Government & Defense Weekly Report
ห้วงเวลา: 19-25 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 19-25 ตุลาคม 2569 สถานการณ์ภัยคุกคามทางไซเบอร์ต่อหน่วยงานภาครัฐและความมั่นคง (Government & Defense) เผชิญกับปฏิบัติการจารกรรมข้อมูลระดับรัฐ (State-Sponsored Cyber Espionage) และการพุ่งเป้าเจาะระบบโครงสร้างพื้นฐานกลางของรัฐบาลอย่างเข้มข้น ประการแรก โครงสร้างพื้นฐานของผู้โจมตีบนสิงคโปร์ถูกเปิดโปงโดย InfraHunter เผยให้เห็นชุดสคริปต์อัตโนมัติที่เจาะระบบเซิร์ฟเวอร์ยืนยันตัวตนกลาง Keycloak SSO ของกระทรวงการต่างประเทศเวียดนาม (MOFA) พร้อมการเชื่อมต่อไปยังผู้ให้บริการ LDAP ปลอมเพื่อยึดโทเคนบริหารและสั่งประมวลผลโค้ดอันตราย ร่วมกับการเจาะช่องโหว่เกตเวย์ Check Point และการฝังตัวบนแพลตฟอร์มประกันสังคม ประการที่สอง Kaspersky GReAT ตรวจพบมัลแวร์บูตคิต BlackX พัฒนาโดยกลุ่ม APT41 นำเทคนิคของ BlackLotus กลับมาปรับใช้เพื่อข้ามผ่านระบบ Secure Boot ผ่านช่องโหว่ Baton Drop เจาะระบบเครือข่ายสถานทูตและองค์กรการทูตในเอเชียกลาง โดยอาศัยจุดอ่อนที่แพตช์ของระบบปฏิบัติการต้องการการเปิดใช้งานแบบแมนนวล ประการที่สาม Symantec เผยแพร่การสอบสวนกลุ่มจารกรรมรัสเซีย Swallowtail (APT28) ซึ่งแทรกซึมเข้าสู่อู่ต่อเรือรบและโรงงานผลิตเครื่องยนต์อากาศยานของชาติพันธมิตร NATO นานกว่า 2 เดือน โดยใช้เอกสาร Word แฝงมาโครเรียกใช้เบราว์เซอร์ Microsoft Edge ล่องหนเพื่อรับคำสั่งผ่าน Webhook และติดตั้งโหลดเดอร์สะท้อนหน่วยความจำ ld.exe ร่วมกับแทนเนล SSH และประการสุดท้าย Hunt.io ตรวจพบผู้โจมตีที่ใช้ภาษารัสเซียกวาดสแกนไอพีทั่วประเทศยูเครนเพื่อค้นหาระบบแลกเปลี่ยนข้อมูลกลางภาครัฐ (UXP Verifier) ก่อนเจาะทะลุเซิร์ฟเวอร์บันทึกประวัติการทำงาน Graylog ผ่านช่องโหว่ Log4Shell เข้าถึงบันทึกธุรกรรมกว่า 6.8 ล้านรายการ สะท้อนให้เห็นว่าหน่วยงานภาครัฐจำเป็นต้องยกระดับการป้องกันทั้งระบบเกตเวย์ยืนยันตัวตน ระบบแลกเปลี่ยนข้อมูลระหว่างกระทรวง และการฝังตัวระดับเฟิร์มแวร์อย่างเร่งด่วน
ทีมนักวิจัยความมั่นคงปลอดภัย InfraHunter เปิดโปงการพบสารบบเปิด (Open Directory) บนเครื่องเซิร์ฟเวอร์หมายเลขไอพี 212.232.23[.]75 (AS215381 Rockhoster ประเทศสิงคโปร์) ซึ่งเป็นโครงสร้างพื้นฐานปฏิบัติการโจมตีของผู้ไม่ประสงค์ดีที่เก็บไฟล์เครื่องมือ สคริปต์เจาะระบบ และล็อกการทำงานกว่า 484 รายการ การวิเคราะห์พบว่าผู้โจมตีมุ่งเป้าโจมตีระบบของกระทรวงการต่างประเทศเวียดนาม (MOFA) โดยเฉพาะเซิร์ฟเวอร์ยืนยันตัวตน Keycloak Single Sign-On (sso-ingo.mofa.gov[.]vn) สคริปต์ mofa_deep2.py และ mofa_rce3.py ดำเนินการร้องขอโทเคนระดับผู้ดูแลระบบผ่าน admin-cli แล้วลงทะเบียนผู้ให้บริการยืนยันตัวตน LDAP/OIDC ปลอมที่ควบคุมโดยผู้โจมตี (พอร์ต 53) เพื่อทำ JNDI Injection สั่งรันคำสั่งย้อนกลับ (Reverse Shell) นอกจากนี้ยังพบสคริปต์สแกนช่องโหว่ Check Point (CVE-2026-50751, CVE-2026-91843), SharePoint 2010, Telerik UI และการเจาะระบบแพลตฟอร์มประกันสังคมผ่านการใช้รหัสผ่านซ้ำ
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อหน่วยงานภาครัฐในไทย - แม้เหยื่อที่ยืนยันได้ในรายงานจะเป็นหน่วยงานรัฐบาลของประเทศเพื่อนบ้านในอาเซียน (เวียดนาม) แต่สถาปัตยกรรมระบบไอทีภาครัฐของไทยมีการใช้งานระบบยืนยันตัวตนกลาง Keycloak SSO, อุปกรณ์เกตเวย์ความมั่นคงปลอดภัย Check Point, และระบบคลาวด์ MinIO อย่างกว้างขวาง นอกจากนี้ เซิร์ฟเวอร์ของผู้โจมตีตั้งอยู่ในภูมิภาคใกล้เคียง (สิงคโปร์) และมีเครื่องมือสแกนอัตโนมัติที่พร้อมปรับเป้าหมายมายังเครือข่ายกระทรวงและระบบบริการประชาชนดิจิทัลของไทยได้ทันที
ยุทธศาสตร์: กลุ่มผู้โจมตีมุ่งเน้นการเจาะระบบยืนยันตัวตนกลาง (Identity Provider) ของภาครัฐ เพื่อใช้เป็นกุญแจหลักในการเข้าถึงทุกระบบสารสนเทศของกระทรวงการต่างประเทศและหน่วยงานความมั่นคง
ยุทธการ: ผู้โจมตีผสานการทำงานระหว่างการลาดตระเวนระบบเว็บภายนอก, การดึงโทเคนการจัดการ SSO, การจัดตั้งระบบ LDAP/JNDI หลอกลวง, และการใช้ชุดเครื่องมือตระกูล Potato เพื่อยกระดับสิทธิ์บนเซิร์ฟเวอร์เป้าหมาย
ยุทธวิธี: ฝ่ายไอทีภาครัฐต้องตรวจสอบการตั้งค่า Keycloak Master Realm ไม่ให้เข้าถึงได้จากภายนอก, ปิดกั้นทราฟฟิกขาออกพอร์ต LDAP (389, 636, 53) ไปยังไอพีภายนอก, และบล็อกไอพีเซิร์ฟเวอร์ผู้โจมตี 212.232.23[.]75 โดยทันที
กระทรวงการต่างประเทศ, หน่วยงานด้านความมั่นคง, กระทรวงด้านโครงสร้างพื้นฐาน, แพลตฟอร์มบริการประกันสังคมและสวัสดิการภาครัฐ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Kaspersky Global Research and Analysis Team (GReAT) ตรวจพบแคมเปญจารกรรมข้อมูลขั้นสูงพุ่งเป้าหน่วยงานทางการทูตในกลุ่มประเทศเอเชียกลาง (ทาจิกิสถาน อุซเบกิสถาน และเติร์กเมนิสถาน) ปฏิบัติการนี้ใช้มัลแวร์บูตคิตระดับ UEFI ตัวใหม่ชื่อ BlackX ซึ่งได้รับการประเมินด้วยความเชื่อมั่นปานกลางว่าเชื่อมโยงกับกลุ่ม APT41 โดยผู้โจมตีนำสถาปัตยกรรมของมัลแวร์ชื่อดัง BlackLotus มาพัฒนาต่อยอดเพื่อข้ามผ่านระบบ Secure Boot ด้วยช่องโหว่ Baton Drop (CVE-2022-21894) บูตคิตจะติดตั้ง Machine Owner Keys (MOK) ของผู้โจมตีเพื่อโหลดไดรเวอร์เคอร์เนลที่มีลายเซ็นดิจิทัลที่ถูกเพิกถอน ไดรเวอร์นี้จะปิดกั้นกลไกตรวจจับความปลอดภัยและ ETW Providers จากนั้นจะปลดปล่อยเพย์โหลดสอดแนมระดับ User-Mode ได้แก่ โทรจันควบคุมเครื่องระยะไกลที่รับส่งคำสั่งผ่านคลาวด์สตอเรจ (Google Drive, OneDrive, Yandex.Disk) และ OxiDLLRunner ซึ่งใช้เทคนิค DLL Side-Loading รันมัลแวร์ภาษา Rust ติดต่อเซิร์ฟเวอร์ C2
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อหน่วยงานการทูตและโครงสร้างพื้นฐานความมั่นคงของไทย - จุดตายสำคัญที่ทำให้เหยื่อถูกโจมตีสำเร็จแม้จะติดตั้งแพตช์ของ Microsoft แล้ว คือกระบวนการเพิกถอนใบรับรอง Windows Production PCA 2011 ไม่ได้มีผลอัตโนมัติ แต่ต้องอาศัยการตั้งค่า Registry และงานตั้งเวลาด้วยตนเอง หากหน่วยงานภาครัฐของไทย โดยเฉพาะกระทรวงการต่างประเทศและสถานเอกอัครราชทูต ไม่ได้บังคับใช้การเพิกถอนใบรับรองตามคู่มือ ย่อมเปิดช่องทางให้กลุ่ม APT เจาะทะลุระบบ Secure Boot ฝังตัวในระดับเฟิร์มแวร์ที่ไม่สามารถตรวจจับหรือลบล้างได้ด้วยการลงระบบปฏิบัติการใหม่
ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐนำอาวุธบูตคิตระดับ UEFI ที่เคยเป็นของกลุ่มอาชญากรไซเบอร์มาผสานเข้ากับปฏิบัติการจารกรรมความลับทางการทูต เพื่อสร้างความคงทนถาวรระดับฮาร์ดแวร์
ยุทธการ: ผู้โจมตีฉวยโอกาสจากช่องว่างของกระบวนการแพตช์ที่ซับซ้อนและต้องลงมือทำเอง (Manual Patch Activation) เพื่อคงความสามารถในการโจมตีระบบที่อัปเดตแล้ว
ยุทธวิธี: ฝ่ายไอทีต้องตรวจสอบการเปิดใช้งานการเพิกถอนใบรับรอง Baton Drop ใน Secure Boot ตามแนวทางของ Microsoft, ตรวจสอบงานตั้งเวลา Secure-Boot-Update, และบล็อกการสื่อสารไปยังโดเมน www.archivetj[.]com
กระทรวงการต่างประเทศ, หน่วยงานการทูตและสถานเอกอัครราชทูต, องค์กรด้านความมั่นคงและข่าวกรอง, ระบบคอมพิวเตอร์ระดับสูงที่จัดเก็บเอกสารลับ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Symantec Threat Hunter Team ตรวจพบปฏิบัติการจารกรรมไซเบอร์ของกลุ่ม Swallowtail (หรือ APT28, Fancy Bear สังกัดหน่วยข่าวกรองทางทหารรัสเซีย