CGI-CTI-WEEKLY-20261026-ENG  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคสาธารณูปโภคและพลังงาน ประจำสัปดาห์

Utilities & Energy Sector Weekly Report

ห้วงเวลา: 19-25 ตุลาคม 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ประเมินจากหลักฐานภัยคุกคามพบการเจาะจงโจมตีโครงสร้างพื้นฐานพลังงานและระบบควบคุมอุตสาหกรรม (ICS/OT) ทั้งการใช้เทคนิค ClickFix หลอกโหลด DLL อันตรายบนซอฟต์แวร์วิศวกรรม Siemens Software Center, การแจ้งเตือน CISA AA26-293A ต่อแรนซัมแวร์ SafePay ที่พุ่งเป้าสาธารณูปโภคผ่านอุปกรณ์ขอบเขตเครือข่าย, การยกระดับของ MyloBot สู่เวิร์มแพร่ระบาดผ่าน USB ทะลวงเครือข่ายตัดขาด (Air-Gapped OT) และการเจาะช่องโหว่ Authentication Bypass บน PAN-OS GlobalProtect ข้ามเข้าสู่โซนควบคุมความปลอดภัย

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 19-25 ตุลาคม 2569 ภัยคุกคามทางไซเบอร์ต่อภาคสาธารณูปโภคและพลังงาน (Utilities & Energy) มีแนวโน้มการมุ่งเป้าโจมตีที่เชื่อมโยงระหว่างระบบเทคโนโลยีสารสนเทศ (IT) และระบบปฏิบัติการอุตสาหกรรม (OT) อย่างชัดเจนและรุนแรง ประการแรก ศูนย์ตอบสนองความปลอดภัย Siemens ProductCERT ตรวจพบการโจมตีเชิงรุกต่อช่องโหว่ DLL Side-Loading บนซอฟต์แวร์ Siemens Software Center (CVE-2026-110936) ผ่านแคมเปญ Romulus ClickFix เพื่อควบคุมเครื่องวิศวกรผู้ดูแลระบบโรงไฟฟ้า ประการที่สอง หน่วยงาน CISA สหรัฐฯ ประกาศคำเตือนฉุกเฉิน AA26-293A เปิดเผยพฤติกรรมกลุ่มแรนซัมแวร์ SafePay ที่เจาะระบบผ่านอุปกรณ์เชื่อมต่อขอบเขตเครือข่ายเพื่อมุ่งเป้าโครงสร้างพื้นฐานสำคัญด้านน้ำประปาและพลังงาน ประการที่สาม ทีมวิจัย Fortgale ตรวจพบการกลายพันธุ์ของบอตเน็ต MyloBot สู่เวิร์มที่แพร่กระจายผ่านอุปกรณ์จัดเก็บข้อมูล USB เพื่อเจาะทะลุเครือข่ายอุตสาหกรรมแบบปิด (Air-Gapped Networks) ในภาคการผลิตและพลังงาน และประการสุดท้าย บริษัทวิจัย Truesec เผยแพร่รายงานการฉวยโอกาสโจมตีช่องโหว่ Authentication Bypass บนไฟร์วอลล์ PAN-OS GlobalProtect (CVE-2026-0257) โดยกลุ่มแรนซัมแวร์ เพื่อใช้เป็นสะพานเชื่อมข้ามโซนเครือข่ายจากภายนอกเข้าสู่ระบบควบคุมภายใน ส่งผลให้หน่วยงานด้านพลังงานและสาธารณูปโภคจำเป็นต้องยกระดับการเฝ้าระวังทางสถาปัตยกรรมทั้งในระดับเกตเวย์และเครือข่ายเครื่องจักรกลอย่างเร่งด่วน

เหตุการณ์เด่นประจำสัปดาห์

แคมเปญ ClickFix ของกลุ่ม Romulus เจาะช่องโหว่ DLL Side-Loading บนซอฟต์แวร์วิศวกรรมอุตสาหกรรม Siemens Software Center (CVE-2026-110936)

