CGI-CTI-WEEKLY-20261026-FIN - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการเงินและการธนาคาร ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากรายงานภัยคุกคามระดับ Tier-1 พบการแพร่ระบาดของชุดเจาะระบบ iOS DarkSword มุ่งดูดกุญแจกระเป๋าเงินคริปโทเคอร์เรนซีและสินทรัพย์ดิจิทัล, มัลแวร์ขโมยข้อมูลการเงิน Eternidade Stealer แพร่ระบาดผ่าน WhatsApp สวมรอยหน้าต่างธนาคาร, แคมเปญฟิชชิ่งสถาบันการเงินบนแพลตฟอร์ม AI Site Builder ที่สร้างความแปรผันของ DOM Hash หลบเลี่ยงระบบตรวจจับ, และการใช้สคริปต์ VBScript ร่วมกับคลาวด์สาธารณะส่งโทรจันการเงิน Lampion และ Overlord RAT ขโมยข้อมูลธุรกรรม

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 19-25 ตุลาคม 2569 สถานการณ์ภัยคุกคามทางไซเบอร์ในภาคการเงินและการธนาคาร (Financial Sector) เผชิญกับการยกระดับการโจมตีที่มุ่งเน้นทั้งระบบธนาคารดั้งเดิมและสถาบันการเงินดิจิทัล (Fintech/Web3) อย่างเด่นชัด ประการแรก SlowMist ตรวจพบการใช้อาวุธไซเบอร์ระดับสูง DarkSword (ตระกูลมัลแวร์ Coruna) เจาะช่องโหว่ Safari บนระบบปฏิบัติการ iOS เพื่อข้ามผ่าน Sandbox เข้าสู่ระดับเคอร์เนล โดยพุ่งเป้าโจรกรรมกุญแจส่วนตัวและโทเคนจากกระเป๋าเงินคริปโทเคอร์เรนซี พร้อมส่งข้อมูลสู่ระบบควบคุม DK Admin ที่มีระบบโอนถ่ายสินทรัพย์อัตโนมัติ ประการที่สอง 0x0d4y เปิดโปงมัลแวร์ธนาคาร Eternidade Stealer ที่แพร่ระบาดผ่านวิศวกรรมสังคมบน WhatsApp ล่อลวงติดตั้งไฟล์ MSI ก่อนแตกตัวโหลดเดอร์ Delphi ในหน่วยความจำเพื่อสวมรอยหน้าต่างแอปธนาคาร (Overlay Injection) และสกัดกั้นเซสชันธุรกรรม ประการที่สาม Palo Alto Networks Unit 42 ตรวจพบเครือข่ายฟิชชิ่งสถาบันการเงินและกระดานเทรดคริปโทชั้นนำบนแพลตฟอร์มสร้างเว็บด้วย AI ซึ่งใช้โค้ด JavaScript ยุคใหม่สร้างความแปรผันของ DOM Hash แบบ 100% เพื่อทำลายประสิทธิภาพของระบบตรวจจับแบบดั้งเดิม พร้อมส่งข้อมูลที่เหยื่อกรอกตรงไปยัง Telegram Bot และประการสุดท้าย WatchGuard Threat Lab เผยแพร่การสืบสวนแคมเปญ VBScript ที่ใช้เอกสารการเงินปลอมร่วมกับพื้นที่จัดเก็บ Google Cloud Storage ปล่อยโทรจันการเงิน Lampion และ Overlord RAT ผ่านเทคนิค DLL Side-Loading เข้าควบคุมและดักจับข้อมูลบัญชีธนาคาร สะท้อนให้เห็นว่าสถาบันการเงินจำเป็นต้องเฝ้าระวังเวกเตอร์การบุกรุกทั้งในระดับอุปกรณ์พกพา แอปพลิเคชันบนเว็บ และเครื่องลูกข่ายอย่างครอบคลุม