GRU) มุ่งเป้าองค์กรด้านความมั่นคงในชาติสมาชิก NATO ได้แก่ หน่วยงานบังคับใช้กฎหมาย, บริษัทผลิตเครื่องยนต์อากาศยานทางการทหาร, และอู่ต่อเรือรบ ในการบุกรุกอู่ต่อเรือรบที่กินเวลายาวนานกว่า 2 เดือน ผู้โจมตีส่งอีเมลฟิชชิ่งแนบเอกสาร Word ที่ฝังมาโครซับซ้อนเพื่อวางไฟล์ VBScript และแบตช์สคริปต์ โดยคำสั่งแบตช์จะสั่งเปิดโปรแกรม Microsoft Edge ในโหมดล่องหนไร้หน้าต่าง (ขนาด 1x1 พิกเซล อยู่นอกจอภาพ) เพื่อดาวน์โหลดคำสั่งจากบริการคลาวด์สาธารณะ webhook.site มาประมวลผลบนเครื่อง จากนั้นผู้โจมตีได้นำกุญแจส่วนตัว SSH ไปติดตั้งเพื่อเปิดช่องทาง SSH Reverse Tunnel แบบถาวรจากภายนอกเข้าสู่เครือข่ายภายใน และติดตั้งโหลดเดอร์สะท้อนหน่วยความจำที่ไม่เคยตรวจพบมาก่อนชื่อ ld.exe เพื่อถอดรหัสเพย์โหลดขั้นสูงในหน่วยความจำโดยไม่ตกค้างบนดิสก์
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่ออุตสาหกรรมป้องกันประเทศและหน่วยงานความมั่นคงของไทย - หน่วยงานในสังกัดกระทรวงกลาโหม, กองทัพเรือ, และผู้รับเหมาจัดซื้อจัดจ้างยุทโธปกรณ์ด้านความมั่นคงในประเทศไทย จัดเป็นเป้าหมายที่มีมูลค่าสูงในการจารกรรมข้อมูลเทคโนโลยีทางทหาร การที่กลุ่ม APT28 หันมาใช้เทคนิค Living-off-the-Land ด้วยการแอบใช้เบราว์เซอร์ของระบบ (Edge) และบริการคลาวด์ภายนอกที่ชอบด้วยกฎหมาย (webhook.site) ทำให้สามารถเลี่ยงการตรวจจับของไฟร์วอลล์และระบบเฝ้าระวังความมั่นคงปลอดภัยแบบดั้งเดิมได้อย่างสมบูรณ์
ยุทธศาสตร์: หน่วยข่าวกรองทางทหารของมหาอำนาจพุ่งเป้าเจาะห่วงโซ่การผลิตยุทโธปกรณ์ทางเรือและอากาศยาน เพื่อจารกรรมข้อมูลเทคโนโลยีขั้นสูงและแบบแปลนทางทหาร
ยุทธการ: ผู้โจมตีใช้เทคนิคผสมผสานระหว่างฟิชชิ่งแนบมาโคร, การพรางตัวหลังเบราว์เซอร์ Edge เพื่อดึงคำสั่งผ่านเว็บฮุก, และการเปิดช่องทาง SSH Tunnel เข้าถึงเครือข่ายภายในแบบ Hands-on-keyboard
ยุทธวิธี: ผู้ดูแลระบบความมั่นคงต้องปิดกั้นการทำงานของมาโครในโปรแกรมเอกสารจากภายนอก, เฝ้าระวังพฤติกรรมการเปิด Edge แบบไร้หน้าต่างพร้อมพารามิเตอร์แปลกปลอม, ตรวจสอบการเชื่อมต่อ SSH ขาออก, และบล็อกไอพี C2 185.82.218[.]119
อุตสาหกรรมป้องกันประเทศ, อู่ต่อเรือรบ, ผู้ผลิตอากาศยานและยุทโธปกรณ์ทางทหาร, หน่วยงานบังคับใช้กฎหมายและความมั่นคงแห่งชาติ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ศูนย์วิจัยความมั่นคงปลอดภัย Hunt.io เปิดเผยการตรวจพบโครงสร้างพื้นฐานของผู้โจมตีที่ใช้ภาษารัสเซีย ซึ่งทำการสแกนหมายเลขไอพีทั้งประเทศของยูเครน (กว่า 9.1 ล้านหมายเลข) เพื่อค้นหาโฮสต์ที่ให้บริการระบบแลกเปลี่ยนข้อมูลกลางของรัฐบาลแพลตฟอร์ม UXP Verifier (พอร์ต 5000) ของบริษัท Cybernetica ซึ่งทำหน้าที่จัดเก็บบันทึกธุรกรรมและข้อความที่มีการลงนามทางอิเล็กทรอนิกส์ระหว่างหน่วยงานรัฐ ผู้โจมตีสามารถเจาะทะลุระบบได้สำเร็จอย่างน้อย 2 โฮสต์ โดยใช้ช่องโหว่ Log4Shell บน API การจัดการเซสชันของระบบเซิร์ฟเวอร์รวบรวมบันทึกเหตุการณ์ Graylog เพื่อส่งเพย์โหลด CommonsBeanutils2 แบบสองขั้นตอนและรันสคริปต์สเตเจอร์ ซึ่งทำให้ผู้โจมตีเข้าถึงคลัสเตอร์ Elasticsearch ที่เก็บเอกสารบันทึกการแลกเปลี่ยนข้อมูลของรัฐบาลยูเครนจำนวนกว่า 6.8 ล้านรายการ ตลอดจนระบบเชื่อมโยงบริการรัฐบาลอิเล็กทรอนิกส์ (E-Government Integration Services)
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อระบบแลกเปลี่ยนข้อมูลภาครัฐของไทย - ประเทศไทยมีการพัฒนาระบบแลกเปลี่ยนข้อมูลกลางภาครัฐ (Government Data Exchange หรือ GDX) ภายใต้การกำกับดูแลของสำนักงานพัฒนารัฐบาลดิจิทัล (สพร. หรือ DGA) ซึ่งมีสถาปัตยกรรมการเชื่อมโยงข้อมูลระหว่างหน่วยงานในลักษณะเดียวกับระบบ X-Road / UXP ของยุโรป การที่ผู้โจมตีใช้กลวิธีสแกนเครือข่ายทั้งประเทศเพื่อหาจุดเชื่อมต่อและเลือกเจาะเซิร์ฟเวอร์บันทึกข้อมูลส่วนกลาง (Graylog / Elasticsearch) ถือเป็นเวกเตอร์อันตรายอย่างยิ่งต่อความมั่นคงของข้อมูลภาครัฐไทย
ยุทธศาสตร์: ฝ่ายตรงข้ามมุ่งเป้าโจมตีระบบแกนกลางที่ทำหน้าที่เชื่อมต่อข้อมูลระหว่างทุกกระทรวง เพื่อให้สามารถดักรับและควบคุมทราฟฟิกข้อมูลลับของรัฐบาลได้จากศูนย์กลาง
ยุทธการ: ผู้โจมตีใช้การสแกนแบบอัตโนมัติคัดกรองเป้าหมายเฉพาะเจาะจงระดับชาติ แล้วใช้ประโยชน์จากช่องโหว่ของซอฟต์แวร์สนับสนุนระบบจัดการบันทึก (Graylog) ที่เปิดเชื่อมต่อออกสู่อินเทอร์เน็ต
ยุทธวิธี: หน่วยงานผู้ดูแลระบบศูนย์แลกเปลี่ยนข้อมูลต้องปิดการเข้าถึงพอร์ตบริการจัดการ (พอร์ต 5000, 5500, 4000) และระบบ Graylog จากภายนอกเครือข่าย, อัปเดตแพตช์ Java และ Log4j, และบล็อกไอพีต้นทาง 31.77.220[.]141
ระบบแลกเปลี่ยนข้อมูลกลางภาครัฐ (GDX / E-Government Hub), ศูนย์รวมบันทึกเหตุการณ์ความมั่นคงปลอดภัย (SOC / Central Graylog), กระทรวงและหน่วยงานผู้เชื่อมต่อข้อมูลบริการประชาชน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง