CGI-CTI-WEEKLY-20261019-HLT  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคสาธารณสุขและการแพทย์ ประจำสัปดาห์

Healthcare Sector Weekly Cyber Threat Intelligence Report

ห้วงเวลา: 12-18 ตุลาคม 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากรายงานข่าวกรองภัยคุกคามระดับ Tier-1 พบการตรวจจับโครงสร้างพื้นฐาน C2 ของ LegionRelay มุ่งเป้าระบบบริการสาธารณสุข, การแพร่ระบาดและการยกระดับการขู่กรรโชกสองชั้นของกลุ่มแรนซัมแวร์ DragonForce พุ่งเป้าโรงพยาบาลและข้อมูลเวชระเบียน, การโจมตีช่องโหว่ RCE ระดับวิกฤตบน Citrix NetScaler (CVE-2026-88771) เจาะระบบรีโมตเกตเวย์สถานพยาบาล, และปฏิบัติการร่วมสากลรวมทั้ง Health-ISAC ทลายแพลตฟอร์ม PhaaS "Iron Man System" ที่มุ่งขโมยรหัสผ่านพอร์ทัลโรงพยาบาลและข้อมูลผู้ป่วย

ภาพรวมประจำสัปดาห์

ในห้วงสัปดาห์ระหว่างวันที่ 12-18 ตุลาคม 2569 สถานการณ์ภัยคุกคามทางไซเบอร์ที่มุ่งเป้าภาคสาธารณสุขและการแพทย์มีความรุนแรงและซับซ้อนในระดับสูง โดยพบทั้งปฏิบัติการจารกรรมข้อมูลทางไซเบอร์ระดับรัฐและการขู่กรรโชกทรัพย์จากเครือข่ายอาชญากรรมไซเบอร์สากล กลุ่มผู้ไม่หวังดีมุ่งเป้าโจมตีโครงสร้างพื้นฐานระบบโรงพยาบาลผ่านหลากหลายช่องทาง เริ่มจากการเปิดโปงเครือข่ายเซิร์ฟเวอร์ C2 ของมัลแวร์ LegionRelay ที่พุ่งเป้าระบบบริการสาธารณสุขและหน่วยงานรัฐ การขยายตัวของกลุ่มแรนซัมแวร์ DragonForce ที่ปรับโมเดลเป็น Cartel ดัดแปลงโค้ด Conti และ LockBit พุ่งเป้าเข้ารหัสข้อมูลและขู่ปล่อยเวชระเบียนผู้ป่วย ตลอดจนการตรวจพบการโจมตีช่องโหว่ระดับวิกฤตบน Citrix NetScaler (CVE-2026-88771) ผ่านเทคนิค Log Poisoning เพื่อฝังเว็บเชลล์และอิมแพลนต์ระดับ Root บนเกตเวย์รีโมตของโรงพยาบาล ขณะเดียวกันยังมีความเคลื่อนไหวเชิงบวกจากปฏิบัติการร่วมสากลรวมทั้ง Health-ISAC ในการทลายเครือข่าย Phishing-as-a-Service ขนาดใหญ่ Iron Man System และ YAM Store ที่แพร่กระจายเทมเพลตหลอกลวงขโมยข้อมูลผู้ป่วยและบุคลากรทางการแพทย์ หน่วยงานสาธารณสุขและโรงพยาบาลในประเทศไทยจึงจำเป็นต้องเร่งปิดช่องโหว่อุปกรณ์เกตเวย์ ยกระดับการป้องกันข้อมูลเวชระเบียน และเฝ้าระวังการหลอกลวงทางไซเบอร์อย่างเคร่งครัด

เหตุการณ์เด่นประจำสัปดาห์

โครงสร้างพื้นฐาน C2 "LegionRelay" พุ่งเป้าจารกรรมข้อมูลหน่วยงานภาครัฐและระบบบริการสาธารณสุข

เผยแพร่: 14 ตุลาคม 2569  ·  แหล่งที่มา: Team Cymru Pure Signal  ·  Admiralty B2

Team Cymru ร่วมกับเครือข่ายโทรมาตร Pure Signal ตรวจพบและติดตามเซิร์ฟเวอร์ควบคุมและสั่งการ (C2) ของมัลแวร์ LegionRelay ซึ่งเป็นโทรจันควบคุมระยะไกล (RAT) พัฒนาด้วย PowerShell มีพฤติกรรมมุ่งเป้าโจมตีหน่วยงานบริการสุขภาพและองค์กรภาครัฐในยูเครน โดยมัลแวร์ทำหน้าที่เป็น Reverse SOCKS5 Proxy และเปิดช่องทางสื่อสารผ่านพอร์ต 8000 เพื่อขโมยไฟล์ข้อมูลสำคัญ เซสชันแอปพลิเคชันสนทนา ข้อมูลล็อกอินในเว็บเบราว์เซอร์ ตลอดจนการเปิดทางเชื่อมต่อ RDP ทางไกล

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - แม้เป้าหมายหลักในรายงานมุ่งเน้นที่ภูมิภาคยุโรปตะวันออก แต่เทคนิคการใช้ PowerShell และ Reverse SOCKS5 Proxy บนพอร์ต 8000 เป็นเวกเตอร์ที่พบการใช้งานแพร่หลายในแคมเปญระดับสากล โรงพยาบาลและศูนย์การแพทย์ในไทยที่ขาดการตรวจสอบทราฟฟิกขาออก (Outbound Traffic) สู่ไอพีที่ไม่คุ้นเคย อาจตกเป็นเป้าหมายของการใช้ระบบเป็นทางผ่านหรือถูกจารกรรมข้อมูลเวชระเบียนโดยไม่รู้ตัว

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐขยายขอบเขตการจารกรรมข้อมูลทางไซเบอร์มายังโครงสร้างพื้นฐานด้านสาธารณสุขและระบบเวชระเบียน เพื่อสร้างความได้เปรียบทางภูมิรัฐศาสตร์และรวบรวมข้อมูลส่วนบุคคลของเป้าหมายสำคัญ

ยุทธการ: ผู้โจมตีอาศัยเครือข่ายเซิร์ฟเวอร์ C2 จำนวนมากบนหมายเลขพอร์ตเฉพาะ (เช่น พอร์ต 8000) ร่วมกับการใช้งาน PowerShell เพื่อสร้างช่องทาง Reverse Proxy หลบเลี่ยงการตรวจจับของไฟร์วอลล์พื้นฐาน

ยุทธวิธี: ฝ่ายเทคโนโลยีสารสนเทศของโรงพยาบาลต้องบล็อกรายการไอพี C2 ของ LegionRelay ในไฟร์วอลล์ จำกัดการประมวลผลคำสั่ง PowerShell ข้ามเครือข่าย และมอนิเตอร์การเชื่อมต่อไปยังหมายเลขพอร์ตที่ไม่เป็นไปตามมาตรฐาน

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ระบบบริการสาธารณสุขและโรงพยาบาล, หน่วยงานด้านสุขภาพภาครัฐ, ผู้ให้บริการโครงสร้างพื้นฐานระบบข้อมูลการแพทย์

MITRE ATT&CK
T1059.001 PowerShell T1566.002 Spearphishing Link T1071.001 Web Protocols T1571 Non-Standard Port T1090 Proxy T1041 Exfiltration Over C2 Channel
IOC ที่สำคัญ
194.87.128[.]243 (LegionRelay C2 server, AS26383, port 8000) 89.125.189[.]118 (LegionRelay C2 server, AS26383, port 8000) 194.87.108[.]110 (LegionRelay C2 server, AS26383, port 8000) 91.149.253[.]100 (LegionRelay C2 server, AS26383, port 8000) 91.149.221[.]124 (LegionRelay C2 server, AS26383, port 8000) 166.88.239[.]54 (LegionRelay C2 server, port 8000)
แหล่งที่มา: Team Cymru - Threat Hunting: LegionRelay C2 Servers →

ผ่าโครงสร้างพันธมิตรแรนซัมแวร์ DragonForce ยกระดับการขู่กรรโชกและพุ่งเป้าโจมตีระบบเครือข่ายโรงพยาบาลและสาธารณสุข

เผยแพร่: 14 ตุลาคม 2569  ·  แหล่งที่มา: Bitsight  ·  Admiralty B2

Bitsight เผยแพร่รายงานเจาะลึกกลุ่มภัยคุกคาม DragonForce ซึ่งพัฒนาจากกลุ่มเคลื่อนไหวทางการเมืองก้าวสู่อาชญากรรมขู่กรรโชกค่าไถ่แบบ Cartel โดยนำซอร์สโค้ดของ Conti v3 และ LockBit 3.0 มาดัดแปลงเป็นตัวเข้ารหัสข้อมูล และเสนอผลประโยชน์แก่พันธมิตรเครือข่าย (Affiliates) สูงถึงร้อยละ 80 กลุ่มดังกล่าวมุ่งเป้าโจมตีสถานพยาบาลและศูนย์การแพทย์อย่างไม่เลือกหน้า โดยใช้เครื่องมือ SystemBC และ Cobalt Strike ในการเคลื่อนตัวข้ามเครื่อง ขโมยข้อมูลประวัติการรักษาและเวชระเบียนผู้ป่วย ก่อนเริ่มการเข้ารหัสเพื่อบีบให้โรงพยาบาลต้องจ่ายค่าไถ่

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อระบบสาธารณสุขไทย - โรงพยาบาลและศูนย์การแพทย์ในประเทศไทยเก็บรักษาข้อมูลเวชระเบียนผู้ป่วย (EHR) ที่มีความสำคัญต่อความต่อเนื่องในการรักษา หากตกเป็นเป้าหมายของ DragonForce อาจส่งผลกระทบโดยตรงต่อระบบจ่ายยา ห้องผ่าตัด และระบบทะเบียนผู้ป่วย อีกทั้งยังเสี่ยงต่อการถูกนำข้อมูลส่วนบุคคลตาม พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล (PDPA) ไปปล่อยขายบนเว็บไซต์ใต้ดิน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มแรนซัมแวร์เปลี่ยนกระบวนทัศน์สู่การรวมตัวแบบกลุ่มพันธมิตร (Cartel) และ RaaS แบบ White-Label เพื่อเพิ่มความเร็วในการขยายปฏิบัติการและเจาะกลุ่มเป้าหมายโครงสร้างพื้นฐานสำคัญที่มีความอ่อนไหวสูงต่อเวลา

ยุทธการ: ผู้โจมตีเน้นกลยุทธ์การขู่กรรโชกสองชั้น (Double Extortion) โดยปิดการทำงานของบริการความปลอดภัย ลบสำเนาเงาข้อมูล (Volume Shadow Copies) และขโมยข้อมูลลับก่อนทำการเข้ารหัส เพื่อตัดช่องทางการกู้คืนระบบ

ยุทธวิธี: หน่วยงานสาธารณสุขต้องบังคับใช้การยืนยันตัวตนหลายปัจจัย (MFA) กับทุกระบบ จัดทำข้อมูลสำรองแบบออฟไลน์ที่ไม่สามารถแก้ไขได้ (Immutable Backup) และตรวจจับพฤติกรรมมัลแวร์ SystemBC และ Cobalt Strike บนเครื่องปลายทาง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โรงพยาบาลและสถาบันการแพทย์, ศูนย์บริการตรวจวิเคราะห์โรค, เภสัชกรรมและซัพพลายเชนเวชภัณฑ์

MITRE ATT&CK
T1486 Data Encrypted for Impact T1490 Inhibit System Recovery T1078 Valid Accounts T1190 Exploit Public-Facing Application T1059.001 PowerShell T1021.001 Remote Desktop Protocol
IOC ที่สำคัญ
9f1f11a708d393e0a4109ae189bc64f1f3e312653dcf317a2bd406f18ffcc507 (SHA-256: DragonForce ransomware encryptor) e10361a11f8a7f232ac3cb2125c1875a0a69a3e4 (SHA-1: DragonForce ransomware encryptor) 2915b3f8b703eb744fc54c81f4a9c67f (MD5: DragonForce ransomware encryptor) 97b70e89b5313612a9e7a339ee82ab67 (MD5: SystemBC backdoor sample) 185.73.125[.]8 (Cobalt Strike C2 infrastructure IPv4) 94.232.46[.]202 (SystemBC C2 infrastructure IPv4)
แหล่งที่มา: Bitsight - Threat Actor Profile: DragonForce Ransomware Group →

ตรวจพบการโจมตีช่องโหว่ RCE ระดับวิกฤตบน Citrix NetScaler (CVE-2026-88771) ผ่านเทคนิค Log Poisoning เจาะเกตเวย์รีโมตและระบบพอร์ทัลโรงพยาบาล

เผยแพร่: 16 ตุลาคม 2569  ·  แหล่งที่มา: Zscaler ThreatLabz  ·  Admiralty B2

Zscaler ThreatLabz รายงานการตรวจพบการโจมตีช่องโหว่ระดับวิกฤตบนอุปกรณ์เครือข่าย Citrix NetScaler ADC และ NetScaler Gateway รหัส CVE-2026-88771 (CVSS 9.8) ซึ่งเกิดจากการตรวจสอบข้อมูลนำเข้าบกพร่อง ทำให้ผู้โจมตีจากระยะไกลที่ไม่ผ่านการยืนยันตัวตนสามารถรันคำสั่งอันตรายผ่านเทคนิค Log Poisoning ผู้โจมตีได้ปล่อยเว็บเชลล์ภาษา PHP แก้ไขไฟล์คอนฟิกูเรชัน Apache และตั้งค่าสิทธิ์ SUID บน /bin/sh เพื่อยกระดับสิทธิ์สู่ระดับ Root พร้อมทั้งดาวน์โหลดเพย์โหลด ELF แบบ 64-บิตสำหรับระบบปฏิบัติการ FreeBSD (kw2-freebsd-x64-s11) เข้าฝังตัวถาวรในอุปกรณ์เกตเวย์

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับวิกฤตต่อเครือข่ายสาธารณสุขไทย - โรงพยาบาลชั้นนำและหน่วยงานสาธารณสุขในไทยพึ่งพา Citrix NetScaler Gateway ในการให้บริการแพทย์เข้าถึงระบบงานโรงพยาบาลและภาพถ่ายทางรังสี (PACS/HIS) จากภายนอก การโจมตีช่องโหว่ก่อนการยืนยันตัวตนนี้เปิดทางให้ผู้ไม่หวังดีเจาะเข้าถึงเครือข่ายภายในของโรงพยาบาลได้โดยตรง และอาจใช้เป็นจุดเริ่มต้นในการปล่อยแรนซัมแวร์หรือขโมยเวชระเบียน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: อุปกรณ์ขอบเครือข่าย (Edge Devices) กลายเป็นเป้าหมายสำคัญสูงสุดในการเจาะระบบ เนื่องจากเป็นด่านหน้าที่มีสิทธิ์เข้าถึงโซนปลอดภัยภายในองค์กรโดยไม่ต้องผ่านการคัดกรองเพิ่มเติม

ยุทธการ: ผู้โจมตีผสมผสานการแทรกโค้ดอันตรายผ่านระบบบันทึกเหตุการณ์ (Log Poisoning) เข้ากับการติดตั้งอิมแพลนต์ระดับ Root ทำให้การคงอยู่ของภัยคุกคามมีความทนทานและตรวจจับได้ยากผ่านเครื่องมือแอนตีไวรัสทั่วไป

ยุทธวิธี: ฝ่ายไอทีโรงพยาบาลต้องเร่งติดตั้งแพตช์อัปเดตตามคำแนะนำ CTX697096 ทันที ตรวจสอบความถูกต้องของสิทธิ์บนไฟล์ /bin/sh ตรวจหาเว็บเชลล์ในไดเรกทอรีเว็บของ NetScaler และตัดการเชื่อมต่อจากไอพีผู้ไม่หวังดี

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โรงพยาบาลและศูนย์การแพทย์, องค์กรสาธารณสุข, หน่วยงานที่ใช้งาน Citrix NetScaler ADC และ NetScaler Gateway

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1059.004 Unix Shell T1505.003 Web Shell T1068 Exploitation for Privilege Escalation T1105 Ingress Tool Transfer T1082 System Information Discovery
IOC ที่สำคัญ
hxxp://209.141.43[.]95/files/kw2-freebsd-x64-s11 (Payload download URL delivering FreeBSD implant) 209.141.43[.]95 (Download server hosting FreeBSD payload) 45.153.212[.]101 (Source IP observed in CVE-2026-88771 exploitation attempts) 46.233.40[.]20 (Source IP observed in CVE-2026-88771 exploitation attempts) 46.236.167[.]143 (Source IP observed in CVE-2026-88771 exploitation attempts) 46.33.33[.]95 (Source IP observed in CVE-2026-88771 exploitation attempts)
แหล่งที่มา: Zscaler ThreatLabz - Inside Exploitation: Critical NetScaler RCE (CVE-2026-88771) →

ปฏิบัติการร่วมสากลและ Health-ISAC ทลายเครือข่าย PhaaS "Iron Man System" และ YAM Store สกัดการหลอกลวงขโมยข้อมูลผู้ป่วยและบุคลากรทางการแพทย์

เผยแพร่: 14 ตุลาคม 2569  ·  แหล่งที่มา: Resecurity  ·  Admiralty B1

พันธมิตรความมั่นคงไซเบอร์ระหว่างประเทศนำโดย Microsoft ร่วมกับศูนย์ประสานงานความมั่นคงภาคสาธารณสุข (Health-ISAC), Resecurity และหน่วยงานบังคับใช้กฎหมาย ได้ร่วมกันปฏิบัติการทลายระบบนิเวศบริการฟิชชิ่งสำเร็จรูป (PhaaS) ขนาดใหญ่ของกลุ่ม YAM Store (Storm-3119) และ Iron Man System (Storm-2990) โดย Resecurity ได้แกะรอยเทมเพลตฟิชชิ่งกว่า 2,300 รูปแบบ ซึ่งเน้นแอบอ้างสถาบันการแพทย์ ระบบบริการสุขภาพ และพอร์ทัลผู้ป่วย เพื่อหลอกขโมยรหัสผ่านและบายพาสการยืนยันตัวตนแบบ MFA โดยเครือข่ายนี้กระจายข้อความหลอกลวงกว่า 1 พันล้านครั้งกระทบองค์กรกว่า 75,000 แห่งทั่วโลก

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - บุคลากรทางการแพทย์และประชาชนไทยเผชิญกับข้อความ SMS และอีเมลหลอกลวงที่แอบอ้างสิทธิการรักษาพยาบาล ประกันสุขภาพ และการนัดหมายแพทย์อย่างต่อเนื่อง การทลายเครือข่าย Iron Man ช่วยลดความเสี่ยงจากการถูกนำเทมเพลตสำเร็จรูปภาษาไทยไปใช้หลอกลวง แต่ผู้ดูแลระบบยังคงต้องระวังกลุ่มอาชญากรที่อาจย้ายไปใช้แพลตฟอร์มอื่น

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ความร่วมมือเชิงลึกระหว่างองค์กรเฉพาะทางด้านสาธารณสุข (Health-ISAC) และภาคเอกชนเป็นกุญแจสำคัญในการตัดวงจรโครงสร้างพื้นฐานของอาชญากรไซเบอร์ที่มุ่งเป้าภาคบริการสุขภาพระดับสากล

ยุทธการ: ผู้ให้บริการ PhaaS พัฒนาระบบหลังบ้านแบบครบวงจรผ่านคอนเทนเนอร์และพื้นที่จัดเก็บข้อมูลบนคลาวด์ เพื่อให้ผู้เช่าบริการสามารถสร้างหน้าล็อกอินปลอมที่รองรับการดักจับเซสชันโทเคนได้ทันที

ยุทธวิธี: โรงพยาบาลต้องยกระดับการป้องกันอีเมลด้วยกลไก DMARC/DKIM/SPF และกรองโดเมนจดทะเบียนใหม่ (Newly Registered Domains) พร้อมทั้งส่งเสริมการใช้งานกุญแจความปลอดภัยฮาร์ดแวร์สำหรับการเข้าถึงระบบข้อมูลสำคัญ

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โรงพยาบาลและสถานพยาบาล, บุคลากรทางการแพทย์และผู้ป่วย, สถาบันการเงินและระบบประกันสุขภาพ

MITRE ATT&CK
T1566 Phishing T1598 Phishing for Information T1056.003 Web Portal Capture T1583.001 Domains T1608.005 Link Target T1111 Multi-Factor Authentication Interception
IOC ที่สำคัญ
api2.peaceman[.]cc (Iron Man System primary license and authorization backend) ipapi2.peaceman[.]cc (Iron Man System auxiliary API endpoint) bin2.peaceman[.]cc (Iron Man System auxiliary API endpoint) log2.peaceloving[.]xyz (Iron Man System telemetry and logging endpoint) ossapi.haoeryu[.]top (Iron Man System S3-compatible object storage endpoint fronted by CDN) docker.aidchildren[.]cc (Iron Man System self-hosted Gitea repository and container registry)
แหล่งที่มา: Resecurity - Iron Man & YAM Store Phishing Ecosystem →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามไซเบอร์ภาคสาธารณสุขในสัปดาห์นี้มีระดับความเสี่ยงสูงจากการโจมตีช่องโหว่เกตเวย์ Citrix NetScaler, ปฏิบัติการขู่กรรโชกของแรนซัมแวร์ DragonForce, และการสอดแนมผ่าน LegionRelay หน่วยงานโรงพยาบาลต้องเร่งอัปเดตระบบด่านหน้าและสำรองข้อมูลเวชระเบียนอย่างปลอดภัย

TLP:CLEAR

ห้วงเวลาข้อมูล: 12-18 ตุลาคม 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)