Delphi Loader Component) n1[.]youconnectedssl[.]digital (Dead-drop Resolver for WebSocket C2) euromasterx[.]com (Delivery Host for Signed Utility and Malicious DLL) 216[.]203[.]21[.]119 (WebSocket C2 / Painel Gangster Backend IP)

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Palo Alto Networks Unit 42 →

เครือข่าย GhostX แพร่กระจายโทรจันการเงิน GhostBat RAT ผ่าน Smishing แอบอ้างแอปจราจร มุ่งเจาะระบบโมบายล์แบงก์กิ้งและ UPI

เผยแพร่: 15 ตุลาคม 2569  ·  แหล่งที่มา: Cyble Research and Intelligence Labs  ·  Admiralty B2

Cyble Research and Intelligence Labs (CRIL) รายงานการตรวจพบระบบนิเวศภัยคุกคาม "GhostX" ที่กำลังดำเนินแคมเปญแพร่กระจายโทรจันควบคุมระยะไกล "GhostBat RAT" เวอร์ชันปรับปรุงใหม่บนอุปกรณ์ Android โดยอาศัยการส่งข้อความสั้นหลอกลวง (Smishing) แอบอ้างแอปพลิเคชันระบบขนส่งและตรวจสอบใบสั่งจราจร (เช่น mParivahan และ eChallan) มัลแวร์เวอร์ชันล่าสุดได้ฉวยใช้บริการ Android Accessibility Service ร่วมกับเทคนิค "Ghost Overlay" ซึ่งสามารถดักจับการกดแป้นพิมพ์ PIN บนแอปพลิเคชันการเงินและการชำระเงินจริงได้อย่างแนบเนียน (เช่น Google Pay และ MobiKwik) และส่งผ่านสัญญาณสัมผัสกลับไปยังแอปพลิเคชันจริง ทำให้สามารถขโมยรหัสผ่านได้โดยเหยื่อไม่สังเกตเห็นหน้าต่างปลอม ทั้งนี้ GhostBat RAT มุ่งเป้าดักจับรหัส PIN ของแอปพลิเคชันธนาคาร ระบบชำระเงินทันที (UPI) กระเป๋าเงินดิจิทัล และฟินเทครวมกว่า 60 แอปพลิเคชัน พร้อมใช้กลไก Firebase Remote Config เพื่อปรับเปลี่ยนไอพี C2 แบบพลวัต และใช้ไลบรารี libnetbridge.so ถอดรหัสเพย์โหลดหลายขั้นตอน

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อระบบชำระเงินดิจิทัลและโมบายล์แบงก์กิ้งในไทย - รูปแบบการหลอกลวงผ่าน SMS แอบอ้างหน่วยงานรัฐหรือใบสั่งจราจรเป็นรูปแบบที่เกิดขึ้นอย่างต่อเนื่องในประเทศไทย การนำเทคนิค Ghost Overlay ที่ดักจับ PIN จากแป้นพิมพ์จริงโดยไม่ต้องสร้างหน้าต่างปลอมมาใช้ มีโอกาสสูงที่จะถูกกลุ่มมิจฉาชีพนำมาดัดแปลงใช้กับแอปพลิเคชันธนาคารและพร้อมเพย์ (PromptPay) ของไทย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การพัฒนาเทคนิคของโทรจันบนอุปกรณ์พกพากำลังเปลี่ยนผ่านจากการหลอกลวงเชิงวิศวกรรมสังคมไปสู่การดักจับข้อมูลอินพุตระดับฮาร์ดแวร์/ระบบปฏิบัติการ (OS-level Touch Interception)

ยุทธการ: ผู้ไม่หวังดีใช้บริการคลาวด์สาธารณะ เช่น Firebase Remote Config ในการควบคุมโครงสร้างพื้นฐาน C2 เพื่อหลบเลี่ยงการถูกขึ้นบัญชีดำและการระงับโดเมนแบบคงที่

ยุทธวิธี: ประชาสัมพันธ์เตือนภัยผู้ใช้งานไม่ให้คลิกลิงก์จาก SMS ที่แอบอ้างหน่วยงานรัฐ พร้อมทั้งแนะนำให้ปิดการอนุญาต Accessibility Service สำหรับแอปพลิเคชันที่ไม่ได้ติดตั้งจาก Google Play Store

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ระบบการชำระเงินดิจิทัล, ธนาคารพาณิชย์, ผู้ให้บริการระบบการเงินแบบทันที (Instant Payments/UPI), สตาร์ทอัพฟินเทค และผู้ใช้งานโทรศัพท์มือถือ

MITRE ATT&CK
T1566.005 Phishing: Smishing T1626 Abuse Accessibility Features T1417 Input Capture: Keylogging T1407 Download New Code at Runtime T1437 Application Layer Protocol T1629 Impair Defenses: Modify Security Controls
IOC ที่สำคัญ
cloudsettle[.]org (GhostBat RAT C2 Domain) api[.]cloudsettle[.]org (GhostBat RAT C2 Hostname) https[:]//api[.]cloudsettle[.]org/pin-data (Endpoint for Exfiltrating Captured PIN Data) https[:]//api[.]cloudsettle[.]org (GhostBat RAT Default HTTPS C2 URL)

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Cyble Research and Intelligence Labs →

ปฏิบัติการแฝงตัว Apex Accelerator ปล่อยแพ็กเกจ npm วางยาหลอกลวงสตาร์ทอัพ Web3 และฟินเทค หวังขโมยกระเป๋าเงินคริปโตและข้อมูลลับ

เผยแพร่: 12 ตุลาคม 2569  ·  แหล่งที่มา: Elastic Security Labs  ·  Admiralty A1

Elastic Security Labs เปิดโปงปฏิบัติการแฝงตัวในชื่อ "Apex Accelerator" ที่สร้างภาพลักษณ์เป็นโครงการบ่มเพาะสตาร์ทอัพด้าน Web3 และ Venture Capital เพื่อหลอกลวงผู้ก่อตั้งและนักพัฒนาสายคริปโตเคอร์เรนซี โดยเสนอแจกเครดิตใช้งานโมเดล AI (เช่น Claude และ Gemini) ฟรี พร้อมให้บริการตรวจสอบความปลอดภัยของโค้ด (Security Audit) กลุ่มผู้ไม่หวังดีได้เผยแพร่แพ็กเกจอันตรายบน npm (เช่น @apexacc/cli และ @apexacc/audit) ซึ่งแฝงมัลแวร์ข้ามแพลตฟอร์ม ประกอบด้วย แบ็กดอร์ CloudSyncD บนระบบ macOS และมัลแวร์ขโมยข้อมูลแบบหลายขั้นตอน (Python และ Golang Loaders) บนระบบ Windows ตัวมัลแวร์สามารถบายพาสกลไกการเข้ารหัส Chrome App-Bound Encryption เพื่อขโมยรหัสผ่าน คุกกี้เซสชัน กุญแจส่วนตัวของกระเป๋าเงินคริปโต และข้อมูลสภาพแวดล้อมระบบ ส่งออกไปยังผู้โจมตีผ่าน Telegram Bot API นอกจากนี้ระบบยังดักจับและส่งผ่านคำสั่ง Large Language Model (LLM) ไปยังเซิร์ฟเวอร์ของผู้โจมตี และปลอมแปลงผลคะแนนการตรวจสอบความปลอดภัยของโค้ดขึ้นมาเอง

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อกลุ่มธุรกิจฟินเทค สตาร์ทอัพ และผู้ประกอบการสินทรัพย์ดิจิทัลในไทย - บริษัทฟินเทคและนักพัฒนาเทคโนโลยีบล็อกเชนในประเทศไทยที่มองหาทุนสนับสนุนหรือเครื่องมือ AI ช่วยพัฒนาซอฟต์แวร์ เสี่ยงต่อการติดตั้งแพ็กเกจไลบรารีที่มีการฝังโค้ดอันตราย ซึ่งอาจส่งผลให้กุญแจส่วนตัว (Private Keys) ของกระเป๋าเงินคริปโตและสิทธิ์การเข้าถึงระบบการเงินขององค์กรรั่วไหล

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การโจมตีห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain) กำลังถูกนำมาผสมผสานกับการสร้างตัวตนปลอมเป็นนักลงทุน เพื่อเจาะเข้าถึงกระเป๋าเงินและโครงสร้างพื้นฐานของธุรกิจฟินเทค

ยุทธการ: ผู้ไม่หวังดีใช้ประโยชน์จากความต้องการเครื่องมือ AI ของนักพัฒนา โดยการสร้างแพ็กเกจที่มีการทำงานจริงบางส่วนเพื่อตบตา พร้อมติดตั้งกลไกบายพาสการป้องกันระดับเบราว์เซอร์ยุคใหม่

ยุทธวิธี: นักพัฒนาและทีมวิศวกรรมการเงินต้องตรวจสอบความถูกต้องของแพ็กเกจโอเพนซอร์ส (Dependency Integrity) และแยกสภาพแวดล้อมการพัฒนาออกจากเครื่องที่เข้าถึงกระเป๋าเงินสินทรัพย์ดิจิทัล

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สตาร์ทอัพฟินเทค (Fintech), ผู้พัฒนาแอปพลิเคชันบล็อกเชนและ Web3, ผู้ถือครองสินทรัพย์ดิจิทัล และนักพัฒนาซอฟต์แวร์

MITRE ATT&CK
T1195.001 Supply Chain Compromise: Compromised Software Dependencies T1204.002 User Execution: Malicious File T1555.003 Credentials from Password Stores: Web Browsers T1566.002 Spearphishing Link T1041 Exfiltration Over C2 Channel T1574.006 Dynamic Linker Hijacking
IOC ที่สำคัญ
985829083f3937df6c82419216f7697afae0caac8efca6257a756066fe2c0abb (SHA-256 apex-windows-x64.exe) 42a760b15fea7c9af718ee45386c1c3ea1bec9e30c95d16c287bcc8b2efdc72e (SHA-256 apex-darwin-arm64) apexaccs[.]org (Fake Accelerator Primary Domain) arena[.]apexaccs[.]org (C2 / LLM Traffic Interception Endpoint) cloudmain365duo[.]top (Staging Infrastructure Domain) https[:]//vrf[.]apexaccs[.]org/api/v1/vrf (Verification API URL)

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Elastic Security Labs →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามภาคการเงินประจำสัปดาห์มุ่งเน้นการยกระดับโทรจันบนอุปกรณ์พกพาเพื่อแทนที่แอปธนาคารและดักจับรหัส PIN โดยตรง ร่วมกับการฉวยใช้เครื่องมือควบคุมทางไกลและแพ็กเกจซอฟต์แวร์วางยาเจาะระบบฟินเทค สถาบันการเงินและองค์กรธุรกิจควรยกระดับการตรวจสอบความสมบูรณ์ของระบบจากฝั่งเซิร์ฟเวอร์และการควบคุมห่วงโซ่อุปทานไอทีอย่างเคร่งครัด

TLP:CLEAR

ห้วงเวลาข้อมูล: 12-18 ตุลาคม 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)