Transportation & Logistics Sector Weekly Report
ห้วงเวลา: 12-18 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 12-18 ตุลาคม 2569 ภูมิทัศน์ภัยคุกคามความมั่นคงปลอดภัยไซเบอร์ต่อภาคการขนส่งและโลจิสติกส์ (Transportation & Logistics) มีการยกระดับสู่ความเสี่ยงสูงอย่างมีนัยสำคัญ โดยกลุ่มอาชญากรไซเบอร์และกลุ่มภัยคุกคามระดับรัฐ (APT) มุ่งเป้าโจมตีจุดศูนย์กลางของการสัญจรสินค้าและเส้นทางขนส่งทางยุทธศาสตร์พร้อมกัน ประการแรก CYFIRMA ตรวจพบปฏิบัติการกรรโชกทรัพย์ระลอกใหญ่ของกลุ่ม N0n ซึ่งเผยแพร่ข้อมูลองค์กรด้านท่าเรือ สถานีตู้สินค้า และการขนส่งทางเรือถึง 38 แห่งพร้อมกันใน 18 ประเทศ โดยส่วนใหญ่อยู่ในเอเชีย ซึ่งหน่วยงาน KISA ของเกาหลีใต้ได้ออกประกาศแจ้งเตือนเหตุบุกรุกจริงแก่ผู้ประกอบการท่าเรือแล้ว ประการที่สอง FalconFeeds เผยแพร่รายงานเจาะลึกสมรภูมิไซเบอร์ในเยเมน ซึ่งกลุ่มติดอาวุธฮูตี (OilAlpha) ร่วมมือกับเครือข่ายสายลับอิหร่าน (Tortoiseshell/Imperial Kitten) ในการสร้างโดเมนสวมรอยสายการเดินเรือพาณิชย์ Bahri และปล่อยสปายแวร์บนระบบ Android เพื่อติดตามพิกัดเรือและสอดแนมการขนส่งสินค้าผ่านช่องแคบบับเอลม็องเดบ ประการที่สาม Exatrack รายงานความเคลื่อนไหวของกลุ่ม APT28 สังกัดรัสเซีย ที่ปรับปรุงกลไกการฝังตัวของมัลแวร์โหลดเดอร์ PixyNetLoader โดยใช้เทคนิค DLL Side-Loading และดรอปไฟล์ uimanager.dll เพื่อติดตั้งเฟรมเวิร์กควบคุม Covenant Grunt เจาะระบบสายการส่งกำลังบำรุงและโลจิสติกส์ และประการที่สี่ รายงานข่าวกรองประจำสัปดาห์ของ CYFIRMA ระบุถึงการระบาดของแรนซัมแวร์ Majin และ The Gentlemen ที่พุ่งเป้าอุตสาหกรรมยานยนต์ การขนส่ง และโลจิสติกส์ โดยระบุประเทศไทยเป็นหนึ่งในเป้าหมายหลักของการโจมตีควบคู่กับการใช้โทรจัน RuRAT ในการเจาะเปิดเครือข่าย
กลุ่มแรนซัมแวร์และกรรโชกข้อมูล N0n (หรือ n0n) ซึ่งเปิดตัวเว็บไซต์ Tor Leak Site เมื่อวันที่ 18 กันยายน 2569 ได้ก่อเหตุขู่กรรโชกครั้งใหญ่ในภาคการขนส่งทางเรือและท่าเรือ โดยระหว่างวันที่ 11 ถึง 13 ตุลาคม 2569 กลุ่มดังกล่าวได้ขึ้นรายการเหยื่อใหม่ถึง 54 รายการ ซึ่งมีองค์กรด้านท่าเรือ สถานีเทียบเรือ สายการเดินเรือพาณิชย์ และบริษัทตัวแทนจัดส่งสินค้ามากถึง 38 แห่งใน 18 ประเทศ โดยทั้งหมด 38 