เผยแพร่: 19 ตุลาคม 2569  ·  แหล่งที่มา: Siemens ProductCERT  ·  Admiralty B2

ศูนย์ความปลอดภัยไซเบอร์ Siemens ProductCERT ออกประกาศเตือนการตรวจพบการโจมตีจริงต่อช่องโหว่ DLL Side-Loading รหัส CVE-2026-110936 บนซอฟต์แวร์ Siemens Software Center ซึ่งเป็นเครื่องมือหลักสำหรับวิศวกรโรงไฟฟ้าและระบบอัตโนมัติในการดาวน์โหลดและอัปเดตแพ็กเกจควบคุมอุตสาหกรรม กลุ่มผู้โจมตีในแคมเปญ Romulus ได้ใช้กลอุบาย ClickFix บนเว็บไซต์ล่อลวงเพื่อหลอกให้วิศวกรคัดลอกคำสั่ง PowerShell ที่เป็นอันตรายไปรันในเครื่อง คำสั่งดังกล่าวจะดาวน์โหลดแพ็กเกจติดตั้ง AllMyBasic.msi พร้อมไฟล์ archive.dll อันตราย ซึ่งจะถูกโหลดขึ้นมาทำงานโดยอัตโนมัติผ่านโพรเซสที่เชื่อถือได้ของ Siemens ส่งผลให้ผู้โจมตีเข้าควบคุมเครื่องคอมพิวเตอร์วิศวกรรมอุตสาหกรรม (Engineering Workstations) และฝังตัวควบคุมระยะไกลได้สำเร็จ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - หน่วยงานผลิตไฟฟ้า การประปา และโรงงานอุตสาหกรรมพลังงานในประเทศไทยที่มีการใช้งานระบบควบคุม SCADA และ PLC ของค่าย Siemens มีการใช้งาน Siemens Software Center อย่างแพร่หลาย หากวิศวกรผู้ดูแลระบบหลงกลอุบาย ClickFix เครื่องคอมพิวเตอร์ที่ใช้ปรับแต่งตรรกะควบคุมระบบจ่ายพลังงานอาจถูกผู้โจมตีแทรกซึมและสั่งการแก้ไขพารามิเตอร์ของระบบควบคุมได้

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้โจมตีมุ่งเป้าโจมตีเครื่องมือวิศวกรรมเฉพาะทาง (Engineering Software) เพื่อเข้าถึงโครงสร้างพื้นฐานสำคัญโดยไม่ต้องเจาะอุปกรณ์ฮาร์ดแวร์ควบคุมโดยตรง

ยุทธการ: การผสานเทคนิค ClickFix Social Engineering ร่วมกับ DLL Side-Loading ช่วยให้โค้ดอันตรายรันภายใต้สิทธิ์และโพรเซสที่ได้รับอนุญาตของ Siemens ส่งผลให้ระบบตรวจจับ EDR ตรวจไม่พบความผิดปกติ

ยุทธวิธี: ผู้ดูแลระบบต้องอัปเดต Siemens Software Center ให้เป็นเวอร์ชันแก้ไขล่าสุด จำกัดสิทธิ์การรันสคริปต์ PowerShell บนเครื่องวิศวกรรม และบล็อกการเชื่อมต่อกับโดเมน wizardexpensive[.]com และไอพี C2

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โรงผลิตและจำหน่ายกระแสไฟฟ้า, หน่วยงานบริหารจัดการน้ำประปา, โรงกลั่นน้ำมันและก๊าซธรรมชาติ, และวิศวกรผู้ดูแลระบบควบคุมอัตโนมัติ (Industrial Automation)

MITRE ATT&CK
T1574.001 DLL Side-Loading T1204.004 Malicious Copy and Paste T1059.001 PowerShell T1218.007 Msiexec T1053.005 Scheduled Task T1105 Ingress Tool Transfer
IOC ที่สำคัญ
96.62.218[.]59 wizardexpensive[.]com 2.27.248[.]127 f4d7c5321bb0d1bda439304a753bcf9b467b98ca53c7e9493b9c2c3451092e4a 3fdcc7d7d049a89711fb31fb236940a1c5a09d899143ffd20c3c41fb1f2cf491

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Siemens ProductCERT →

CISA ประกาศคำเตือน AA26-293A: ปฏิบัติการแรนซัมแวร์ SafePay มุ่งโจมตีเจาะระบบโครงสร้างพื้นฐานสำคัญผ่านช่องโหว่อุปกรณ์เครือข่ายขอบเขต

เผยแพร่: 20 ตุลาคม 2569  ·  แหล่งที่มา: Cybersecurity and Infrastructure Security Agency (CISA)  ·  Admiralty A1

หน่วยงาน CISA ร่วมกับพันธมิตรด้านความมั่นคงไซเบอร์ ออกประกาศคำเตือนรหัส AA26-293A รายงานภัยคุกคามจากกลุ่มแรนซัมแวร์ SafePay ที่พุ่งเป้าโจมตีโครงสร้างพื้นฐานสำคัญอย่างต่อเนื่อง โดยเฉพาะภาคส่วนพลังงาน สาธารณูปโภคน้ำ และสิ่งอำนวยความสะดวกสาธารณะ ผู้โจมตีจะเจาะระบบผ่านช่องโหว่บนอุปกรณ์ขอบเขตเครือข่าย (Edge Devices) เช่น ไฟร์วอลล์และเกตเวย์ VPN ก่อนใช้เครื่องมือ NetExec (nxc) และ SharpShares เพื่อสำรวจเครือข่ายภายใน จากนั้นจะติดตั้งมัลแวร์ soc.dll เพื่อควบคุมระบบและทำการขโมยพิมพ์เขียวทางวิศวกรรมและข้อมูลปฏิบัติการออกไปยังไอพีภายนอก ก่อนปล่อยไฟล์มัลแวร์เรียกค่าไถ่ locker.dll เข้าทำการเข้ารหัสข้อมูลเพื่อสร้างผลกระทบต่อระบบบริการสาธารณะ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - หน่วยงานด้านพลังงานและสาธารณูปโภคขั้นพื้นฐานในไทยที่เปิดให้อุปกรณ์ไฟร์วอลล์หรือ VPN เชื่อมต่อกับอินเทอร์เน็ตโดยขาดการติดตั้งแพตช์ความปลอดภัย มีความเสี่ยงที่จะตกเป็นเป้าหมายการเจาะระบบเพื่อเรียกค่าไถ่ ซึ่งอาจนำไปสู่การหยุดชะงักของระบบควบคุมการจ่ายไฟหรือระบบผลิตน้ำประปา

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่ม SafePay พัฒนารูปแบบการโจมตีแบบ Double Extortion โดยเล็งเป้าหมายไปยังโครงสร้างพื้นฐานสำคัญที่มีความอ่อนไหวต่อระยะเวลาหยุดทำงาน เพื่อบีบบังคับให้ยอมจ่ายค่าไถ่ในมูลค่าสูง

ยุทธการ: ผู้โจมตีอาศัยอุปกรณ์เชื่อมต่อเครือข่ายภายนอกเป็นจุดเริ่มต้น ก่อนใช้เครื่องมือบริหารจัดการที่ถูกต้อง (Living-off-the-Land) ในการเคลื่อนตัวข้ามส่วนเครือข่ายเพื่อหลบเลี่ยงการตรวจจับ

ยุทธวิธี: เฝ้าระวังการรันไฟล์ nxc และ soc.dll ตรวจสอบการส่งออกข้อมูลขนาดใหญ่ไปยังไอพี 5.255.11[.]134 และ 37.10.71[.]188 พร้อมทั้งบังคับใช้การแยกส่วนเครือข่าย (Network Segmentation) ระหว่าง IT และ OT

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โครงสร้างพื้นฐานสำคัญด้านพลังงาน, สาธารณูปโภคระบบน้ำประปาและบำบัดน้ำเสีย, สถานีส่งจ่ายกระแสไฟฟ้า, และหน่วยงานบริการสาธารณะ

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1133 External Remote Services T1021.002 SMB/Windows Admin Shares T1562.001 Disable or Modify Tools T1567 Exfiltration Over Web Service T1486 Data Encrypted for Impact
IOC ที่สำคัญ
173.194.194[.]94 167.235.225[.]149 5.255.11[.]134 88.119.167[.]239 921df888aaabcd828a3723f4c9f5fe8b8379c6b7067d16b2ea10152300417eae 327b8b61eb446cc4f710771e44484f62b804ae3d262b57a56575053e2df67917

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Cybersecurity and Infrastructure Security Agency (CISA) →

มัลแวร์บอตเน็ต MyloBot ยกระดับเป็นเวิร์มแพร่ระบาดผ่าน USB เจาะข้ามเครือข่ายตัดขาด (Air-Gapped) ในระบบควบคุมอุตสาหกรรม IT/OT

เผยแพร่: 19 ตุลาคม 2569  ·  แหล่งที่มา: Fortgale Threat Research  ·  Admiralty B2

ทีมนักวิจัยความมั่นคงปลอดภัย Fortgale ตรวจพบการพัฒนาขีดความสามารถใหม่ของมัลแวร์บอตเน็ต MyloBot โดยปรับเปลี่ยนเป็นเวิร์มที่แพร่ระบาดผ่านแฟลชไดรฟ์ USB มุ่งเป้าโครงสร้างเครือข่ายอุตสาหกรรมในยุโรป เพื่อเจาะทะลุระบบที่ตัดขาดจากอินเทอร์เน็ตภายนอก (Air-Gapped Networks) มัลแวร์จะฝังไฟล์ทางลัด LNK และสคริปต์โหลดเดอร์ลงในอุปกรณ์ USB เมื่อวิศวกรนำไปเสียบใช้งานบนเครื่องภายในเขตโรงงาน ตัวมัลแวร์จะทำงานและตั้งค่างานระบบ Scheduled Task เพื่อรอจังหวะเชื่อมต่อออกไปยังเซิร์ฟเวอร์ควบคุม C2 ผ่านพูลโดเมนกลุ่ม .cyou และเซิร์ฟเวอร์ WebNX เพื่อดาวน์โหลดเพย์โหลด p.exe ส่งผลให้ระบบอุตสาหกรรมที่คิดว่าปลอดภัยจากการตัดขาดเครือข่ายต้องเผชิญกับช่องทางควบคุมระยะไกลลับ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - โรงงานผลิตไฟฟ้า โรงกลั่นปิโตรเคมี และสถานีสูบน้ำในประเทศไทย มักใช้มาตรการ Air-Gap และพึ่งพาการใช้อุปกรณ์ USB ในการถ่ายโอนไฟล์อัปเดตซอฟต์แวร์หรือเก็บข้อมูลบันทึกระบบ หากขาดนโยบายควบคุมการใช้งาน USB และไม่มีระบบแอนติไวรัสสแกนอุปกรณ์พกพา อาจทำให้เครือข่าย OT ถูกแทรกซึมโดยไม่รู้ตัว

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้ไม่หวังดีเปลี่ยนกลยุทธ์จากการเจาะเครือข่ายผ่านอินเทอร์เน็ต มาเป็นการใช้พาหะทางกายภาพ (Physical Vector) เพื่อทำลายกำแพงความปลอดภัยของการตัดขาดระบบเครือข่าย (Air-Gap Demarcation)

ยุทธการ: เวิร์มใช้ประโยชน์จากกระบวนการบำรุงรักษาระบบตามปกติของเจ้าหน้าที่วิศวกรรม ที่จำเป็นต้องนำแฟลชไดรฟ์ไปอัปเดตอุปกรณ์ในเขตควบคุม เพื่อเป็นสะพานข้ามเขตความมั่นคงปลอดภัย

ยุทธวิธี: ฝ่ายความปลอดภัยต้องบังคับใช้นโยบายปิดกั้นพอร์ต USB บนคอมพิวเตอร์ควบคุม OT ตั้งจุดคัดกรองสแกนอุปกรณ์พกพา (Kiosk Scanner) และบล็อกการสื่อสารไปยังโดเมนกลุ่ม aivtes[.]net และโดเมน C2 ตระกูล .cyou

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โรงงานอุตสาหกรรมการผลิต, เครือข่ายระบบควบคุมกระบวนการทางเคมีและก๊าซ, เครือข่ายสถานีย่อยไฟฟ้า, และระบบสาธารณูปโภคที่ใช้สถาปัตยกรรม Air-Gap

MITRE ATT&CK
T1091 Replication Through Removable Media T1204.002 Malicious File T1053.005 Scheduled Task T1055.012 Process Hollowing T1140 Deobfuscate/Decode Files or Information T1071.001 Web Protocols
IOC ที่สำคัญ
51528cb1fa4d41c25aab289f58346932305e957c7fc1a370282e71e3abff6fb8 d519e9d59d9929b5b2330239ae1f963879de569c307f4fa73c640ac611c00015 45.59.103[.]111 aivtes[.]net b.aivtes[.]net asigxxg[.]cyou hxxp://45.59.103[.]111/p.exe

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Fortgale Threat Research →

กลุ่มแรนซัมแวร์เร่งโจมตีช่องโหว่ Authentication Bypass บน PAN-OS GlobalProtect (CVE-2026-0257) เพื่อเจาะทะลุเกตเวย์ควบคุมเครือข่ายอุตสาหกรรมและพลังงาน

เผยแพร่: 21 ตุลาคม 2569  ·  แหล่งที่มา: Truesec Threat Intelligence  ·  Admiralty B2

ทีมวิจัย Truesec เผยแพร่รายงานการตรวจพบการโจมตีช่องโหว่รุนแรงระดับวิกฤตบน Palo Alto Networks PAN-OS GlobalProtect รหัส CVE-2026-0257 ซึ่งเปิดโอกาสให้ผู้ไม่หวังดีสามารถข้ามผ่านการตรวจสอบตัวตน (Authentication Bypass) โดยไม่ต้องมีบัญชีผู้ใช้งานมาก่อน การโจมตีนี้ถูกตรวจพบว่าดำเนินการโดยกลุ่มพันธมิตรแรนซัมแวร์ เช่น Qilin และ INC Ransom (Water Galura) โดยผู้โจมตีอาศัยช่องโหว่ดังกล่าวในการสร้างเซสชันการเชื่อมต่อ VPN เสมือนเป็นผู้ใช้งานที่ผ่านการยืนยันตัวตน จากนั้นจึงใช้เป็นช่องทางแทรกซึมเข้าสู่ระบบเครือข่ายส่วนขอบเพื่อสำรวจโครงสร้างและมุ่งหน้าเข้าสู่เซ็กเมนต์ควบคุมระบบอุตสาหกรรมและพลังงาน ก่อนดำเนินการโจรกรรมข้อมูลและปล่อยแรนซัมแวร์

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรในไทย - ไฟร์วอลล์ Palo Alto Networks ได้รับความนิยมสูงมากในหน่วยงานรัฐวิสาหกิจด้านพลังงาน การไฟฟ้า การประปา และบริษัทพลังงานชั้นนำของไทย การเปิดใช้งานฟีเจอร์ GlobalProtect สู่สาธารณะโดยยังไม่ได้อัปเดตแพตช์แก้ไข จะเปิดทางให้แฮกเกอร์ข้ามผ่านระบบล็อกอินเข้าถึงโซนเครือข่ายภายในองค์กรได้ทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: อุปกรณ์ไฟร์วอลล์เกตเวย์ซึ่งทำหน้าที่เป็นประตูด่านแรกในการปกป้องเครือข่าย ได้กลายเป็นเป้าหมายโจมตีอันดับหนึ่งของกลุ่มแรนซัมแวร์ระดับปฏิบัติการขั้นสูง

ยุทธการ: ช่องโหว่ช่วยให้ผู้โจมตีไม่ต้องพึ่งพาข้อมูลประจำตัวที่รั่วไหล (Credential Stamping) แต่สามารถสร้างสิทธิ์ผู้ใช้งานได้โดยตรง ส่งผลให้กลไกการยืนยันตัวตนแบบหลายปัจจัย (MFA) ถูกข้ามผ่านได้อย่างสมบูรณ์

ยุทธวิธี: ผู้ดูแลระบบเครือข่ายต้องติดตั้งอัปเดตความปลอดภัย PAN-OS ตามคำแนะนำของ Palo Alto Networks ทันที ตรวจสอบล็อกการเชื่อมต่อของ GlobalProtect ย้อนหลัง และปิดกั้นไอพีต้นทางของผู้โจมตีตามรายการ IOC

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

หน่วยงานสาธารณูปโภคและพลังงาน, ผู้ให้บริการโครงข่ายไฟฟ้าอัจฉริยะ (Smart Grid), อุตสาหกรรมก๊าซธรรมชาติ, และองค์กรขนาดใหญ่ที่ใช้งานไฟร์วอลล์ PAN-OS

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1133 External Remote Services T1556.006 Multi-Factor Authentication Bypass T1550.004 Web Session Cookie
IOC ที่สำคัญ
23.128.228[.]6 104.207.144[.]154 146.19.216[.]119 146.19.216[.]120 146.19.216[.]125 179.43.172[.]213

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: TrueSec →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามภาคสาธารณูปโภคและพลังงานในรอบสัปดาห์มุ่งเน้นการเจาะผ่านอุปกรณ์ขอบเขตและเครื่องมือวิศวกรรมอุตสาหกรรมเพื่อเข้าควบคุมระบบ OT องค์กรจำเป็นต้องเร่งติดตั้งแพตช์ความปลอดภัย ควบคุมอุปกรณ์พกพาอย่างเข้มงวด และเสริมความแข็งแกร่งในการแบ่งแยกโซนเครือข่าย

TLP:CLEAR

ห้วงเวลาข้อมูล: 19-25 ตุลาคม 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)