CGI-CTI-WEEKLY-20261019-IT - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ด้านเทคโนโลยีสารสนเทศ (IT) ประจำสัปดาห์

CRITICAL RISK (ความเสี่ยงระดับวิกฤต) ยืนยันจากรายงานภัยคุกคามระดับ Tier-1 พบการเจาะช่องโหว่ Zero-Day บนอุปกรณ์ควบคุมระยะไกล BeyondTrust Remote Support (CVE-2026-102764) โดยกลุ่ม ARMORY CASTLE, การบุกรุกโครงสร้างพื้นฐานอัปเดตของซอฟต์แวร์ AOMEI เพื่อแทรกแซงซัพพลายเชนโดยกลุ่ม UNC7017, การเชื่อมโยงช่องโหว่ Zero-Day บน Google Chrome และ Windows โดยกลุ่ม UTA0560 และการฉวยโอกาสโจมตีช่องโหว่ Zero-Day บน Ivanti Connect Secure (CVE-2026-104935) เพื่อข้ามการยืนยันตัวตนสู่สิทธิ์ Root

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 12-18 ตุลาคม 2569 ภัยคุกคามไซเบอร์ในกลุ่มอุตสาหกรรมเทคโนโลยีสารสนเทศ (IT) ทวีความรุนแรงขึ้นสู่อัตราความเสี่ยงระดับวิกฤต โดยมุ่งเป้าโจมตีโครงสร้างพื้นฐานการบริหารจัดการระบบและห่วงโซ่อุปทานซอฟต์แวร์เป็นหลัก ประการแรก Google Threat Intelligence ตรวจพบกลุ่มจารกรรม ARMORY CASTLE (UNC5221) ฉวยโอกาสโจมตีช่องโหว่ Zero-Day บน BeyondTrust Remote Support (CVE-2026-102764) เพื่อติดตั้งเว็บเชลล์ SAWFLY และทันเนลเลอร์ BARECLAW เข้าควบคุมระบบระยะไกล ประการที่สอง มีการเปิดเผยปฏิบัติการของกลุ่มภัยคุกคาม UNC7017 ที่แทรกแซงโครงสร้างพื้นฐานการอัปเดตของซอฟต์แวร์ AOMEI ในรูปแบบชั่วคราว (Ephemeral Configuration Tampering) เพื่อส่งมัลแวร์ตระกูล CROSSROAD, SHINYROAD และ AdaptixC2 ไปยังเครื่องปลายทาง ประการที่สาม Volexity ตรวจพบกลุ่มแฮกเกอร์ UTA0560 และ JungleBamboo ใช้เทคนิคต่อยอดการเจาะช่องโหว่ Zero-Day ข้ามกระบวนการแยกส่วน (Sandbox Escape) บนเบราว์เซอร์ Google Chrome ร่วมกับการยกระดับสิทธิ์บน Windows เพื่อติดตั้งมัลแวร์สอดแนม GRIMWEDGE และ SUPERSTOMP และประการสุดท้าย SOCRadar ร่วมกับหน่วยงาน CISA แจ้งเตือนการโจมตีช่องโหว่ Zero-Day บนอุปกรณ์เกตเวย์ Ivanti Connect Secure (CVE-2026-104935) ของกลุ่ม UTA0576 ซึ่งเปิดทางให้ผู้โจมตีข้ามผ่านระบบยืนยันตัวตนและเข้ายึดครองสิทธิ์ระดับ Root บนระบบเครือข่ายองค์กร

เหตุการณ์เด่นประจำสัปดาห์

กลุ่มจารกรรม ARMORY CASTLE โจมตีช่องโหว่ Zero-Day บน BeyondTrust Remote Support (CVE-2026-102764) ติดตั้งเว็บเชลล์ SAWFLY และทันเนลเลอร์ BARECLAW