รายการถูกโพสต์ขึ้นพร้อมกันภายในระยะเวลาเพียง 23 นาทีในวันที่ 12 ตุลาคม พร้อมกำหนดเส้นตายชำระเงินค่าไถ่เดียวกันคือวันที่ 19 ตุลาคม 2569 เวลา 13:27 UTC ทั้งนี้ ในบรรดาองค์กรท่าเรือ 38 แห่ง มีถึง 26 แห่งตั้งอยู่ในทวีปเอเชีย นำโดยเกาหลีใต้ 12 แห่ง รวมถึงสิงคโปร์ เวียดนาม และอินโดนีเซีย โดยหน่วยงานกำกับดูแลความมั่นคงไซเบอร์เกาหลีใต้ (KISA) ได้ออกหนังสือแจ้งเตือนเหตุการณ์บุกรุกแก่บริษัทท่าเรือในรายชื่อแล้ว แม้กลุ่ม N0n จะอ้างว่าทำการเข้ารหัสและทำลายระบบสำรองข้อมูล แต่ CYFIRMA ประเมินด้วยความเชื่อมั่นปานกลางว่าผู้โจมตีเป็นกลุ่มขโมยข้อมูลเพื่อกรรโชกทรัพย์ (Data-Theft Extortion) โดยยังไม่พบมัลแวร์เข้ารหัสข้อมูลจริงในระบบของเหยื่อ
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อระบบห่วงโซ่อุปทานการขนส่งสินค้าทางทะเลของไทย เนื่องจากท่าเรือพาณิชย์และสถานีตู้สินค้าในเอเชียตะวันออกเฉียงใต้ เช่น สิงคโปร์ เวียดนาม และอินโดนีเซีย เชื่อมโยงเป็นเครือข่ายเส้นทางเดินเรือหลักร่วมกับท่าเรือแหลมฉบังและท่าเรือกรุงเทพฯ หากระบบบริหารจัดการตู้สินค้าหรือระบบจัดตารางเดินเรือของท่าเรือพันธมิตรหยุดชะงัก ย่อมส่งผลกระทบต่อเนื่องต่อพิธีการศุลกากร การหมุนเวียนตู้คอนเทนเนอร์ และความล่าช้าในการส่งมอบสินค้าของไทย
ยุทธศาสตร์: ผู้ก่อภัยคุกคามปรับเปลี่ยนกลยุทธ์จากการเจาะเป้าหมายเดี่ยวมาเป็นการโจมตีแบบกวาดล้างภาคส่วนขนส่งทางเรือข้ามพรมแดน เพื่อสร้างอำนาจต่อรองจากการคุกคามจุดคอขวดของห่วงโซ่อุปทานระดับโลก
ยุทธการ: ผู้โจมตีใช้ประโยชน์จากบัญชีผู้ใช้งานที่รั่วไหลและช่องทางเข้าถึงระยะไกล (RDP) ในการลักลอบนำข้อมูลคลังสินค้าและเอกสารการจัดส่งออกไปยังระบบคลาวด์ภายนอก ก่อนประกาศเส้นตายกรรโชกทรัพย์พร้อมกัน
ยุทธวิธี: ฝ่ายไอทีขององค์กรโลจิสติกส์ต้องปิดกั้นพอร์ต RDP สู่ภายนอก ตรวจสอบการถ่ายโอนข้อมูลขนาดใหญ่ผิดปกติ และเฝ้าระวังความเคลื่อนไหวบนเครือข่าย Tor Onion เพื่อตรวจจับการปล่อยข้อมูลองค์กร
ผู้ให้บริการท่าเรือและสถานีบริการตู้สินค้า (Port & Terminal Operators), สายการเดินเรือพาณิชย์ (Maritime Shipping), ตัวแทนรับจัดการขนส่งสินค้าระหว่างประเทศ (Freight Forwarders), ระบบโลจิสติกส์คลังสินค้า
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
FalconFeeds เผยแพร่รายงานวิเคราะห์สมรภูมิไซเบอร์ในเยเมน ประจำเดือนตุลาคม 2569 ซึ่งเปิดโปงการประสานงานระหว่างกลุ่มสายลับไซเบอร์ที่สนับสนุนกลุ่มฮูตี (OilAlpha) และกลุ่มภัยคุกคามขั้นสูงที่เชื่อมโยงกับอิหร่าน (Tortoiseshell/Imperial Kitten และ OilRig/APT34) ในการปฏิบัติการจารกรรมทางไซเบอร์ที่มุ่งเป้าภาคการขนส่งทางเรือพาณิชย์และโลจิสติกส์เส้นทางทะเลแดง โดยกลุ่ม Tortoiseshell ได้สร้างโครงสร้างพื้นฐานเว็บไซต์ฟิชชิ่งปลอมแปลงแบรนด์สายการเดินเรือแห่งชาติซาอุดีอาระเบีย Bahri (โดเมน bahri[.]site) เพื่อหลอกขโมยข้อมูลประจำตัวของเจ้าหน้าที่สายการเดินเรือ ควบคู่ไปกับกลุ่ม OilAlpha ที่ส่งแอปพลิเคชันปลอมแปลงหน่วยงานบรรเทาทุกข์ทาง WhatsApp ซึ่งภายในแฝงสปายแวร์บนระบบ Android สายพันธุ์ SpyNote และ SpyMax เพื่อดักจับพิกัดตำแหน่งทางภูมิศาสตร์ (GPS) บันทึกการโทร และข้อความ SMS ของเจ้าหน้าที่ด้านการขนส่งและการบินในภูมิภาค เพื่อสนับสนุนการปฏิบัติการภาคสนามต่อเรือพาณิชย์
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสายการเดินเรือพาณิชย์และบริษัทนำเข้า-ส่งออกของไทยที่มีเรือสินค้าหรือตู้คอนเทนเนอร์สัญจรผ่านเส้นทางทะเลแดง อ่าวเอเดน และคลองสุเอซ เจ้าหน้าที่ประจำเรือและฝ่ายจัดการขนส่งระหว่างประเทศมีความเสี่ยงที่จะตกเป็นเป้าหมายของการฟิชชิ่งสวมรอยแบรนด์การเดินเรือสากลและการฝังสปายแวร์เพื่อดักรับข้อมูลการเดินทางและพิกัดตำแหน่งของสินค้า
ยุทธศาสตร์: การผสานปฏิบัติการสงครามไซเบอร์เข้ากับการขัดขวางเส้นทางขนส่งสินค้าและพลังงานระดับโลกผ่านจุดยุทธศาสตร์ทางทะเลเพื่อสร้างผลกระทบทางภูมิรัฐศาสตร์
ยุทธการ: ผู้โจมตีใช้เทคนิควิศวกรรมสังคมผ่านแอปพลิเคชันมือถือและการสวมรอยแบรนด์สายการเดินเรือชั้นนำ เพื่อหลอกให้เหยื่อติดตั้งเครื่องมือสอดแนมที่รายงานตำแหน่งเรือและกำหนดการเดินทางแบบเรียลไทม์
ยุทธวิธี: ผู้ดูแลระบบต้องบล็อกการเข้าถึงโดเมน bahri[.]site และไอพีเซิร์ฟเวอร์ควบคุม 167.71.7[.]125 บนอุปกรณ์ปลายทางและเกตเวย์ พร้อมกำหนดมาตรการห้ามติดตั้งไฟล์ APK จากภายนอกบนอุปกรณ์สื่อสารของเจ้าหน้าที่ปฏิบัติการ
การขนส่งทางเรือพาณิชย์ (Maritime Shipping), การบินพลเรือน (Civil Aviation), หน่วยงานบรรเทาทุกข์และประสานงานโลจิสติกส์ระหว่างประเทศ, บุคลากรประจำเรือเดินสมุทร
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมวิจัยมัลแวร์ Exatrack รายงานความคืบหน้าของแคมเปญฟิชชิ่งโดยกลุ่มภัยคุกคาม APT28 (หรือ Fancy Bear) สังกัดหน่วยข่าวกรองทหารรัสเซีย (GRU) ซึ่งยังคงดำเนินปฏิบัติการจารกรรมข้อมูลมุ่งเป้าโครงสร้างพื้นฐานด้านโลจิสติกส์และการส่งกำลังบำรุงอย่างต่อเนื่อง โดยการวิเคราะห์ตัวอย่างมัลแวร์โหลดเดอร์ PixyNetLoader รุ่นล่าสุดในเดือนกันยายนและตุลาคม 2569 พบการปรับปรุงกลไกทางเทคนิคอย่างมีนัยสำคัญเพื่อหลบเลี่ยงการตรวจจับ โดยผู้โจมตีได้ยกเลิกกลไกคงสถานะ (Persistence) ผ่านคีย์รีจิสทรี COM แบบเดิมที่ถูกระบบตรวจจับได้ง่าย หันมาใช้เทคนิค DLL Side-Loading โดยดรอปไฟล์มัลแวร์ในชื่อ uimanager.dll และเขียนทับอัลกอริทึมการเข้ารหัสสตริงใหม่เพื่อทำลายกฎ YARA ที่เปิดเผยสู่สาธารณะ ตัวอย่างมัลแวร์รุ่นล่าสุดลงวันที่ 13 ตุลาคม 2569 ทำหน้าที่ถอดรหัสและติดตั้งเพย์โหลดเฟรมเวิร์กควบคุม Covenant Grunt เข้าสู่หน่วยความจำเพื่อควบคุมเครื่องแม่ข่ายโลจิสติกส์อย่างแนบเนียน
ความเสี่ยงเชิงยุทธวิธีต่อองค์กรในภาคการขนส่ง โลจิสติกส์ และศูนย์กระจายสินค้าในไทย ที่ใช้งานระบบปฏิบัติการ Windows สำหรับสถานีงานควบคุมคลังสินค้าและเซิร์ฟเวอร์กระจายสินค้า หากองค์กรไม่ได้บังคับใช้นโยบายจำกัดการเรียกใช้งานซอฟต์แวร์ (AppLocker) หรือการตรวจสอบความถูกต้องของลายเซ็นดิจิทัลสำหรับไฟล์ DLL ผู้โจมตีอาจอาศัยช่องทางอีเมลฟิชชิ่งในการติดตั้งมัลแวร์ผ่านเทคนิค DLL Side-Loading ในลักษณะเดียวกัน
ยุทธศาสตร์: การปฏิบัติการจารกรรมข้อมูลเพื่อดักสกัดข้อมูลสายการส่งกำลังบำรุง เส้นทางขนส่งทรัพยากร และขีดความสามารถการกระจายสินค้าของเป้าหมาย
ยุทธการ: ผู้โจมตีปรับเปลี่ยนโครงสร้างโค้ดและกลไกการฝังตัวอย่างรวดเร็วเพื่อรักษาการเข้าถึงระบบเป้าหมายและหลบเลี่ยงลายเซ็นตรวจจับของระบบป้องกันปลายทาง
ยุทธวิธี: ผู้ดูแลระบบต้องเฝ้าระวังไฟล์ DLL ที่ถูกสร้างขึ้นในโฟลเดอร์ชั่วคราว เช่น uimanager.dll ตรวจสอบการเรียกใช้งานคำสั่งผ่านrundll32 และบล็อกการเชื่อมต่อ C2 ที่เชื่อมโยงกับเฟรมเวิร์ก Covenant
ศูนย์กระจายสินค้าและคลังสินค้าโลจิสติกส์, โครงสร้างพื้นฐานการขนส่งกำลังบำรุง, ระบบซัพพลายเชนการขนส่งทางบกและทางราง
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
รายงานข่าวกรองภัยคุกคามประจำสัปดาห์ของ CYFIRMA ฉบับวันที่ 16 ตุลาคม 2569 ระบุถึงการขยายตัวของภัยคุกคามมัลแวร์เรียกค่าไถ่สายพันธุ์ใหม่ Majin Ransomware ซึ่งใช้กลยุทธ์กรรโชกทรัพย์สองชั้น (Double-Extortion) โดยการขโมยข้อมูลลับก่อนเข้าทำการเข้ารหัสไฟล์ระบบด้วยนามสกุล .majin และทิ้งข้อความเรียกค่าไถ่ README.txt โดยจากการติดตามของ CYFIRMA พบว่ากลุ่ม Majin รวมถึงกลุ่มแรนซัมแวร์ The Gentlemen ได้จัดให้ประเทศไทย สหรัฐอเมริกา อินเดีย และอิตาลี เป็นกลุ่มประเทศเป้าหมายหลักในการโจมตี โดยมุ่งเน้นไปยังกลุ่มอุตสาหกรรมยานยนต์ การขนส่ง และโลจิสติกส์ (Automotive/Transportation) นอกจากนี้ รายงานยังได้เปิดเผยการแพร่ระบาดของมัลแวร์ควบคุมระยะไกล RuRAT ซึ่งทำหน้าที่เป็นเครื่องมือบุกรุกด่านหน้าผ่านการฟิชชิ่งเพื่อเปิดทางให้กลุ่มแรนซัมแวร์เข้าครอบงำระบบเครือข่ายและตัดการกู้คืนระบบ
ผลกระทบโดยตรงและเชิงยุทธศาสตร์ระดับสูง (Confirmed Country Targeting) รายงานการตรวจจับของ CYFIRMA ยืนยันว่าประเทศไทยถูกระบุเป็นหนึ่งในประเทศเป้าหมายโดยตรงของแรนซัมแวร์กลุ่ม Majin และ The Gentlemen โดยเฉพาะผู้ประกอบการในห่วงโซ่อุปทานชิ้นส่วนยานยนต์ ผู้ให้บริการกองรถบรรทุกและระบบขนส่งสินค้า หากระบบควบคุมการจัดส่งหรือระบบจัดการคลังสินค้าถูกโจมตีและเข้ารหัสไฟล์ อาจส่งผลให้สายพานการผลิตและการกระจายสินค้าแบบ Just-in-Time ทั่วประเทศต้องหยุดชะงักทันที
ยุทธศาสตร์: กลุ่มอาชญากรไซเบอร์มองเห็นช่องโหว่ในห่วงโซ่อุปทานของภาคยานยนต์และการขนส่ง ซึ่งการหยุดชะงักของระบบการขนส่งเพียงไม่กี่ชั่วโมงสร้างมูลค่าความเสียหายมหาศาล จึงใช้เป็นเครื่องมือเร่งรัดการจ่ายค่าไถ่
ยุทธการ: ผู้โจมตีใช้มัลแวร์ RuRAT ในการเจาะเข้าระบบผ่านอีเมลหลอกลวง เพื่อเข้าถึงข้อมูลรับรองและขโมยสิทธิ์ผู้ดูแลระบบ ก่อนส่งต่อการเข้าถึงให้กลุ่มแรนซัมแวร์ติดตั้งสคริปต์ทำลายระบบสำรองข้อมูล
ยุทธวิธี: เจ้าหน้าที่รักษาความปลอดภัยระบบต้องตรวจสอบและบล็อกแฮชของมัลแวร์ RuRAT บนระบบ EDR บังคับใช้นโยบายสำรองข้อมูลแบบออฟไลน์ (Immutable Backup) และจำกัดการเข้าถึงโฟลเดอร์แชร์ในเครือข่าย
อุตสาหกรรมยานยนต์และชิ้นส่วน (Automotive), ผู้ให้บริการคมนาคมและขนส่งสินค้า (Transportation & Freight), บริษัทกระจายสินค้าและโลจิสติกส์ยานยนต์
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง