CGI-CTI-WEEKLY-20261019-GOV - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์หน่วยงานภาครัฐ ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากรายงานข่าวกรองภัยคุกคามระดับ Tier-1 พบปฏิบัติการจารกรรมข้อมูลภาครัฐที่ขับเคลื่อนด้วย AI เจาะระบบเซิร์ฟเวอร์ Linux และฝัง SysGoRAT โดยกลุ่ม CL-UNK-1211, การรณรงค์จารกรรมข้อมูลการทูตของเครือข่าย Midnight Blizzard ผ่าน Device-Code Phishing บน Microsoft 365, การใช้ประโยชน์จากช่องโหว่ WinRAR และรีเวิร์สเชลล์โจมตีกระทรวงในกลุ่มประเทศ CIS โดยกลุ่ม UAT-6275, และปฏิบัติการ GitPower ของกลุ่ม Kimsuky ที่ฉวยใช้แพลตฟอร์ม GitHub และ AI เจาะระบบผู้เชี่ยวชาญนโยบายความมั่นคง

ภาพรวมประจำสัปดาห์

ในห้วงสัปดาห์ระหว่างวันที่ 12-18 ตุลาคม 2569 สถานการณ์ภัยคุกคามทางไซเบอร์ที่มุ่งเป้าหน่วยงานภาครัฐ ความมั่นคง และการทูตระหว่างประเทศ มีการยกระดับขีดความสามารถที่น่าจับตา โดยเฉพาะการนำเทคโนโลยีปัญญาประดิษฐ์ (AI) เข้ามาสนับสนุนการพัฒนาเพย์โหลดจารกรรมข้อมูลและการเจาะลึกโครงสร้างพื้นฐานระดับแกนกลาง กรณีการเปิดโปงกลุ่มภัยคุกคาม CL-UNK-1211 ที่ใช้เอเจนต์ AI ในการช่วยเขียนสคริปต์เจาะระบบเซิร์ฟเวอร์ Linux ภาครัฐ พร้อมฝังโทรจัน SysGoRAT และแทรกแซงการตั้งค่า PHP ส่วนกลางเพื่อขโมยข้อมูลกล่องข้อความอีเมล ขณะเดียวกันยังตรวจพบความเคลื่อนไหวของกลุ่มจารกรรมข้อมูลระดับรัฐ โดยเครือข่ายที่เชื่อมโยงกับ Midnight Blizzard ได้ปล่อยสเตเจอร์ ChocoShell และแบ็กดอร์ CornFlake ผ่านการหลอกลวงแบบ Device-Code Phishing และเครือข่าย Wi-Fi โรงแรมเพื่อขโมยโทเคนคลาวด์ของนักการทูต ตลอดจนกลุ่ม UAT-6275 ที่อาศัยช่องโหว่ของโปรแกรม WinRAR ร่วมกับการปล่อยรีเวิร์สเชลล์ขนาดเล็กเจาะระบบกระทรวงการต่างประเทศและโครงสร้างพื้นฐานในกลุ่มประเทศ CIS และกลุ่ม Kimsuky ของเกาหลีเหนือที่ดำเนินปฏิบัติการ GitPower ฉวยใช้ GitHub และเครื่องมือ AI เจาะระบบคอมพิวเตอร์ของผู้เชี่ยวชาญด้านนโยบายและสถาบันวิจัยความมั่นคง หน่วยงานภาครัฐของไทยจึงจำเป็นต้องยกระดับการตรวจตราความสมบูรณ์ของเซิร์ฟเวอร์และการควบคุมการยืนยันตัวตนบนระบบคลาวด์อย่างเคร่งครัด

เหตุการณ์เด่นประจำสัปดาห์

กลุ่มภัยคุกคาม CL-UNK-1211 ใช้เครื่องมือ AI สนับสนุนการจารกรรมข้อมูล พุ่งเป้าเจาะระบบเซิร์ฟเวอร์ Linux ของหน่วยงานภาครัฐด้วย SysGoRAT และเว็บเชลล์