เผยแพร่: 16 ตุลาคม 2569 · แหล่งที่มา: Google Threat Intelligence · Admiralty A1

ทีมวิเคราะห์ภัยคุกคาม Google Threat Intelligence ตรวจพบกลุ่มผู้ก่อการขั้นสูง ARMORY CASTLE (UNC5221) ปฏิบัติการโจมตีช่องโหว่ความปลอดภัยระดับ Zero-Day บนแอปพลิเคชันจัดการระบบสนับสนุนทางไกล BeyondTrust Remote Support (CVE-2026-102764) โดยอาศัยข้อบกพร่องในการตรวจสอบคำสั่งเพื่อเข้าถึงระบบปฏิบัติการพื้นฐานของอุปกรณ์ จากนั้นผู้โจมตีได้ฝังเว็บเชลล์ SAWFLY สำหรับการควบคุมและสั่งการในระยะยาว พร้อมทั้งติดตั้งโปรแกรมทันเนลเลอร์ BARECLAW ที่พัฒนาด้วยภาษา Go เพื่อเปิดท่อส่งข้อมูลเข้ารหัสผ่านโพรโทคอลเครือข่าย ส่งผลให้ผู้โจมตีสามารถข้ามผ่านการตรวจสอบไฟร์วอลล์และเข้าถึงเครือข่ายภายในองค์กรได้อย่างแนบเนียน

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรและผู้ให้บริการไอทีในไทย - องค์กรธุรกิจ สถาบันการเงิน และผู้ให้บริการจัดการระบบสารสนเทศ (MSP) ในประเทศไทยที่มีการติดตั้งใช้งานระบบ BeyondTrust Remote Support เพื่ออำนวยความสะดวกในการซ่อมบำรุงทางไกล หากยังไม่ได้อัปเดตแพตช์ฉุกเฉิน มีความเสี่ยงที่จะถูกเจาะระบบเพื่อใช้เป็นสะพานเชื่อมเข้าสู่เครือข่ายภายในองค์กรและขโมยรหัสผ่านระดับผู้ดูแลระบบ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: อุปกรณ์เข้าถึงระยะไกลระดับผู้ดูแลระบบกำลังตกเป็นเป้าหมายหลักของกลุ่มจารกรรมระดับรัฐเพื่อใช้เป็นช่องทางลัดในการเจาะโครงสร้างพื้นฐานสำคัญโดยไม่ต้องอาศัยฟิชชิ่ง

ยุทธการ: ผู้โจมตีนำเครื่องมือเฉพาะทางอย่างทันเนลเลอร์ BARECLAW มาใช้สร้างการเชื่อมต่อไปยังโหนดเครือข่ายภายใน เพื่อเลี่ยงระบบตรวจจับทราฟฟิกผิดปกติที่ส่วนขอบของเครือข่าย

ยุทธวิธี: ฝ่ายดูแลระบบต้องติดตั้งอัปเดตความปลอดภัย BeyondTrust เวอร์ชันล่าสุดทันที ตรวจสอบไฟล์ในไดเรกทอรีเว็บเพื่อค้นหาร่องรอยเว็บเชลล์ SAWFLY และจำกัดการเข้าถึงหน้าคอนโซลจัดการให้ผ่าน VPN เท่านั้น

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ผู้ให้บริการด้านไอที (Managed Service Providers), หน่วยงานภาครัฐ, สถาบันการเงิน, และองค์กรธุรกิจที่ใช้โซลูชัน BeyondTrust Remote Support

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1505.003 Web Shell T1548.001 Setuid and Setgid T1555 Credentials from Password Stores T1572 Protocol Tunneling T1021 Remote Services

IOC ที่สำคัญ

dc14e215269a93fdbc4c1a80b984c23faf7af0911c6dbb85309796a6f2ae95fb 1f19b9a27d79c11bda00a1e8faf74a7fdd683d38ccef1b60df2fd0307e3aa462

แหล่งที่มา: Google Threat Intelligence →

กลุ่มคุกคาม UNC7017 แทรกแซงระบบอัปเดตซอฟต์แวร์ AOMEI ชั่วคราว (Ephemeral Tampering) เพื่อแพร่กระจายมัลแวร์ CROSSROAD, SHINYROAD และ ADAPTAGENT

เผยแพร่: 16 ตุลาคม 2569 · แหล่งที่มา: Google Threat Intelligence · Admiralty A1

รายงานเชิงลึกจาก Google Threat Intelligence เปิดเผยการสืบสวนปฏิบัติการของกลุ่มคุกคามไซเบอร์ UNC7017 ซึ่งดำเนินการแทรกแซงห่วงโซ่อุปทานซอฟต์แวร์ของบริษัท AOMEI ผู้พัฒนาโปรแกรมจัดการพาร์ติชันและสำรองข้อมูลระบบ โดยผู้โจมตีไม่ได้ดัดแปลงซอร์สโค้ดต้นฉบับ แต่ใช้วิธีแก้ไขการตั้งค่าบนโครงสร้างพื้นฐานคลาวด์และเซิร์ฟเวอร์อัปเดตแบบชั่วคราว (Ephemeral Tampering) เพื่อเปลี่ยนเส้นทางการดาวน์โหลดไฟล์ส่วนประกอบไปยังเซิร์ฟเวอร์ควบคุมของผู้โจมตี ทำให้ผู้ใช้งานที่กดตรวจสอบการอัปเดตได้รับไฟล์ติดตั้งปลอมที่บรรจุมัลแวร์สเตเจอร์ CROSSROAD และโหลดเดอร์ SHINYROAD ซึ่งจะทำการรันเอเจนต์ C2 ตระกูล ADAPTAGENT เข้าสู่หน่วยความจำของเครื่องเหยื่อ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรและฝ่ายไอทีในไทย - โปรแกรมจัดการดิสก์และสำรองข้อมูลของ AOMEI เป็นซอฟต์แวร์อรรถประโยชน์ที่นิยมใช้งานในหมู่ช่างเทคนิคและผู้ดูแลระบบไอทีในไทย หากมีการอัปเดตโปรแกรมในช่วงเวลาที่ระบบถูกแทรกแซง เครื่องคอมพิวเตอร์ของฝ่ายไอทีอาจตกเป็นเป้าหมายของการฝังมัลแวร์ควบคุมระยะไกล และนำไปสู่การรั่วไหลของข้อมูลลับในระดับโครงสร้างพื้นฐาน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การโจมตีซัพพลายเชนรูปแบบ Ephemeral Tampering แสดงให้เห็นวิวัฒนาการที่ซับซ้อนขึ้น โดยหลีกเลี่ยงการแก้ไขโค้ดถาวรเพื่อลดโอกาสในการถูกตรวจพบระหว่างการตรวจสอบความถูกต้องของแพ็กเกจซอฟต์แวร์

ยุทธการ: ผู้โจมตีอาศัยการสับเปลี่ยนคอนฟิกการชี้เป้าหมายอัปเดตในกรอบเวลาสั้นเพื่อส่งเพย์โหลดเฉพาะเจาะจง จากนั้นจึงทำการลบร่องรอยการแก้ไขออกจากระบบคลาวด์

ยุทธวิธี: ผู้ดูแลระบบควรบล็อกการเชื่อมต่อกับโดเมนและไอพีที่เกี่ยวข้อง ตรวจสอบกระบวนการทำงานของโปรแกรม AOMEI ในเครื่องคอมพิวเตอร์ และยกเลิกการให้อุปกรณ์ดาวน์โหลดอัปเดตโดยตรงจากอินเทอร์เน็ตภายนอก

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ฝ่ายสนับสนุนไอที, ผู้ดูแลระบบสารสนเทศ, หน่วยงานโทรคมนาคม, สถาบันการศึกษา, และผู้ใช้งานซอฟต์แวร์ AOMEI ทั่วโลก

MITRE ATT&CK

T1195.002 Compromise Software Supply Chain T1608.001 Upload Malware T1059.001 PowerShell T1574.001 DLL Search Order Hijacking T1053.005 Scheduled Task T1571 Non-Standard Port

IOC ที่สำคัญ

storage-data[.]com promotion.storage-data[.]com 8.210.84[.]56 6670ab3f0434a42f33416f8354150b1701e7615f3cfa2f1635e54f8df0f6eec7 11e576df44e9c9eef72b9f5b699291bcdb200a19130778ec231e5b0987b913ad

แหล่งที่มา: Google Threat Intelligence →

กลุ่มภัยคุกคาม UTA0560 และ JungleBamboo โจมตีต่อเนื่องด้วยช่องโหว่ Zero-Day บน Chrome และ Windows เพื่อติดตั้งมัลแวร์ GRIMWEDGE, LONGTALE และ SUPERSTOMP