เหตุการณ์เด่นประจำสัปดาห์

ห่วงโซ่การโจมตี DarkSword เจาะระบบ iOS 18 และโครงสร้างพื้นฐาน DK Admin พุ่งเป้ากระเป๋าเงินคริปโทเคอร์เรนซี

เผยแพร่: 19 ตุลาคม 2569 · แหล่งที่มา: SlowMist Research · Admiralty B2

ทีมนักวิจัยความปลอดภัยบล็อกเชน SlowMist เผยแพร่การวิเคราะห์เชิงลึกของชุดเจาะระบบ DarkSword (มีความเชื่อมโยงกับมัลแวร์ตระกูล Coruna) ซึ่งพัฒนาต่อยอดจากเครื่องมือสอดแนมระดับพาณิชย์สู่การเป็นอาวุธไซเบอร์สำหรับโจรกรรมสินทรัพย์ดิจิทัล โดยผู้โจมตีใช้เว็บไซต์ลวงด้านการเงินและการลงทุนเป็นจุดดักรอ (Watering Hole) ส่งสคริปต์เจาะช่องโหว่ Safari บนอุปกรณ์ iOS 18.6 ถึง 18.7.2 เพื่อทำ Remote Code Execution และยกระดับสิทธิ์ข้ามผ่าน Sandbox เข้าควบคุมระดับเคอร์เนล เพย์โหลดจะค้นหาและถอดรหัสกุญแจส่วนตัว (Private Keys) จากแอปพลิเคชันกระเป๋าเงินดิจิทัล ดักจับข้อมูลใน Keychain ข้อมูลคลิปบอร์ด ประวัติการโทร และ SMS เพื่อตัดการยืนยันตัวตนสองขั้นตอน (2FA) แล้วส่งข้อมูลผ่านช่องทาง C2 สู่ระบบจัดการ DK Admin ที่มีคำสั่งกวาดโอนสินทรัพย์ (Asset Consolidation) ของเหยื่อโดยอัตโนมัติ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ใช้งานและสถาบันการเงินดิจิทัลในไทย - แม้การโจมตีหลักจะตรวจพบในกลุ่มประเทศเอเชียแปซิฟิก (มาเลเซีย เกาหลีใต้ ฮ่องกง ออสเตรเลีย) แต่เนื่องจากประเทศไทยมีอัตราการทำธุรกรรมคริปโทเคอร์เรนซีและการใช้งานแอปกระเป๋าเงินดิจิทัลบนอุปกรณ์ iOS สูงเป็นอันดับต้นๆ ของภูมิภาค หากผู้ใช้งานหรือบุคลากรในสถาบันการเงินเข้าชมเว็บไซต์ที่ถูกฝังโค้ดอันตราย อาจนำไปสู่การสูญเสียสินทรัพย์ดิจิทัลและข้อมูลความลับทางการเงินอย่างไม่อาจกู้คืนได้

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การที่ชุดโจมตีระดับเคอร์เนลของสมาร์ตโฟนถูกนำมาปรับใช้เพื่อขโมยสินทรัพย์ดิจิทัลโดยเฉพาะ สะท้อนว่าความมั่นคงปลอดภัยของอุปกรณ์พกพากลายเป็นจุดเสี่ยงวิกฤตของระบบการเงินยุคใหม่

ยุทธการ: ผู้โจมตีประสานการทำงานระหว่างหน้าเว็บหลอกลวง การเจาะระบบหน่วยความจำเบราว์เซอร์อัตโนมัติ และสถาปัตยกรรมหลังบ้าน DK Admin เพื่อจัดการและถ่ายโอนสินทรัพย์คริปโทได้อย่างรวดเร็ว

ยุทธวิธี: ผู้ใช้งานและบุคลากรด้านการเงินต้องอัปเดต iOS เป็นเวอร์ชันล่าสุดโดยทันที พิจารณาเปิดใช้งาน Apple Lockdown Mode บนอุปกรณ์ของผู้ดูแลกระเป๋าเงินดิจิทัล และปิดกั้นโดเมนรวมถึงไอพี C2 ตามรายการตัวบ่งชี้

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ศูนย์ซื้อขายสินทรัพย์ดิจิทัล (Crypto Exchanges), สถาบันการเงินที่ให้บริการ Web3, ผู้จัดการกองทุนสินทรัพย์ดิจิทัล, และผู้ใช้งานกระเป๋าเงินคริปโทบนสมาร์ตโฟน

MITRE ATT&CK

T1456 Drive-by Compromise T1658 Exploitation for Client Execution T1404 Exploitation for Privilege Escalation T1634.001 Keychain T1414 Clipboard Data T1636.004 SMS Messages T1646 Exfiltration Over C2 Channel

IOC ที่สำคัญ

192.252.179[.]227 103.230.240[.]71 160.20.58[.]27 3kxw2pjsb5hgq24t5qb[.]cc 310ijpo06dd-ijsxcfu[.]org ad.playios[.]net

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: SlowMist Research →

มัลแวร์ขโมยข้อมูลการเงิน Eternidade Stealer แพร่ระบาดผ่านฟิชชิ่ง WhatsApp เจาะระบบธุรกรรมธนาคาร

เผยแพร่: 21 ตุลาคม 2569 · แหล่งที่มา: 0x0d4y Malware Research · Admiralty C2

0x0d4y Malware Research เปิดเผยผลการวิเคราะห์มัลแวร์โทรจันการเงินสายพันธุ์ใหม่ Eternidade Stealer ซึ่งพัฒนาด้วยภาษา Delphi และแพร่กระจายผ่านข้อความวิศวกรรมสังคมบน WhatsApp ล่อลวงให้เหยื่อดาวน์โหลดไฟล์ตัวติดตั้ง MSI ปลอมแปลง เมื่อเปิดไฟล์ ห่วงโซ่การติดเชื้อจะเรียกใช้สคริปต์ AutoIt และโหลดเดอร์ ACRU.exe เพื่อรันเพย์โหลดหลักในหน่วยความจำโดยไม่ทิ้งไฟล์อันตรายลงดิสก์ มัลแวร์มีความสามารถในการตรวจจับการเปิดโปรแกรมธนาคารออนไลน์ จากนั้นจะสร้างหน้าต่างสวมรอย (Overlay Injection) ครอบทับหน้าต่างจริงเพื่อดักรับชื่อผู้ใช้ รหัสผ่าน และรหัส OTP พร้อมทั้งเปิดการควบคุมหน้าจอระยะไกลและล็อกหน้าจอของเหยื่อไว้ชั่วคราวเพื่อดำเนินการทำธุรกรรมโอนเงินทุจริต

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรและสถาบันการเงินในไทย - แม้การรณรงค์หลักในปัจจุบันจะมุ่งเน้นกลุ่มเป้าหมายในลาตินอเมริกา แต่กลวิธีการแพร่กระจายผ่านแอปพลิเคชันแชตยอดนิยม (WhatsApp) ร่วมกับการใช้หน้าต่างโอเวอร์เลย์ปลอมแปลง ถือเป็นแม่แบบภัยคุกคามที่มิจฉาชีพในภูมิภาคเอเชียตะวันออกเฉียงใต้และไทยนำมาปรับใช้อย่างต่อเนื่องในการหลอกลวงลูกค้าธนาคารพาณิชย์

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มอาชญากรรมทางการเงินเปลี่ยนจากการขโมยข้อมูลระบายทิ้ง มาเป็นการสร้างโทรจันแบบสวมรอยที่สามารถเข้าแทรกแซงและบังคับโอนเงินแบบเรียลไทม์

ยุทธการ: การแบ่งห่วงโซ่การทำงานออกเป็นหลายขั้นตอน (MSI -> AutoIt -> In-Memory Delphi) ช่วยให้สามารถหลบเลี่ยงการตรวจจับแบบ Static Signature บนเครื่องปลายทางได้อย่างมีประสิทธิภาพ

ยุทธวิธี: ฝ่ายไอทีต้องกำหนดนโยบายปิดกั้นการสั่งรันไฟล์ MSI และสคริปต์แปลกปลอมจากไดเรกทอรีชั่วคราว (AppData/Temp), บล็อกการสื่อสารไปยังโดเมน C2 และติดตั้งระบบ EDR ที่ตรวจจับพฤติกรรม Overlay

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ธนาคารพาณิชย์, ผู้ให้บริการระบบการชำระเงินดิจิทัล, แพลตฟอร์มฟินเทค, และผู้ใช้งานธุรกรรมออนไลน์แบงก์กิ้ง

MITRE ATT&CK

T1566.003 Spearphishing via Service T1059.010 AutoHotKey & AutoIT T1055.012 Process Hollowing T1056.002 GUI Input Capture T1115 Clipboard Data T1041 Exfiltration Over C2 Channel

IOC ที่สำคัญ

b78ebc306f33c9eec1270310a834b4076f4c77c2683c7f4a9fd63d330f70e224 1b2c3e80347b35fb5811619f3aeae75f05dd4e635ffef7620141be7ed3041eb3 caee37ada944021465739c1ac2f932c76e202769070e2f92a7da452106a313a0 secretonow[.]site secretopanel2[.]site

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: 0x0d4y Malware Research →

Unit 42 ตรวจพบหน้าฟิชชิ่งบนแพลตฟอร์ม AI Site Builder สวมรอยสถาบันการเงินและกระเป๋าคริปโท

เผยแพร่: 21 ตุลาคม 2569 · แหล่งที่มา: Palo Alto Networks Unit 42 · Admiralty B2

ศูนย์ข่าวกรองภัยคุกคาม Unit 42 จาก Palo Alto Networks ตรวจพบแคมเปญฟิชชิ่งรูปแบบใหม่ที่กลุ่มผู้ไม่ประสงค์ดีหันมาสร้างและโฮสต์หน้าเว็บหลอกลวงบนแพลตฟอร์มสร้างเว็บไซต์ด้วย AI (AI-based Site Builders) เช่น Lovable, Framer, Created.app, Netlify และ Replit โดยพบหน้าฟิชชิ่งสวมรอยสถาบันการเงินระดับโลกและบริการกระเป๋าเงินดิจิทัลชั้นนำ เช่น Binance, Bitkey, Attijariwafa Bank และ Fidelity หน้าเว็บที่สร้างด้วย AI เหล่านี้มีโครงสร้าง Document Object Model (DOM) ที่มีแฮชแตกต่างกันโดยสิ้นเชิงในทุกโฮสต์ (อัตราความแตกต่าง 1.00 Distinct Hashes) ทำให้กฎตรวจจับแบบ DOM-hash Signature เดิมไม่สามารถจับได้ นอกจากนี้ยังใช้เฟรมเวิร์ก Next.js หรือ React Shell ที่เรนเดอร์เนื้อหาฝั่งไคลเอนต์ ทำให้ตัวสแกน HTML ดิบมองไม่เห็นเนื้อหา และมีกลไกส่งข้อมูลที่เหยื่อกรอกตรงไปยัง Chat-app Sinks (Telegram API และ Discord Webhook) ทันที

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันการเงินและผู้ใช้งานในไทย - ธนาคารพาณิชย์และผู้ให้บริการสินทรัพย์ดิจิทัลในประเทศไทยกำลังเผชิญกับคลื่นฟิชชิ่งยุคใหม่ที่ผู้โจมตีสามารถสังเคราะห์หน้าล็อกอินเลียนแบบแบรนด์ได้อย่างสมจริงในเวลาไม่กี่นาทีด้วยเครื่องมือ AI ทำให้ระบบกรอง URL แบบเดิมขององค์กรและเบราว์เซอร์ไม่สามารถแจ้งเตือนผู้ใช้งานได้อย่างทันท่วงที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ฝ่ายโจมตีนำเครื่องมือ Generative AI มาใช้สร้างโครงสร้างพื้นฐานหลอกลวงที่ปรับเปลี่ยนตนเองตลอดเวลา (Polymorphic Web Infrastructure) ทำลายประสิทธิภาพของซิกเนเจอร์แบบคงที่

ยุทธการ: การผสาน AI Site Builder เข้ากับระบบ Chat-app Sinks ช่วยขจัดความจำเป็นในการเช่าเซิร์ฟเวอร์ C2 หลังบ้าน ทำให้แคมเปญมีความคล่องตัวและตรวจจับเส้นทางเงินทุนของผู้โจมตีได้ยากขึ้น

ยุทธวิธี: หน่วยงานด้านการเงินต้องยกระดับการตรวจจับฟิชชิ่งด้วยการเปรียบเทียบความคล้ายคลึงของรูปภาพหน้าจอ (Screenshot Similarity), ตรวจจับมาร์กเกอร์เฉพาะของ Site Builder และบล็อกการเรียกใช้ Telegram Bot API จากเว็บเบราว์เซอร์

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ธนาคารพาณิชย์, สถาบันการเงิน, ผู้ให้บริการกระเป๋าเงินดิจิทัล, กระดานซื้อขายสินทรัพย์ดิจิทัล, และผู้ใช้งานธุรกรรมออนไลน์

MITRE ATT&CK

T1566.002 Spearphishing Link T1059.007 JavaScript T1555 Credentials from Web Browsers T1071.001 Web Protocols T1041 Exfiltration Over C2 Channel

IOC ที่สำคัญ

hxxps[://]alltijjarieywaffabnnk[.]lovable[.]app hxxps[://]binance-support-pro[.]lovable[.]app hxxps[://]bitkey-cloud-wallet[.]created[.]app hxxps[://]kucoin-home[.]created[.]app hxxps[://]square-coin-cloud[.]created[.]app hxxps[://]shy84cy2cpklpedzwvshy84cy2cpklpedzwv-fidelty-com[.]replit[.]app

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Palo Alto Networks Unit 42 →

แคมเปญ VBScript แฝงตัวหลังเครื่องมือระบบ แพร่กระจายโทรจันการเงิน Lampion และ Overlord RAT

เผยแพร่: 22 ตุลาคม 2569 · แหล่งที่มา: WatchGuard Threat Lab · Admiralty B2

ศูนย์วิจัยความมั่นคงปลอดภัย WatchGuard Threat Lab เผยแพร่งานวิจัยกรณีศึกษาการโจมตีด้วย VBScript ที่แฝงตัวอยู่เบื้องหลังกระบวนการระบบของ Windows เพื่อแพร่กระจายโทรจันการเงิน Lampion และโทรจันควบคุมระยะไกล Overlord RAT ผู้โจมตีส่งอีเมลฟิชชิ่งแนบไฟล์เอกสารแจ้งเตือนทางกฎหมายหรือเอกสารการเงินปลอมแปลง เพื่อล่อให้เหยื่อรันสคริปต์ VBScript ที่ผ่านการเข้ารหัสซับซ้อน ตัวสคริปต์จะดาวน์โหลดเพย์โหลดจากพื้นที่คลาวด์ที่น่าเชื่อถือ (Google Cloud Storage) และใช้เทคนิค DLL Side-Loading โหลดมัลแวร์เข้าสู่หน่วยความจำผ่านโปรแกรมระบบที่ถูกต้อง โดยมัลแวร์ Lampion ถูกออกแบบมาเพื่อตรวจจับชื่อหน้าต่างของโปรแกรมเบราว์เซอร์เมื่อเหยื่อเข้าใช้งานบริการธนาคารออนไลน์ เพื่อดักจับข้อมูลยืนยันตัวตน สวมรอยเซสชัน และเปิดทางให้กลุ่มผู้โจมตีทำการโอนเงินทุจริต

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันการเงินและองค์กรในไทย - แม้การแพร่ระบาดระลอกนี้จะพุ่งเป้าเหยื่อในประเทศโปรตุเกสและบราซิล แต่กลวิธีผสมผสานการใช้ VBScript, คลาวด์สตอเรจสาธารณะ และ DLL Side-Loading ถือเป็นเทคนิคสากลที่กลุ่มอาชญากรไซเบอร์ทั่วโลกนำมาใช้เจาะทะลุระบบป้องกันของแผนกการเงินในองค์กรธุรกิจและสถาบันการเงินไทยอย่างแพร่หลาย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้ไม่ประสงค์ดียังคงใช้เทคโนโลยีสคริปต์ดั้งเดิมที่มีอยู่ในระบบปฏิบัติการร่วมกับบริการคลาวด์ชั้นนำ เพื่อลดต้นทุนและทำให้ทราฟฟิกดูคล้ายการทำงานปกติของระบบ

ยุทธการ: การใช้ DLL Side-Loading ร่วมกับโปรแกรมระบบที่มีลายเซ็นดิจิทัล ช่วยให้เพย์โหลดมัลแวร์สามารถหลบเลี่ยงการตรวจจับของโซลูชัน Endpoint Protection (EDR) ได้อย่างแนบเนียน

ยุทธวิธี: ฝ่ายไอทีต้องปิดการเรียกใช้งาน Windows Script Host (wscript.exe / cscript.exe) บนเครื่องลูกข่ายที่ไม่มีความจำเป็น และตรวจสอบพฤติกรรมการโหลดไฟล์ DLL จากโฟลเดอร์ที่ไม่ใช่ System32

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

สถาบันการเงิน, ธนาคารพาณิชย์, ฝ่ายบัญชีและการเงินขององค์กรธุรกิจ, และผู้ใช้งานบริการธนาคารออนไลน์

MITRE ATT&CK

T1566.001 Spearphishing Attachment T1059.005 Visual Basic T1574.001 DLL Side-Loading T1053.005 Scheduled Task T1027 Obfuscated Files or Information T1105 Ingress Tool Transfer

IOC ที่สำคัญ

1protestorecife[.]com resolvecenprot[.]com hxxps[://]storage[.]googleapis[.]com/win777win/777[.]sgn hxxps[://]storage[.]googleapis[.]com/protesto-att/7seven7[.]bat 191.96.225[.]125 45.158.8[.]213

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: WatchGuard Threat Lab →

ข้อสังเกตประจำสัปดาห์

การหลอมรวมอาวุธไซเบอร์ระดับสูงเพื่อเจาะระบบสินทรัพย์ดิจิทัล (Targeting Web3/Crypto): ห่วงโซ่การโจมตีอย่าง DarkSword สะท้อนแนวโน้มว่าผู้โจมตีที่มุ่งเป้าทางการเงินเริ่มนำชุดเจาะระบบ Zero-Day/One-Day ระดับเคอร์เนลของสมาร์ตโฟนมาใช้งานจริง เพื่อขโมยโทเคนและกุญแจกระเป๋าเงินดิจิทัลที่มีสภาพคล่องสูง ซึ่งสร้างความเสียหายทันทีและติดตามเส้นทางเงินได้ยาก
การใช้ AI ในการสร้างโครงสร้างพื้นฐานหลอกลวงแบบหลายมิติ: แคมเปญฟิชชิ่งที่สร้างผ่าน AI Site Builders แสดงให้เห็นว่าฝ่ายโจมตีใช้ AI ผลิตหน้าเว็บปลอมที่แปรผัน DOM Hash อัตโนมัติ ทำให้ระบบตรวจจับแบบดั้งเดิมล้มเหลว และชี้ชัดว่าการป้องกันต้องก้าวสู่การวิเคราะห์พฤติกรรมและความคล้ายคลึงเชิงภาพ (Visual Similarity)
วิวัฒนาการของมัลแวร์การเงินสู่การปฏิบัติการแบบเรียลไทม์: มัลแวร์อย่าง Eternidade Stealer และ Lampion ไม่ได้จำกัดแค่การขโมยรหัสผ่าน แต่มีฟังก์ชันควบคุมเซสชัน ล็อกหน้าจอ และแทรกแซงหน้าต่างธุรกรรม (Overlay Injection) ขณะที่ผู้ใช้งานกำลังเข้าสู่ระบบธนาคาร เพื่อโอนเงินทุจริตในจังหวะจริง

ข้อเสนอแนะ

อัปเดตระบบปฏิบัติการบนสมาร์ตโฟนและเปิดใช้ Lockdown Mode: ผู้บริหารและบุคลากรที่ดูแลกระเป๋าเงินดิจิทัลหรือระบบธุรกรรมต้องอัปเดต iOS เป็นเวอร์ชันล่าสุดทันที และเปิดใช้งาน Apple Lockdown Mode เพื่อปิดกั้นเวกเตอร์การเจาะระบบผ่าน Safari และไฟล์มัลติมีเดีย
ยกระดับการตรวจจับ Overlay Injection และพฤติกรรม Hijacking บนเครื่องลูกข่าย: สถาบันการเงินควรติดตั้งระบบ EDR ที่สามารถเฝ้าระวังการสร้างหน้าต่างเลียนแบบทับแอปธนาคาร การดักจับคลิปบอร์ด และการพยายามเข้าถึงกระบวนการเบราว์เซอร์ของโปรแกรมภายนอก
ปิดกั้นสคริปต์ที่ไม่จำเป็นและจำกัดการสั่งรันไฟล์จากโฟลเดอร์ชั่วคราว: กำหนดนโยบายกรุ๊ปโพลิซี (GPO) เพื่อปิดการทำงานของ Windows Script Host (wscript.exe, cscript.exe) และห้ามการรันไฟล์ MSI/VBS/BAT จากโฟลเดอร์ AppData และ Temp ของผู้ใช้
เสริมการตรวจจับฟิชชิ่งด้วยการเปรียบเทียบภาพ (Visual AI Filtering): หน่วยงานความปลอดภัยควรปรับปรุงระบบเว็บพร็อกซีและอีเมลเกตเวย์ให้ตรวจจับหน้าฟิชชิ่งด้วย Visual & DOM Tree Similarity แทนการพึ่งพาเพียงฐานข้อมูลโดเมนหรือ URL Hash แบบดั้งเดิม
ปิดกั้นตัวบ่งชี้ภัยคุกคาม (IOCs) บนไฟร์วอลล์และเกตเวย์เครือข่าย: นำรายการโดเมน ไอพีแอดเดรส และแฮชไฟล์ที่ได้รับการยืนยันจากรายงานภัยคุกคาม ไปกำหนดค่านโยบายบล็อกบนไฟร์วอลล์, เว็บเกตเวย์ และระบบป้องกันภัยคุกคามขององค์กร

สรุป: ภัยคุกคามภาคการเงินและการธนาคารในรอบสัปดาห์นี้มีทั้งห่วงโซ่การโจมตี iOS DarkSword ดูดกระเป๋าคริปโท มัลแวร์ธนาคาร Eternidade Stealer ผ่าน WhatsApp หน้าฟิชชิ่งสถาบันการเงินที่สร้างด้วย AI และการใช้ VBScript ปล่อยโทรจันการเงิน Lampion ฝ่ายความปลอดภัยต้องเร่งอัปเดตระบบปฏิบัติการพกพา เฝ้าระวังเทคนิค Overlay และตรวจสอบการเชื่อมต่อผิดปกติอย่างเข้มงวด

TLP:CLEAR

ห้วงเวลาข้อมูล: 19-25 ตุลาคม 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)