เผยแพร่: 15 ตุลาคม 2569 · แหล่งที่มา: Palo Alto Networks Unit 42 · Admiralty B2

Palo Alto Networks Unit 42 ตรวจพบแคมเปญจารกรรมข้อมูลทางไซเบอร์ของกลุ่มภัยคุกคาม CL-UNK-1211 ที่พุ่งเป้าโจมตีโครงสร้างพื้นฐานเซิร์ฟเวอร์ Linux ของหน่วยงานภาครัฐและองค์กรที่เกี่ยวข้องกับรัฐ โดยผู้โจมตีได้ประยุกต์ใช้โมเดลภาษาขนาดใหญ่ (LLM) และเอเจนต์ AI ช่วยพัฒนาและปรับแต่งโค้ดมัลแวร์ ซึ่งพบข้อความวิเคราะห์เหตุผลและคำอธิบายโครงสร้างโค้ดแบบ AI ปรากฏในสคริปต์ ผู้โจมตีได้ติดตั้งโทรจันควบคุมทางไกล SysGoRAT ที่พัฒนาด้วยภาษา Go รองรับการทำงานข้ามแพลตฟอร์มและสื่อสารผ่าน WebSockets ร่วมกับเครื่องมือขุดเจาะ GSocket และ PySoxy พร้อมทั้งใช้เทคนิคแทรกแซงการตั้งค่า PHP ส่วนกลาง (auto_prepend_file) เช่น /usr/lib/php/plesk_sys_driver.php เพื่อบังคับรันเว็บเชลล์ทุกครั้งที่มีการเรียกหน้าเว็บ ตลอดจนการดักจับรหัสผ่านของผู้ดูแลระบบด้วยการแก้ไขไฟล์ .bashrc ดักคำสั่ง sudo บันทึกลงในไฟล์ล็อกปลอม Solarwinds.StatusLog.txt เพื่อกวาดข้อมูลกล่องข้อความอีเมลและฐานข้อมูลภาครัฐ

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อหน่วยงานภาครัฐและโครงสร้างพื้นฐานสำคัญในไทย - เซิร์ฟเวอร์ของหน่วยงานภาครัฐและสถาบันการศึกษาในประเทศไทยจำนวนมากใช้งานระบบปฏิบัติการ Linux และระบบจัดการเว็บโฮสติ้ง เช่น Plesk หรือ cPanel การที่ผู้โจมตีนำเครื่องมือ AI มาช่วยเขียนสคริปต์เจาะระบบแบบกึ่งอัตโนมัติและแทรกแซงระดับการตั้งค่า PHP ทำให้สามารถข้ามผ่านการตรวจจับของ WAF ทั่วไป และอาจส่งผลให้ฐานข้อมูลทะเบียนราษฎร์หรือข้อมูลลับทางราชการถูกดักขโมย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มจารกรรมข้อมูลเริ่มบูรณาการเทคโนโลยี Generative AI เข้าสู่วงจรการสร้างมัลแวร์และสคริปต์เจาะระบบ ช่วยลดระยะเวลาในการพัฒนาและยกระดับความสามารถในการปรับแต่งการโจมตีตามสภาพแวดล้อมของเป้าหมาย

ยุทธการ: ผู้โจมตีมุ่งเน้นการฝังตัวระยะยาวในระดับแกนกลางของระบบปฏิบัติการ โดยแทรกแซงคอนฟิกูเรชัน PHP ส่วนกลางและดักจับคำสั่ง sudo ผ่านเชลล์คอนฟิก เพื่อให้ได้สิทธิ์ระดับสูงสุดโดยไม่สร้างโปรเซสผิดปกติที่สะดุดตา

ยุทธวิธี: ผู้ดูแลระบบเซิร์ฟเวอร์ภาครัฐต้องตรวจสอบความสมบูรณ์ของไฟล์คอนฟิกูเรชัน PHP ตรวจหาค่า auto_prepend_file ผิดปกติ ตรวจสอบไฟล์คอนฟิกูเรชันเชลล์ เช่น .bashrc และ .profile และบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) สำหรับการเข้าถึง SSH

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐและฝ่ายปกครอง, หน่วยงานความมั่นคง, ผู้ดูแลโครงสร้างพื้นฐานเซิร์ฟเวอร์ Linux และองค์กรที่เกี่ยวข้องกับภาครัฐ

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1505.003 Web Shell T1059.004 Unix Shell T1546.004 Unix Shell Configuration Modification T1556 Modify Authentication Process T1071.001 Web Protocols

IOC ที่สำคัญ

1505a3a727f8899b2ad343519f7bf9c438b8b802f8d6b854f5db3b52f857c76a (SHA-256 PHP Web Shell plesk_sys_driver.php) d94f75a70b5cabaf786ac57177ed841732e62bdcc9a29e06e5b41d9be567bcfa (SHA-256 GSocket Reverse Shell) 2bf7992e6260c1a98c709fa98ec766fb9f27692f338b30b43ac821b824fd849e (SHA-256 React2Shell CVE-2025-55182 Scanner) magento[.]ink (Staging and Exfiltration Domain) 104[.]194[.]158[.]65 (SysGoRAT WebSocket C2 Server IP) 45[.]88[.]188[.]140 (CL-UNK-1211 Primary C2 Server IP)

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Palo Alto Networks Unit 42 →

กลุ่มจารกรรม Midnight Blizzard เชื่อมโยงแคมเปญ GTG-20006 ปล่อยสเตเจอร์ ChocoShell และแบ็กดอร์ CornFlake ผ่าน Device-Code Phishing

เผยแพร่: 15 ตุลาคม 2569 · แหล่งที่มา: ReversingLabs · Admiralty B2

ReversingLabs เผยแพร่ผลการวิเคราะห์แคมเปญจารกรรมข้อมูลของกลุ่ม GTG-20006 ซึ่งได้รับการประเมินด้วยความเชื่อมั่นปานกลางว่าอาจเชื่อมโยงกับกลุ่ม Midnight Blizzard (APT29 หรือหน่วยข่าวกรองต่างประเทศของรัสเซีย SVR) โดยมุ่งเป้าโจมตีหน่วยงานการทูต องค์กรภาครัฐ ฝ่ายกลาโหม และสถาบันคลังสมอง แคมเปญนี้ใช้กลวิธีฟิชชิ่งแบบ Device-Code Phishing บน Microsoft 365 โดยหลอกล่อให้เหยื่อป้อนรหัสอุปกรณ์เพื่อมอบสิทธิ์ OAuth Token แก่ผู้โจมตี และมีการฉวยใช้หน้าล็อกอิน Captive Portal ของเครือข่าย Wi-Fi โรงแรมในการดักจับข้อมูลรับรองและกระจายมัลแวร์ เพย์โหลดหลักประกอบด้วย ChocoShell สเตเจอร์ภาษา PowerShell ที่ทำงานบนหน่วยความจำเพื่อหลบเลี่ยง AMSI และขโมยคุกกี้เซสชันของเบราว์เซอร์ และ CornFlake แบ็กดอร์ภาษา Go ที่ทำหน้าที่รักษาการฝังตัวอย่างถาวรในระบบและเปิดช่องทางควบคุมเครื่องระยะไกล ทั้งนี้ มีรายงานว่าผู้โจมตีได้นำโมเดล AI มาช่วยปรับปรุงและคอมไพล์โค้ดใหม่ซ้ำๆ เพื่อเปลี่ยนค่าแฮชและหลบเลี่ยงการตรวจจับของซอฟต์แวร์ความปลอดภัย