เผยแพร่: 16 ตุลาคม 2569 · แหล่งที่มา: Volexity · Admiralty B2

ทีมนักวิจัยความปลอดภัยจาก Volexity เปิดเผยการวิเคราะห์ชุดปฏิบัติการเจาะระบบขั้นสูงโดยกลุ่มภัยคุกคาม UTA0560 และ JungleBamboo ซึ่งใช้ห่วงโซ่การโจมตีช่องโหว่ Zero-Day คู่ (Exploit Chain) เพื่อทะลวงระบบความปลอดภัยของเครื่องเป้าหมาย โดยเริ่มต้นจากการฉวยโอกาสโจมตีข้อบกพร่องของเอนจิน V8 บน Google Chrome เพื่อรันโค้ดและหลุดรอดจากสภาพแวดล้อมแซนด์บ็อกซ์ (Sandbox Escape) ก่อนจะเชื่อมต่อกับช่องโหว่การยกระดับสิทธิ์บนเคอร์เนลของระบบปฏิบัติการ Windows เมื่อได้สิทธิ์ระดับสูงสุด ผู้โจมตีจะนำส่งมัลแวร์หลายขั้นตอน เริ่มจากโหลดเดอร์ GRIMWEDGE, สคริปต์สเตเจอร์ LONGTALE และแบ็กดอร์ฝังตัวในหน่วยความจำ SUPERSTOMP เพื่อการจารกรรมข้อมูลระยะยาว

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรและบุคลากรด้านเทคโนโลยีในไทย - บุคลากรสายไอทีและวิศวกรซอฟต์แวร์ในประเทศไทยที่ใช้งานเบราว์เซอร์ Google Chrome บนระบบปฏิบัติการ Windows มีความเสี่ยงที่จะตกเป็นเหยื่อของการโจมตีแบบ Drive-by Compromise ผ่านเว็บไซต์ล่อลวงหรือลิงก์ฟิชชิ่ง หากเครื่องคอมพิวเตอร์ยังไม่ได้รับการอัปเดตเวอร์ชันล่าสุด อาจเปิดโอกาสให้ผู้โจมตีเข้ายึดครองเครื่องและขโมยข้อมูลความลับภายในองค์กร

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ห่วงโซ่การโจมตีระดับ Zero-Day ร่วมระหว่างเบราว์เซอร์และระบบปฏิบัติการสะท้อนถึงการลงทุนทรัพยากรระดับสูงของผู้คุกคาม เพื่อเจาะเข้าสู่กลุ่มเป้าหมายมูลค่าสูงที่ใช้ระบบป้องกันมาตรฐาน

ยุทธการ: ผู้โจมตีแยกหน้าที่ของมัลแวร์ออกเป็นหลายระดับ โดยใช้สเตเจอร์แบบไร้ไฟล์เพื่อรันเพย์โหลดหลักในหน่วยความจำ เพื่อหลบเลี่ยงการสแกนของระบบตรวจจับแอนติไวรัสบนฮาร์ดดิสก์

ยุทธวิธี: ฝ่ายไอทีต้องเร่งติดตั้งแพตช์อัปเดต Google Chrome และแพตช์รายเดือนของ Windows ทันที พร้อมทั้งบล็อกการเข้าถึงโดเมนและไอพีของเซิร์ฟเวอร์ควบคุมตามรายการดัชนีบ่งชี้ภัยคุกคาม

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคธุรกิจเทคโนโลยีสารสนเทศ, หน่วยงานโทรคมนาคม, สถาบันวิจัยทางเทคนิค, และผู้ใช้งานระบบปฏิบัติการ Windows และเบราว์เซอร์ Chrome ทั่วไป

MITRE ATT&CK

T1189 Drive-by Compromise T1203 Exploitation for Client Execution T1068 Exploitation for Privilege Escalation T1055 Process Injection T1620 Reflective Code Loading T1574.001 DLL Side-Loading

IOC ที่สำคัญ

shinewrist[.]net opusaccel[.]top 206.166.251[.]164 hxxps://cloud[.]shinewrist[.]net/foo/Files1[.]html 69ee454d644b20abf4caa76b7a66d244075b7c8df47aeb5d6b0242015f671abc

แหล่งที่มา: Volexity Threat Intelligence →

กลุ่มภัยคุกคาม UTA0576 เจาะช่องโหว่ Zero-Day บน Ivanti Connect Secure (CVE-2026-104935) เพื่อข้ามการยืนยันตัวตนและรันคำสั่งในสิทธิ์ Root

เผยแพร่: 14 ตุลาคม 2569 · แหล่งที่มา: SOCRadar · Admiralty B2

ศูนย์เฝ้าระวังความมั่นคงปลอดภัย SOCRadar ร่วมกับหน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานสหรัฐฯ (CISA) ออกประกาศแจ้งเตือนด่วนเกี่ยวกับการตรวจพบการโจมตีช่องโหว่ Zero-Day บนเกตเวย์ VPN สำหรับองค์กร Ivanti Connect Secure (CVE-2026-104935) โดยกลุ่มภัยคุกคามขั้นสูง UTA0576 ช่องโหว่ดังกล่าวเปิดโอกาสให้ผู้โจมตีจากระยะไกลที่ไม่มีสิทธิ์เข้าถึง สามารถส่งคำขอที่ออกแบบพิเศษเพื่อข้ามผ่านระบบการตรวจสอบสิทธิ์ (Authentication Bypass) และรันคำสั่งอันตรายในระดับสิทธิ์สูงสุด (Root Command Execution) ส่งผลให้ผู้โจมตีสามารถติดตั้งเว็บเชลล์ แอบดักจับข้อมูลชื่อผู้ใช้และรหัสผ่านของผู้เข้าใช้งาน VPN และใช้เป็นจุดกระโดดเข้าสู่เครือข่ายภายในองค์กร

ผลกระทบต่อประเทศไทย

ความเสี่ยงระดับสูงต่อโครงสร้างพื้นฐานไอทีและเครือข่ายองค์กรในไทย - องค์กรขนาดใหญ่ สถาบันการเงิน และหน่วยงานไอทีในประเทศไทยที่มีการติดตั้งอุปกรณ์เกตเวย์ Ivanti Connect Secure เพื่อเปิดให้พนักงานเข้าถึงเครือข่ายจากภายนอก หากยังไม่ได้ใช้มาตรการบรรเทาความเสียหายหรืออัปเดตแพตช์ มีความเสี่ยงสูงที่จะถูกกลุ่มคุกคามเจาะระบบเข้าขโมยข้อมูลลับและสร้างการเชื่อมต่อถาวร

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: อุปกรณ์ไฟร์วอลล์และเกตเวย์ VPN ที่เปิดให้บริการสู่อินเทอร์เน็ตยังคงเป็นจุดอ่อนสำคัญที่กลุ่มแฮกเกอร์เล็งเป้าหมายเพื่อใช้เปิดประตูเข้าสู่เครือข่ายองค์กร

ยุทธการ: ผู้โจมตีผสานการข้ามระบบยืนยันตัวตนกับการแทรกคำสั่งเชลล์ ส่งผลให้สามารถเข้าควบคุมระบบปฏิบัติการของอุปกรณ์ได้ทันทีโดยไม่ต้องใช้ข้อมูลบัญชีผู้ใช้ใดๆ

ยุทธวิธี: ผู้ดูแลระบบเครือข่ายต้องรันเครื่องมือ External Integrity Checker Tool (ICT) ของ Ivanti ทันทีเพื่อตรวจหาความผิดปกติของระบบไฟล์ และบล็อกการเชื่อมต่อจากไอพีที่เป็นอันตราย

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรภาคธุรกิจ, หน่วยงานด้านเทคโนโลยีสารสนเทศ, ภาคการเงินการธนาคาร, และหน่วยงานภาครัฐที่ใช้งานอุปกรณ์ Ivanti Connect Secure

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1068 Exploitation for Privilege Escalation T1059.004 Unix Shell T1555 Credentials from Password Stores T1055 Process Injection T1070.004 File Deletion

IOC ที่สำคัญ

108.165.147[.]64 25b95f47359c327e3a5ae5ac5cd147f8d9afd98092faf136822ee287e25e3dc8

แหล่งที่มา: SOCRadar Research →

ข้อสังเกตประจำสัปดาห์

การพุ่งเป้าโจมตีเครื่องมือและโครงสร้างการบริหารจัดการไอที (Management & Support Infrastructure Targeting): กลุ่มภัยคุกคามขั้นสูงมุ่งเป้าเจาะระบบบริหารจัดการระยะไกล เช่น BeyondTrust Remote Support และ Ivanti Connect Secure ซึ่งเป็นจุดศูนย์รวมอำนาจและสิทธิ์การเข้าถึงโครงสร้างพื้นฐานไอที ทำให้การเจาะระบบสำเร็จเพียงจุดเดียวสามารถส่งผลกระทบต่อทั้งเครือข่ายองค์กร
การยกระดับการแทรกแซงห่วงโซ่อุปทานแบบชั่วคราว (Ephemeral Supply Chain Tampering): กรณีของ AOMEI สะท้อนให้เห็นว่าผู้โจมตีหลีกเลี่ยงการดัดแปลงโค้ดต้นทางแบบดั้งเดิม แต่เลือกที่จะควบคุมโครงสร้างพื้นฐานการแจกจ่ายเพื่อสลับไฟล์อัปเดตเป็นช่วงเวลาสั้น ซึ่งทำให้การตรวจจับด้วยการเปรียบเทียบซอร์สโค้ดไม่สามารถตรวจพบความผิดปกติได้
การผสมผสานช่องโหว่ Zero-Day แบบหลายต่อ (Multi-Tier Zero-Day Chaining): กลุ่มผู้คุกคามมีการลงทุนและพัฒนาความสามารถในการเชื่อมโยงช่องโหว่ข้ามระบบปฏิบัติการและแอปพลิเคชัน เช่น Chrome V8 Sandbox Escape ร่วมกับ Windows Kernel LPE เพื่อให้การโจมตีทะลุผ่านระบบป้องกันความปลอดภัยแบบแยกส่วนของเครื่องปลายทางได้ในคราวเดียว

ข้อเสนอแนะ

เร่งติดตั้งอัปเดตความปลอดภัยฉุกเฉินบนอุปกรณ์ขอบเครือข่ายและระบบรีโมต: ตรวจสอบและติดตั้งแพตช์แก้ไขช่องโหว่ CVE-2026-102764 บน BeyondTrust Remote Support และ CVE-2026-104935 บน Ivanti Connect Secure ทันที พร้อมทั้งรันเครื่องมือตรวจสอบความสมบูรณ์ของระบบ (Integrity Checker)
บังคับใช้การตรวจสอบตัวตนแบบหลายปัจจัยและจำกัดการเข้าถึงหน้าคอนโซล: ปิดกั้นไม่ให้หน้าเข้าสู่ระบบจัดการของผู้ดูแลระบบเปิดให้เข้าถึงได้จากอินเทอร์เน็ตสาธารณะ โดยกำหนดให้ต้องผ่านการยืนยันตัวตนแบบ MFA ร่วมกับการเชื่อมต่อผ่านเครือข่ายภายในหรือ Zero Trust Network Access (ZTNA)
ตรวจสอบความสมบูรณ์และดิจิทัลซิกเนเจอร์ของแพ็กเกจซอฟต์แวร์อัปเดต: กำหนดนโยบายให้เครื่องคอมพิวเตอร์และเซิร์ฟเวอร์ภายในองค์กรทำการอัปเดตซอฟต์แวร์ผ่านระบบศูนย์กลาง (Centralized Patch Management) ที่ผ่านการตรวจสอบลายเซ็นดิจิทัล แทนการอนุญาตให้โปรแกรมดาวน์โหลดไฟล์ตรงจากอินเทอร์เน็ต
อัปเดตเบราว์เซอร์และระบบปฏิบัติการเครื่องคอมพิวเตอร์ลูกข่ายให้เป็นเวอร์ชันล่าสุด: ผลักดันการอัปเดต Google Chrome และติดตั้งแพตช์ความปลอดภัยรายเดือนของระบบปฏิบัติการ Windows เพื่อปิดกั้นช่องโหว่การทะลวงแซนด์บ็อกซ์และการยกระดับสิทธิ์ระดับเคอร์เนล
เฝ้าระวังและบล็อกตัวชี้วัดภัยคุกคาม (IOCs) บนระบบตรวจจับเครือข่าย: นำรายการโดเมนและไอพีที่พบในรายงาน เช่น โดเมนเครือข่าย C2 และไอพีการสแกน ไปตั้งค่าบล็อกบนระบบไฟร์วอลล์และระบบตรวจจับการบุกรุก (IDS/IPS) เพื่อสกัดกั้นการเชื่อมต่อที่อาจเกิดขึ้น

สรุป: รายงาน CTI สัปดาห์นี้ชี้ให้เห็นถึงความเสี่ยงระดับวิกฤตจากการเจาะช่องโหว่ Zero-Day บนอุปกรณ์ควบคุมระยะไกล BeyondTrust และเกตเวย์ Ivanti ร่วมกับการแทรกแซงห่วงโซ่อุปทานซอฟต์แวร์ AOMEI และการใช้ช่องโหว่ Chrome ร่วมกับ Windows องค์กรต้องเร่งติดตั้งแพตช์ด่วน จำกัดการเข้าถึงหน้าบริหารจัดการ และตรวจสอบความสมบูรณ์ของระบบไฟล์อย่างเคร่งครัด

TLP:CLEAR

ห้วงเวลาข้อมูล: 12-18 ตุลาคม 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)