CGI-CTI-WEEKLY-20261026-CORP - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์กลุ่มองค์กรธุรกิจ (Corporate) ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากรายงานภัยคุกคามระดับ Tier-1 พบกลุ่มแรนซัมแวร์ The Gentlemen พัฒนาปฏิบัติการ RaaS ใช้ไดรเวอร์มีช่องโหว่ปลดอาวุธ EDR ในระดับเคอร์เนล, แคมเปญฟิชชิ่งปลายปีหลอกลวงกระบวนการทำงาน HR การเงิน และการจัดการสิทธิ์เพื่อขโมยเซสชัน Microsoft 365, การขยายผลการโจมตีห่วงโซ่อุปทาน SaaS บน ConnectWise โดยกลุ่ม Storm-0940 ผสาน Agentic AI แทรกซึมคลาวด์องค์กร และการแพร่กระจายตัวติดตั้ง Microsoft Teams ปลอมแฝง BabaDeda และ CNCMachineRMS RAT เพื่อยึดครองเครื่องพนักงาน

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 19-25 ตุลาคม 2569 ภาพรวมภัยคุกคามทางไซเบอร์ที่มุ่งเป้าภาคองค์กรธุรกิจ (Corporate) มีการยกระดับความรุนแรงและมุ่งโจมตีแกนกลางของระบบปฏิบัติการธุรกิจอย่างมีนัยสำคัญ ประการแรก Acronis TRU ตรวจพบปฏิบัติการแรนซัมแวร์ The Gentlemen (RaaS) ที่พัฒนาด้วยภาษา Go และใช้เทคนิค Bring Your Own Vulnerable Driver (BYOVD) โหลดไดรเวอร์ที่มีช่องโหว่เพื่อปิดการทำงานของโซลูชัน EDR และแอนติไวรัสในระดับเคอร์เนล ก่อนดำเนินการเข้ารหัสข้อมูลและขู่กรรโชกสองชั้น ประการที่สอง Netcraft เปิดโปงแคมเปญฟิชชิ่งสวมรอยกระบวนการทำงานประจำปีขององค์กร ทั้งการแจ้งปรับเงินเดือนของฝ่ายทรัพยากรบุคคล (HR) ใบแจ้งหนี้ไตรมาส 4 ของฝ่ายการเงิน และการทบทวนสิทธิ์ของฝ่ายไอที โดยอาศัยโครงสร้างพื้นฐานคลาวด์สาธารณะและ Open Redirect เพื่อหลบเลี่ยงเกตเวย์ความปลอดภัย ประการที่สาม ศูนย์วิจัยความมั่นคงปลอดภัยไมโครซอฟท์และ Rescana เผยแพร่รายงานแจ้งเตือนกลุ่ม Storm-0940 ที่ขยายผลจากการแทรกซึมแอปพลิเคชัน ConnectWise Cloud Backup นำเฟรมเวิร์ก ARTEX มาช่วยทำ Password Spray ข้าม Tenant เพื่อขโมยข้อมูลลับและข้อมูลสำรองบน Microsoft 365 และประการสุดท้าย Rogue Authority ตรวจพบการแพร่ระบาดของตัวติดตั้ง Microsoft Teams ปลอมรูปแบบไฟล์ MSI ที่มีลายเซ็นดิจิทัล ใช้เทคนิค DLL Side-Loading โหลดมัลแวร์ BabaDeda และ CNCMachineRMS RAT เพื่อควบคุมเครื่องพนักงานและดักจับรหัสผ่านระยะไกล ส่งผลให้องค์กรธุรกิจต้องเร่งปรับปรุงนโยบายความมั่นคงปลอดภัยทั้งในระดับเครื่องลูกข่ายและการเข้าถึงบริการคลาวด์อย่างเคร่งครัด

เหตุการณ์เด่นประจำสัปดาห์

ปฏิบัติการ The Gentlemen RaaS ใช้แรนซัมแวร์ภาษา Go พร้อมไดรเวอร์ปิดการทำงาน EDR โจมตีโครงสร้างพื้นฐานองค์กรธุรกิจ

เผยแพร่: 21 ตุลาคม 2569 · แหล่งที่มา: Acronis Threat Research Unit (TRU) · Admiralty A1

ทีมนักวิจัย Acronis TRU ตรวจพบการขยายตัวของกลุ่มผู้ให้บริการแรนซัมแวร์ (RaaS) นาม The Gentlemen ที่มุ่งเป้าโจมตีเครือข่ายองค์กรธุรกิจขนาดใหญ่ ตัวมัลแวร์ถูกพัฒนาขึ้นด้วยภาษา Go และมีความโดดเด่นด้วยการใช้เทคนิค Bring Your Own Vulnerable Driver (BYOVD) โดยตัวมัลแวร์จะติดตั้งไดรเวอร์ที่มีช่องโหว่แต่มีลายเซ็นดิจิทัลถูกต้องลงในระบบ เพื่อให้ได้สิทธิ์ระดับเคอร์เนล (Ring 0) แล้วเข้าไประงับการทำงานของเซอร์วิสและโพรเซสของโซลูชัน EDR ชั้นนำกว่า 15 ยี่ห้อ จากนั้นจึงดำเนินการขโมยข้อมูลสำคัญก่อนทำการเข้ารหัสไฟล์ และบีบบังคับเหยื่อด้วยการขู่กรรโชกสองชั้นผ่านเว็บไซต์ประจานข้อมูลบนเครือข่าย Tor และช่องทางสื่อสาร SimpleX

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจในไทย - องค์กรธุรกิจและภาคเอกชนในประเทศไทยที่มีการติดตั้งระบบ EDR แต่ไม่ได้เปิดใช้นโยบาย Driver Blocklist หรือไม่ได้เปิดระบบตรวจสอบความถูกต้องของโค้ดหน่วยความจำ (HVCI) มีความเสี่ยงสูงที่จะถูกกลุ่มมัลแวร์ปลดอาวุธระบบป้องกันและเข้ารหัสไฟล์ฐานข้อมูลขององค์กรจนเกิดการหยุดชะงักทางธุรกิจ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มผู้ไม่หวังดีเปลี่ยนกระบวนทัศน์จากการหลบซ่อนการตรวจจับ มาเป็นการเข้าปะทะและทำลายกลไกป้องกัน (Defensive Blinding) โดยตรง เพื่อเพิ่มอัตราความสำเร็จและมูลค่าการขู่กรรโชก

ยุทธการ: ผู้โจมตีใช้เทคนิค BYOVD ในการข้ามระบบป้องกันความปลอดภัยของระบบปฏิบัติการ Windows ทำให้สามารถกำจัดเครื่องมือ EDR และหยุดยั้งบริการสำรองข้อมูลก่อนเริ่มกระบวนการเข้ารหัสไฟล์

ยุทธวิธี: ฝ่ายไอทีต้องเปิดใช้งาน Microsoft Recommended Driver Blocklist บังคับใช้ Hypervisor-Protected Code Integrity (HVCI) ตรวจสอบไฟล์ที่มีสิทธิ์สูง และปิดกั้นตัวบ่งชี้ C2 และแฮชไฟล์ตามรายการ IOC

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจขนาดใหญ่, อุตสาหกรรมการผลิต, ภาคบริการการเงิน, โครงสร้างพื้นฐานไอที, และหน่วยงานสุขภาพ

MITRE ATT&CK

T1486 Data Encrypted for Impact T1068 Exploitation for Privilege Escalation T1562.001 Disable or Modify Tools T1027 Obfuscated Files or Information T1490 Inhibit System Recovery T1567.002 Exfiltration to Cloud Storage

IOC ที่สำคัญ

http://tezwsse5czllksjb7cwp65rvnk4oobmzti2znn42i43bjdfd2prqqkad[.]onion/ tezwsse5czllksjb7cwp65rvnk4oobmzti2znn42i43bjdfd2prqqkad[.]onion 1334f0189a8e6dbc48456fa4b482c5726ab7609f7fa652fcc4c1a96f2334436f 143af42b492b0f36b296b0b593bd630248b5641c20b1ca1e5603e7e01b5b0676 a974a9f097bc2e26f285560f1454c70710c88c30c0ae1edfa2977ad862c56716

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Acronis Threat Research Unit (TRU) →

Netcraft เปิดโปงแคมเปญฟิชชิ่งช่วงสิ้นปี มุ่งเป้ากระบวนการทำงาน HR การเงิน และการทบทวนสิทธิ์ไอทีในองค์กร

เผยแพร่: 22 ตุลาคม 2569 · แหล่งที่มา: Netcraft · Admiralty A1

บริษัทวิจัยความปลอดภัย Netcraft เผยแพร่รายงานเตือนภัยการตรวจพบคลื่นการโจมตีฟิชชิ่งวงกว้างที่พุ่งเป้าองค์กรธุรกิจในช่วงไตรมาสสุดท้ายของปี โดยผู้โจมตีจัดทำเหยื่อล่อ (Lures) สอดคล้องกับวงจรธุรกิจประจำปี ได้แก่ การแจ้งทบทวนการปรับขึ้นเงินเดือนและโบนัสจากฝ่าย HR, การติดตามใบแจ้งหนี้ค้างชำระไตรมาส 4 ของฝ่ายการเงิน และการแจ้งตรวจสอบสิทธิ์การเข้าถึงประจำปีจากฝ่ายไอที อีเมลล่อลวงจะนำเหยื่อผ่านกลไก Open Redirect บนแพลตฟอร์มที่น่าเชื่อถือ เข้าสู่หน้าล็อกอินฟิชชิ่งที่ฝังตัวอยู่บน Cloudflare Workers, Azure Blob Storage และ Google Cloud Storage เพื่อขโมยรหัสผ่านและโทเค็นเซสชันของ Microsoft 365

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจในไทย - องค์กรธุรกิจและบริษัทเอกชนในประเทศไทยกำลังเข้าสู่ช่วงประเมินผลงานสิ้นปีและการปิดงบประมาณไตรมาส 4 พนักงานฝ่ายทรัพยากรบุคคล การเงิน และผู้ใช้งานทั่วไปมีความเสี่ยงสูงที่จะหลงเชื่ออีเมลล่อลวงเหล่านี้ จนนำไปสู่การรั่วไหลของบัญชีคลาวด์องค์กรและข้อมูลบัญชีการเงิน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้โจมตีนำปัจจัยด้านบริบทเวลาและฤดูกาลทางธุรกิจ (Seasonal Psychology) มาเพิ่มน้ำหนักให้กับการทำวิศวกรรมสังคม ส่งผลให้อัตราการคลิกลิงก์ของพนักงานเพิ่มสูงขึ้นอย่างมีนัยสำคัญ

ยุทธการ: แคมเปญนี้ใช้โครงสร้างพื้นฐานคลาวด์ที่ถูกต้อง (Serverless และ Object Storage) ร่วมกับเทคนิค Open Redirect เพื่อหลบเลี่ยงตัวกรองอีเมลและระบบตรวจจับชื่อเสียงโดเมน

ยุทธวิธี: ฝ่ายความปลอดภัยต้องส่งประกาศเตือนภัยพนักงาน บังคับใช้การยืนยันตัวตนแบบไม่ใช้รหัสผ่าน (FIDO2/Passkey) ตรวจสอบบันทึกการส่งต่ออีเมล และบล็อกรายการโดเมนและไอพีฟิชชิ่ง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจทั่วไป, แผนกทรัพยากรบุคคล (HR), ฝ่ายการเงินและบัญชี, และผู้ดูแลระบบไอทีในองค์กร

MITRE ATT&CK

T1566.002 Spearphishing Link T1566.001 Spearphishing Attachment T1204.001 Malicious Link T1078.004 Cloud Accounts T1539 Steal Web Session Cookie T1584.004 Serverless

IOC ที่สำคัญ

edoc-notification@eigapub[.]com eigapub[.]com englaus[.]sbs bvlbetonvloeren[.]be closingrelateddocs.awstrack.workers[.]dev 20.236.76[.]180

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Netcraft →

Storm-0940 อาศัยการเจาะระบบ ConnectWise Cloud Backup และ ARTEX AI แทรกซึมเข้าสู่ Microsoft 365 Tenants ขององค์กรธุรกิจ

เผยแพร่: 21 ตุลาคม 2569 · แหล่งที่มา: Microsoft Threat Intelligence · Admiralty A1

ศูนย์วิจัยความมั่นคงปลอดภัยไมโครซอฟท์ (MSTIC) และ Rescana รายงานการขยายผลการโจมตีห่วงโซ่อุปทานระดับ SaaS ของกลุ่มภัยคุกคาม Storm-0940 ซึ่งใช้ข้อมูลประจำตัวและกุญแจลับ API ที่รั่วไหลของแอปพลิเคชัน ConnectWise Cloud Backup (เดิมคือ SkyKick) ร่วมกับการนำเฟรมเวิร์ก Agentic AI นาม ARTEX มาดำเนินการสแกนและทำ Password Spraying ข้าม Tenant ของลูกค้าองค์กรอย่างอัตโนมัติ ผู้โจมตีสามารถดึงข้อมูลผังองค์กร เอกสารลับ บันทึกอีเมล และข้อมูลสำรองบนคลาวด์ผ่าน Microsoft Graph API โดยไม่ต้องผ่านการล็อกอินหน้าเว็บทั่วไป

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - องค์กรธุรกิจและผู้ให้บริการ Managed Service Provider (MSP) ในประเทศไทยที่มีการใช้งานหรืออนุญาตให้แอปพลิเคชัน ConnectWise เข้าถึงระบบคลาวด์ Microsoft 365 ของตน มีความเสี่ยงที่ข้อมูลความลับและอีเมลภายในองค์กรจะถูกเข้าถึงและส่งออกไปยังโครงสร้างพื้นฐานของผู้ไม่หวังดี

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การโจมตีห่วงโซ่อุปทานแอปพลิเคชัน SaaS ช่วยให้ผู้โจมตีสามารถข้ามกำแพงความมั่นคงปลอดภัยขององค์กรเดี่ยว เข้าถึงข้อมูลลับของลูกค้าองค์กรนับพันแห่งพร้อมกันผ่านสิทธิ์ของบุคคลที่สาม

ยุทธการ: ผู้โจมตีผสมผสานสิทธิ์ของ Entra ID App Registration ร่วมกับ Agentic AI ในการวิเคราะห์โครงสร้างสิทธิ์และกวาดดึงโทเค็นของ Microsoft Graph API อย่างรวดเร็วและลดโอกาสการตรวจพบ

ยุทธวิธี: ผู้ดูแลระบบ Entra ID ต้องเพิกถอนสิทธิ์ (Revoke Consent) ของแอปพลิเคชัน ConnectWise Cloud Backup ที่ไม่ได้ใช้งาน หมุนเวียนคีย์ลับ ตรวจสอบ Service Principal Sign-in Logs และบล็อกไอพีของผู้โจมตี

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจผู้ใช้งาน Microsoft 365, ผู้ให้บริการจัดการระบบไอที (MSPs), สถาบันการเงิน, และหน่วยงานภาครัฐ

MITRE ATT&CK

T1195.002 Compromise Software Supply Chain T1078.004 Cloud Accounts T1110.003 Password Spraying T1538 Cloud Service Dashboard T1530 Data from Cloud Storage T1059.009 Cloud API

IOC ที่สำคัญ

144.172.64[.]128 144.172.64[.]99 144.172.64[.]60 172.86.125[.]73 187.15.88[.]186

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Microsoft Threat Intelligence →

ตัวติดตั้ง Microsoft Teams ปลอมแฝง BabaDeda Loader และ CNCMachineRMS RAT เจาะคอมพิวเตอร์พนักงานองค์กรผ่านเทคนิค DLL Side-Loading

เผยแพร่: 21 ตุลาคม 2569 · แหล่งที่มา: Rogue Authority · Admiralty B2

ทีมนักวิจัย Rogue Authority ตรวจพบแคมเปญโจมตีองค์กรธุรกิจด้วยตัวติดตั้งปลอมของซอฟต์แวร์ประชุมยอดนิยม Microsoft Teams ในรูปแบบไฟล์ MSI ที่มีลายเซ็นดิจิทัล เมื่อเหยื่อรันไฟล์เพื่อติดตั้งหรืออัปเดต โปรแกรมจะทำการแตกไฟล์ของซอฟต์แวร์ Calibre ที่ถูกต้องพร้อมไฟล์ DLL ที่ถูกดัดแปลง (calibre-launcher.dll, j2Json.dll) เพื่อทำ DLL Side-Loading โหลดโหลดเดอร์ BabaDeda และโทรจันควบคุมระยะไกล CNCMachineRMS RAT เข้าสู่หน่วยความจำ มัลแวร์ตัวนี้มีขีดความสามารถในการควบคุมเครื่องพนักงานระยะไกล ดักจับการกดแป้นพิมพ์ ขโมยรหัสผ่าน และเชื่อมต่อกับเซิร์ฟเวอร์ควบคุม C2 ผ่านช่องทาง HTTPS เพื่อขยายผลการโจมตีภายในเครือข่าย

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - โปรแกรม Microsoft Teams มีการใช้งานอย่างแพร่หลายในองค์กรธุรกิจและบริษัทเอกชนในประเทศไทย หากพนักงานดาวน์โหลดตัวติดตั้งหรืออัปเดตจากเว็บไซต์เลียนแบบหรือผลการค้นหาที่มีการยิงโฆษณาปลอม เครื่องคอมพิวเตอร์ของพนักงานจะตกเป็นช่องทางให้ผู้ไม่หวังดีแฝงตัวและขโมยข้อมูลความลับขององค์กร

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้โจมตีมุ่งเน้นการแอบอ้างเครื่องมือสื่อสารและการทำงานร่วมกันหลักขององค์กร (Enterprise Collaboration Tools) เพื่อสร้างความน่าเชื่อถือและลดความระมัดระวังของพนักงาน

ยุทธการ: การนำเทคนิค DLL Side-Loading มาใช้กับไบนารีที่มีลายเซ็นดิจิทัล ช่วยให้โค้ดอันตรายสามารถหลบหลีกการสแกนตรวจจับของแอนติไวรัสและกลไก Windows Defender ได้อย่างมีประสิทธิภาพ

ยุทธวิธี: ฝ่ายไอทีต้องจำกัดสิทธิ์ผู้ใช้ทั่วไปไม่ให้ติดตั้งโปรแกรมด้วยตนเอง บังคับใช้ Application Control (AppLocker/WDAC) และปิดกั้นการสื่อสารไปยังโดเมนและไอพีเซิร์ฟเวอร์ C2 ของ CNCMachineRMS

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

พนักงานในองค์กรธุรกิจ, ผู้ใช้งานโปรแกรม Microsoft Teams, ภาคบริการการเงิน, และองค์กรธุรกิจทั่วไป

MITRE ATT&CK

T1566.002 Spearphishing Link T1574.002 DLL Side-Loading T1036.005 Match Legitimate Name or Location T1059.001 PowerShell T1056.001 Keylogging T1071.001 Web Protocols

IOC ที่สำคัญ

b74b2bfc895f1205dfb389772b201a8e31b7bc4464ff3c4463b417626ecedb1c 0efb9058385e057821ee5b6a7282bc6c06b16f4c9ad1d51572325181f8e31a29 a270ce8c4ab1a4edcc474a24c5fb5fac239c48ec961a63df972ec40f0d6fff77 wizardexpensive[.]com 96.62.218[.]59

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Rogue Authority →

ข้อสังเกตประจำสัปดาห์

การมุ่งทำลายเครื่องมือป้องกันความปลอดภัยโดยตรง (Defensive Blinding via BYOVD): กลุ่มแรนซัมแวร์องค์กรยุคใหม่อย่าง The Gentlemen ไม่เพียงแต่พัฒนาตัวมัลแวร์ด้วยภาษาที่วิเคราะห์ยากอย่าง Go แต่ยังนำเทคนิค BYOVD มาใช้เพื่อปิดการทำงานของระบบ EDR ในระดับเคอร์เนล สะท้อนว่าการพึ่งพาเพียงการตรวจจับแบบเดิมไม่เพียงพออีกต่อไป
การใช้จิตวิทยาและวงจรธุรกิจปลายปีเป็นเครื่องมือทางวิศวกรรมสังคม: แคมเปญฟิชชิ่งปลายปีปรับแต่งเนื้อหาให้เข้ากับกระบวนการทำงานจริง เช่น การปรับเงินเดือนของ HR และการเคลียร์ใบแจ้งหนี้ของแผนกบัญชี พร้อมใช้บริการคลาวด์และ Open Redirect เพื่อทะลวงผ่านระบบป้องกันอีเมลองค์กร
ความเสี่ยงระดับระบบนิเวศจากห่วงโซ่อุปทาน SaaS และแอปพลิเคชันคลาวด์บุคคลที่สาม: เหตุการณ์ของ ConnectWise Cloud Backup ตอกย้ำว่า แม้ระบบคลาวด์ขององค์กรจะมีการตั้งค่าความปลอดภัยที่เข้มงวด แต่การเชื่อมโยงกับแอปพลิเคชันบุคคลที่สามที่ถูกขโมยข้อมูลประจำตัว อาจกลายเป็นประตูหลังให้ผู้ไม่หวังดีและระบบ AI อัตโนมัติเข้าถึงข้อมูลทั้งระบบได้

ข้อเสนอแนะ

บังคับใช้นโยบาย Driver Blocklist และเปิดใช้ HVCI: ผู้ดูแลระบบไอทีต้องเปิดใช้งาน Microsoft Recommended Driver Blocklist และเปิดใช้ฟีเจอร์ Hypervisor-Protected Code Integrity (HVCI) บนระบบปฏิบัติการ Windows เพื่อสกัดกั้นการโหลดไดรเวอร์ที่มีช่องโหว่ (BYOVD) ที่แรนซัมแวร์ใช้ในการปลดอาวุธ EDR
ทบทวนและเพิกถอนสิทธิ์แอปพลิเคชันบุคคลที่สามบน Microsoft 365: ตรวจสอบรายการ Enterprise Applications และ App Registrations ใน Entra ID อย่างเร่งด่วน โดยเฉพาะแอปพลิเคชันสำรองข้อมูลและเครื่องมือจัดการระยะไกล เพิกถอนสิทธิ์ที่ไม่จำเป็น และหมุนเวียนคีย์ลับของ Service Principal
ยกระดับการยืนยันตัวตนสู่ Phishing-Resistant MFA: ผลักดันการใช้งานการยืนยันตัวตนแบบ FIDO2/Passkey หรือการจับคู่ตัวเลข (Number Matching) สำหรับผู้ใช้งานระดับผู้บริหาร ฝ่ายการเงิน และฝ่ายทรัพยากรบุคคล เพื่อป้องกันการถูกขโมยเซสชันโทเค็นจากแคมเปญฟิชชิ่ง
จำกัดสิทธิ์การติดตั้งซอฟต์แวร์บนเครื่องลูกข่าย (Application Control): กำหนดนโยบายให้พนักงานดาวน์โหลดซอฟต์แวร์สื่อสารและโปรแกรมทำงานผ่าน Company Portal ภายในองค์กรเท่านั้น พร้อมเปิดใช้งาน Windows Defender Application Control (WDAC) หรือ AppLocker ป้องกันการรันตัวติดตั้งปลอม
สกัดกั้นตัวบ่งชี้ภัยคุกคาม (IOCs) บนระบบความปลอดภัยเครือข่าย: นำรายชื่อโดเมนฟิชชิ่ง ไอพีเซิร์ฟเวอร์ควบคุม C2 และแฮชไฟล์ของ BabaDeda และ The Gentlemen ไปกำหนดค่าบล็อกบนไฟร์วอลล์, เว็บเกตเวย์ และระบบตรวจจับภัยคุกคามขององค์กรทันที

สรุป: ภัยคุกคามต่อภาคองค์กรธุรกิจในรอบสัปดาห์นี้มีทั้งการใช้เทคนิค BYOVD ปิดระบบ EDR ของแรนซัมแวร์ The Gentlemen การล่อลวงฟิชชิ่งช่วงสิ้นปีที่มุ่งเป้าฝ่ายบุคคลและการเงิน การแทรกซึมคลาวด์ผ่านห่วงโซ่อุปทาน SaaS ของ ConnectWise และตัวติดตั้ง Teams ปลอมแฝง RAT ฝ่ายความมั่นคงปลอดภัยต้องเร่งบังคับใช้นโยบาย Driver Blocklist ตรวจสอบสิทธิ์แอปพลิเคชันคลาวด์ และจำกัดสิทธิ์การติดตั้งโปรแกรมบนเครื่องพนักงาน

TLP:CLEAR

ห้วงเวลาข้อมูล: 19-25 ตุลาคม 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)