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อคณะทูต ข้าราชการระดับสูง และเจ้าหน้าที่ด้านความมั่นคงของไทย - ข้าราชการและตัวแทนภาครัฐของไทยที่เดินทางไปปฏิบัติภารกิจต่างประเทศหรือเข้าร่วมการประชุมระหว่างประเทศ เสี่ยงต่อการตกเป็นเป้าหมายของการโจมตีผ่านโครงข่าย Wi-Fi สาธารณะและกลวิธี Device-Code Phishing ซึ่งสามารถทะลุผ่านการป้องกัน MFA แบบเดิมและทำให้ข้อมูลการเจรจาระหว่างประเทศหรือเอกสารลับทางราชการรั่วไหล

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: หน่วยข่าวกรองระดับรัฐมุ่งเป้าเจาะสิทธิ์เข้าถึงบัญชีคลาวด์ของบุคลากรทางการทูตและความมั่นคง เพื่อติดตามนโยบายระหว่างประเทศและการตัดสินใจเชิงยุทธศาสตร์

ยุทธการ: ผู้โจมตีหันมาใช้ประโยชน์จากโปรโตคอลการยืนยันตัวตนสมัยใหม่ เช่น OAuth 2.0 Device Flow และช่องโหว่เครือข่ายภายนอกองค์กร เช่น โรงแรม เพื่อข้ามผ่านระบบตรวจจับที่ติดตั้งภายในองค์กร

ยุทธวิธี: ผู้ดูแลระบบไอทีภาครัฐควรปิดการใช้งานคุณลักษณะ Device Code Flow บน Microsoft Entra ID หากไม่มีความจำเป็น และบังคับใช้นโยบาย Conditional Access กำหนดให้ต้องใช้อุปกรณ์ที่ลงทะเบียนในองค์กร (Managed Device) เท่านั้นในการเข้าถึงทรัพยากร

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานการทูตและกระทรวงการต่างประเทศ, หน่วยงานภาครัฐ, กองทัพและความมั่นคง, สถาบันคลังสมองและนโยบายระหว่างประเทศ

MITRE ATT&CK

T1566.002 Spearphishing Link T1528 Steal Application Access Token T1059.001 PowerShell T1564.003 Hidden Window T1555.003 Credentials from Web Browsers T1071.001 Web Protocols

IOC ที่สำคัญ

be99857449d2856dd5a84e21c8a3d5e0e01456adb44062ddec5a6b4970d8d42c (SHA-256 CornFlake Go Backdoor Binary) 918fa52ae45ed60ba7cc8bdc99c3cbe9ab92e0375ec31fc05d0d4513be11c593 (SHA-256 ChocoShell PowerShell Script) ms365-live[.]com (Device-Code Phishing Domain) owa-ms365[.]com (Credential Harvesting Hostname) 213[.]145[.]86[.]112 (Primary C2 Server IP)

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: ReversingLabs →

กลุ่มคุกคาม UAT-6275 พุ่งเป้าเจาะระบบกระทรวงและหน่วยงานรัฐในกลุ่มประเทศ CIS ด้วยรีเวิร์สเชลล์ดัดแปลงและช่องโหว่ WinRAR

เผยแพร่: 14 ตุลาคม 2569 · แหล่งที่มา: Cisco Talos Intelligence Group · Admiralty A1

Cisco Talos และ Insikt Group ร่วมกันเปิดโปงปฏิบัติการทางไซเบอร์ของกลุ่มคุกคาม UAT-6275 (หรือ TAG-193 หรือ Silent Lynx) ซึ่งได้รับการประเมินว่ามีความเชื่อมโยงกับประเทศคาซัคสถาน โดยดำเนินการโจมตีอย่างต่อเนื่องมุ่งเป้าองค์กรภาครัฐ กระทรวงการต่างประเทศ กระทรวงเกษตร พลังงาน ทรัพยากรน้ำ และการบินพลเรือนในกลุ่มประเทศเครือรัฐเอกราช (CIS) รวมกว่า 9 ประเทศ การโจมตีใช้การส่งอีเมลฟิชชิ่งแนบเอกสาร Word ที่มีมาโคร หรือไฟล์บีบอัดที่ฉวยใช้ช่องโหว่ของโปรแกรม WinRAR (CVE-2025-8088 สำหรับการประมวลผลคำสั่งฝั่งไคลเอนต์) เพื่อปล่อยไฟล์อันตรายลงในโฟลเดอร์ Startup โดยตรง จากนั้นผู้โจมตีจะติดตั้งรีเวิร์สเชลล์และมัลแวร์ควบคุมขนาดเล็กที่พัฒนาขึ้นเอง ได้แก่ PickleShell, Chvost, Laplas และ SSDPShell พร้อมใช้สคริปต์ PowerShell ที่โฮสต์ไว้บน GitHub ในการสั่งการ รวมถึงใช้เครื่องมือ Ligolo-ng และ Cobalt Strike ในการเปิดช่องทางอุโมงค์เครือข่ายเพื่อจารกรรมข้อมูลลับภายในระบบราชการ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อระบบคอมพิวเตอร์สำนักงานภาครัฐของไทย - ซอฟต์แวร์ WinRAR และโปรแกรมจัดการเอกสารออฟฟิศเป็นซอฟต์แวร์พื้นฐานที่ติดตั้งใช้งานอย่างแพร่หลายในหน่วยงานราชการไทย การที่ผู้โจมตีใช้เทคนิคการเจาะระบบผ่านไฟล์บีบอัดควบคู่กับรีเวิร์สเชลล์ขนาดเล็กที่เขียนด้วยภาษาสคริปต์ ทำให้ซอฟต์แวร์แอนติไวรัสแบบดั้งเดิมตรวจจับได้ยาก หน่วยงานรัฐไทยจึงมีความเสี่ยงที่จะถูกเจาะระบบหากไม่มีการอัปเดตแพตช์ซอฟต์แวร์ปลายทางอย่างสม่ำเสมอ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มคุกคามระดับภูมิภาคหันมาให้ความสำคัญกับการจารกรรมข้อมูลโครงสร้างพื้นฐานทางยุทธศาสตร์ เช่น ทรัพยากรน้ำ การเกษตร และพลังงาน เพื่อใช้เป็นเครื่องมือต่อรองทางภูมิรัฐศาสตร์

ยุทธการ: ผู้ไม่หวังดีใช้การผสมผสานช่องโหว่ซอฟต์แวร์อรรถประโยชน์ยอดนิยมอย่าง WinRAR ร่วมกับที่เก็บโค้ดสาธารณะอย่าง GitHub เพื่อส่งผ่านสคริปต์โจมตี ช่วยพรางการรับส่งข้อมูลให้กลมกลืนกับทราฟฟิกปกติ

ยุทธวิธี: บังคับใช้นโยบายอัปเดตแพตช์ซอฟต์แวร์ WinRAR ให้เป็นเวอร์ชันล่าสุดในทุกเครื่องของหน่วยงาน บล็อกการดาวน์โหลดสคริปต์ที่ไม่ทราบแหล่งที่มา และเปิดใช้งานฟังก์ชัน Attack Surface Reduction (ASR) ในระบบปฏิบัติการ Windows

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานภาครัฐและกระทรวงการต่างประเทศ, หน่วยงานด้านทรัพยากรน้ำ เกษตรกรรม และพลังงาน, การบินพลเรือน และองค์กรโครงสร้างพื้นฐาน

MITRE ATT&CK

T1566.001 Spearphishing Attachment T1203 Exploitation for Client Execution T1059.001 PowerShell T1547.001 Registry Run Keys / Startup Folder T1572 Protocol Tunneling T1071.001 Web Protocols

IOC ที่สำคัญ

907ce23b85da7e72c29cf55505765987f32e867a3361a53e61a52034d0a70c85 (SHA-256 PickleShell Reverse Shell) 5c6b0f1ee2960a87e47ccf880c8780d4d7807eda5b33a02c262ecadf803de276 (SHA-256 Chvost Reverse Shell Binary) dff3461b7b0b793c6dc62a63ffb6560c3babd7ca0b8d479ee2f7cbd4486c9d85 (SHA-256 Laplas TLS Reverse Shell) alashsec[.]hopto[.]me (Dynamic DNS C2 Domain) asan[.]zapto[.]org (Secondary C2 Domain) 37[.]18[.]27[.]27 (C2 Relay IP)

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Cisco Talos Intelligence Group →

กลุ่มจารกรรมเกาหลีเหนือ Kimsuky ดำเนินปฏิบัติการ GitPower หลอกลวงผู้เชี่ยวชาญนโยบายและหน่วยงานรัฐผ่านแพลตฟอร์มนักพัฒนา

เผยแพร่: 12 ตุลาคม 2569 · แหล่งที่มา: Genians Security Center · Admiralty B2

ศูนย์ความปลอดภัย Genians (GSC) รายงานการตรวจพบปฏิบัติการ GitPower ดำเนินการโดยกลุ่มแฮกเกอร์ Kimsuky (หรือ TA406) ซึ่งเป็นกลุ่มภัยคุกคามระดับสูงที่เชื่อมโยงกับรัฐบาลเกาหลีเหนือ โดยมุ่งเป้าโจมตีผู้เชี่ยวชาญด้านนโยบายความมั่นคงและการทูตในยูเครนและสถาบันวิจัยของเกาหลีใต้ ผู้โจมตีใช้กลวิธีวิศวกรรมสังคมขั้นสูงแบบ Reply-Baiting ส่งอีเมลทักทายเชิญร่วมงานสัมมนาความมั่นคงไซเบอร์ระดับนานาชาติ หรือขอความร่วมมือทางวิชาการโดยไม่มีลิงก์หรือไฟล์แนบอันตรายในตอนแรก เมื่อเหยื่อตอบกลับจึงจะส่งไฟล์ ZIP ที่มีรหัสผ่าน หรือไฟล์ชอร์ตคัต Windows (.LNK) ที่ปลอมเป็นเอกสาร PDF การโจมตีมีความโดดเด่นด้วยการฉวยใช้แพลตฟอร์มพัฒนาซอฟต์แวร์ เช่น GitHub, GitLab และ Codeberg เป็นตัวชี้เป้าแบบ Dead-Drop Resolver (DDR) และช่องทางสั่งการควบคุม C2 ผ่าน Personal Access Token และ REST API นอกจากนี้ ยังพบหลักฐานว่าผู้โจมตีเริ่มนำระบบ AI และเอเจนต์ช่วยเขียนโค้ด เช่น OpenCode มาใช้สร้างเอกสารล่อลวงและสคริปต์โจมตีแบบกึ่งอัตโนมัติภายในระบบ เพื่อลดความผิดพลาดและหลบเลี่ยงการตรวจจับ

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อนักวิชาการ สถาบันวิจัยด้านยุทธศาสตร์ความมั่นคง และข้าราชการกระทรวงการต่างประเทศของไทย - กลุ่ม Kimsuky มีประวัติการพุ่งเป้าหน่วยงานและผู้เชี่ยวชาญด้านนโยบายต่างประเทศทั่วภูมิภาคเอเชีย กลวิธีส่งอีเมลหลอกล่อแบบ Reply-Baiting ที่แอบอ้างการจัดงานสัมมนาหรือการประชุมทางวิชาการร่วมกับการใช้แพลตฟอร์ม GitHub เป็นช่องทาง C2 เป็นรูปแบบที่สามารถเจาะทะลุระบบคัดกรองอีเมลและไฟร์วอลล์ของหน่วยงานรัฐและสถาบันวิจัยในไทยได้อย่างง่ายดาย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: หน่วยงานข่าวกรองเกาหลีเหนือมุ่งเน้นการรวบรวมข้อมูลข่าวกรองเชิงลึกเกี่ยวกับนโยบายความมั่นคง การทูตระหว่างประเทศ และความร่วมมือด้านกลาโหม โดยพุ่งเป้าบุคคลที่มีบทบาทในการให้คำปรึกษาเชิงนโยบายแก่รัฐบาล

ยุทธการ: ผู้โจมตีสร้างความไว้วางใจผ่านการสื่อสารหลายขั้นตอน (Multi-stage Reply-Baiting) และใช้บริการคลาวด์ของนักพัฒนาซอฟต์แวร์ที่น่าเชื่อถือเป็นโครงสร้างพื้นฐาน C2 เพื่อหลบเลี่ยงการบล็อกโดเมนระดับเครือข่าย

ยุทธวิธี: ตรวจสอบและควบคุมการใช้งาน Personal Access Tokens ของ GitHub ในเครื่องคอมพิวเตอร์สำนักงาน ติดตั้งระบบตรวจจับการสั่งรันคำสั่งผิดปกติจากไฟล์ .LNK และฝึกอบรมเจ้าหน้าที่ให้ตรวจสอบความถูกต้องของผู้ส่งก่อนเปิดไฟล์แนบที่มีรหัสผ่าน

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สถาบันวิจัยและคลังสมองด้านความมั่นคง, กระทรวงการต่างประเทศ, หน่วยงานภาครัฐและการทหาร, นักวิชาการและผู้เชี่ยวชาญด้านความสัมพันธ์ระหว่างประเทศ

MITRE ATT&CK

T1566.002 Spearphishing Link T1204.002 Malicious File T1059.001 PowerShell T1053.005 Scheduled Task T1102.002 Bidirectional Communication T1567.001 Exfiltration to Code Repository

IOC ที่สำคัญ

05cec01db363488e6762097095d7b7fc (MD5 Malicious LNK Dropper) 05e65662d55327febf5d4aaeca54f982 (MD5 Staging PowerShell Script) argeninese[.]dothome[.]co[.]kr (Phishing and Credential Harvesting Hostname) bbcnews04[.]dothome[.]co[.]kr (Decoy and C2 Hostname) 45[.]150[.]109[.]102 (C2 Server IP)

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Genians →

ข้อสังเกตประจำสัปดาห์

การนำเทคโนโลยีปัญญาประดิษฐ์มาประยุกต์ใช้ในการจารกรรมข้อมูลภาครัฐ: กลุ่มภัยคุกคามระดับสูงเริ่มบูรณาการโมเดลภาษาขนาดใหญ่ (LLM) และเอเจนต์ AI ในการเขียนโค้ดและสร้างสคริปต์เจาะระบบ เช่น กรณีกลุ่ม CL-UNK-1211 ที่สร้าง SysGoRAT และสคริปต์เจาะลึก Linux รวมถึงกลุ่ม Kimsuky ที่ใช้ระบบ AI สร้างเอกสารล่อลวง ทำให้การพัฒนาอาวุธไซเบอร์เป็นไปอย่างรวดเร็วและสามารถปรับแต่งให้สอดคล้องกับโครงสร้างพื้นฐานของเป้าหมายได้ดียิ่งขึ้น
การมุ่งเป้าเจาะระบบคลาวด์และการยืนยันตัวตนสมัยใหม่ของบุคลากรทางการทูต: กลุ่มคุกคาม เช่น Midnight Blizzard มุ่งเน้นการข้ามผ่านระบบ MFA ด้วยการใช้ประโยชน์จากโปรโตคอล Device Code Flow บน Microsoft 365 และการดักจับข้อมูลผ่าน Wi-Fi โรงแรม ทำให้สามารถเข้าถึงเอกสารและอีเมลราชการบนคลาวด์ได้โดยไม่ต้องเจาะเครือข่ายภายในของกระทรวง
การฉวยใช้บริการคลาวด์และแพลตฟอร์มที่น่าเชื่อถือเป็นช่องทางควบคุม (Living off Trusted Services): ทั้งกลุ่ม UAT-6275 และ Kimsuky หันมาใช้แพลตฟอร์มสาธารณะ เช่น GitHub ในการจัดเก็บสคริปต์และส่งผ่านคำสั่งควบคุม C2 ซึ่งช่วยหลบเลี่ยงการตรวจสอบของระบบตรวจจับทราฟฟิกเครือข่ายระดับเกตเวย์ได้อย่างมีประสิทธิภาพ

ข้อเสนอแนะ

ตรวจสอบความสมบูรณ์ของระบบจัดการเซิร์ฟเวอร์ Linux และคอนฟิกูเรชันส่วนกลาง: ผู้ดูแลระบบไอทีภาครัฐควรตรวจสอบไฟล์คอนฟิกูเรชันของเว็บเซิร์ฟเวอร์และ PHP อย่างสม่ำเสมอ โดยเฉพาะการตั้งค่า auto_prepend_file ตรวจสอบไฟล์คอนฟิกเชลล์ (.bashrc, .profile) เพื่อตรวจจับการดักคำสั่ง sudo และบังคับใช้การตรวจสอบการเข้าถึงไฟล์สำคัญระดับระบบ
จำกัดและควบคุมโปรโตคอล Device Code Flow บนระบบคลาวด์องค์กร: ฝ่ายความมั่นคงปลอดภัยไซเบอร์ควรปิดการใช้งาน OAuth 2.0 Device Flow บน Microsoft Entra ID หากไม่มีความจำเป็นในการใช้งานจริง และกำหนดนโยบาย Conditional Access ให้การเข้าถึงข้อมูลลับทางราชการต้องทำผ่านอุปกรณ์ที่มีการควบคุมและจัดการความปลอดภัย (Managed Devices) เท่านั้น
อัปเดตแพตช์ซอฟต์แวร์จัดการไฟล์และโปรแกรมสำนักงานในทันที: บังคับใช้นโยบายอัปเดตซอฟต์แวร์อรรถประโยชน์ เช่น WinRAR และชุดโปรแกรมสำนักงานให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันการโจมตีผ่านไฟล์บีบอัดอันตราย พร้อมเปิดใช้งานกฎ Attack Surface Reduction (ASR) ในระบบปฏิบัติการ Windows
ตรวจตราและจำกัดการเชื่อมต่อกับแพลตฟอร์มภายนอกสำหรับเครื่องคอมพิวเตอร์ความมั่นคง: ควบคุมการสร้างและใช้งาน Personal Access Tokens บนแพลตฟอร์มสาธารณะ เช่น GitHub ในเครื่องคอมพิวเตอร์ที่ประมวลผลข้อมูลลับ และตรวจสอบทราฟฟิกการเรียกใช้งาน API แปลกปลอมที่มุ่งหน้าไปยังคลาวด์สาธารณะ
ยกระดับการตระหนักรู้ภัยคุกคามการทูตและการเดินทางระหว่างประเทศ (OPSEC): อบรมให้ความรู้แก่ข้าราชการ คณะผู้แทนทางการทูต และนักวิจัย ให้หลีกเลี่ยงการเชื่อมต่อ Wi-Fi สาธารณะโดยไม่ผ่าน VPN ของหน่วยงาน ระมัดระวังอีเมลเชื้อเชิญที่มีการสื่อสารหลายขั้นตอน (Reply-Baiting) และห้ามเปิดไฟล์แนบที่มีรหัสผ่านโดยไม่ตรวจสอบความถูกต้องของผู้ส่งผ่านช่องทางอื่น

สรุป: ภัยคุกคามภาครัฐประจำสัปดาห์มุ่งเน้นการประยุกต์ใช้ AI ช่วยเจาะระบบเซิร์ฟเวอร์ Linux การดักขโมยสิทธิ์การยืนยันตัวตนบนคลาวด์ผ่าน Device-Code Phishing ตลอดจนการฉวยใช้ช่องโหว่ซอฟต์แวร์สำนักงานและแพลตฟอร์ม GitHub เป็นช่องทางจารกรรมข้อมูลลับทางราชการ หน่วยงานรัฐควรยกระดับการตรวจตราความสมบูรณ์ของเซิร์ฟเวอร์และการควบคุมการเข้าถึงคลาวด์อย่างเข้มงวด

TLP:CLEAR

ห้วงเวลาข้อมูล: 12-18 ตุลาคม 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)