Information Technology (IT) Sector Monitoring Weekly Report
ห้วงเวลา: 19-25 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 19-25 ตุลาคม 2569 ภาพรวมภัยคุกคามความมั่นคงปลอดภัยไซเบอร์ในกลุ่มอุตสาหกรรมเทคโนโลยีสารสนเทศ (IT) อยู่ในระดับความเสี่ยงสูง (HIGH RISK) โดยตรวจพบแนวโน้มการพุ่งเป้าโจมตีอุปกรณ์เครือข่ายขอบเขตและระบบบริหารจัดการโครงสร้างพื้นฐานไอทีส่วนกลางอย่างเข้มข้น ประเด็นสำคัญคือการที่กลุ่มภัยคุกคามระดับรัฐเชื่อมโยงช่องโหว่บนอุปกรณ์ FortiManager และ FortiOS เพื่อฝังมัลแวร์ในหน่วยความจำ PEERSTITCH ขโมยสิทธิ์และดักจับทราฟฟิกเครือข่ายโดยไร้ร่องรอยบนดิสก์ ขณะเดียวกันพบเหตุการณ์รั่วไหลของข้อมูลลับบนแพลตฟอร์มคลาวด์สำหรับนักพัฒนาซอฟต์แวร์ทั้ง Railway, Zeabur และ TiDB Cloud ซึ่งผู้โจมตีมุ่งเป้าขโมย AI API Keys และ Environment Variables เพื่อนำไปใช้ประมวลผลโมเดลและคัดลอกโมเดลปัญญาประดิษฐ์ นอกจากนี้ยังตรวจพบการโจมตีห่วงโซ่อุปทานผ่านการสับเปลี่ยนไฟล์รีลีสของเครื่องมือ OVHcloud CLI บน GitHub โดยกลุ่ม GlassWorm เพื่อขโมยข้อมูลลับของนักพัฒนา และการแสวงหาประโยชน์เชิงรุกจากช่องโหว่ SQL Injection บน Arista VeloCloud Orchestrator (CVE-2026-114625) เพื่อยกระดับสิทธิ์เข้าควบคุมระบบเครือข่าย SD-WAN ทั้งองค์กร องค์กรในภาคไอทีและโทรคมนาคมจึงจำเป็นต้องเร่งเสริมสร้างความปลอดภัยในการจัดการข้อมูลลับ การปิดกั้นช่องโหว่ระบบเครือข่ายส่วนกลาง และการจำกัดสิทธิ์การเข้าถึงอย่างเคร่งครัด
ทีมนักวิจัย Zero Hunt รายงานการค้นพบแคมเปญจารกรรมไซเบอร์ระดับสูงโดยกลุ่มผู้คุกคาม UNC5820 ซึ่งมุ่งเป้าโครงสร้างพื้นฐานของผู้ให้บริการโทรคมนาคมและไอทีระดับองค์กร โดยผู้โจมตีทำการเชื่อมโยงช่องโหว่คำสั่งไม่ผ่านการยืนยันตัวตนบน FortiManager (CVE-2024-47575 หรือ FortiJump) เข้ากับช่องโหว่ Path Traversal บน FortiOS CLI (CVE-2025-61624) เพื่อติดตั้งมัลแวร์ฝังตัวในหน่วยความจำสถาปัตยกรรม ARM64 ชื่อ PEERSTITCH มัลแวร์นี้ทำงานแบบไร้ไฟล์ (Fileless) โดยเข้าไปแทรกแซงและผสานกระบวนการทำงานของ FortiOS เข้าด้วยกัน ทำให้สามารถดักจับและแทรกซึมเซสชัน VPN ได้โดยไม่ต้องเปิดพอร์ตสื่อสารใหม่หรือเชื่อมต่อไปยัง C2 ภายนอก ส่งผลให้การตรวจจับด้วยระบบตรวจจับไฟล์แบบเดิมทำได้ยากอย่างยิ่ง
องค์กรธุรกิจ สถาบันการเงิน และผู้ให้บริการโทรคมนาคมในประเทศไทย มีการใช้งานอุปกรณ์ไฟร์วอลล์ FortiGate และระบบบริหารจัดการรวมศูนย์ FortiManager อย่างกว้างขวาง หากผู้ดูแลระบบไม่ได้อัปเดตแพตช์ความปลอดภัยทั้งสองรายการอย่างสมบูรณ์ อุปกรณ์เครือข่ายขอบเขตขององค์กรอาจถูกผู้โจมตีระดับรัฐแทรกซึมและฝังตัวในหน่วยความจำเพื่อดักข้อมูลทราฟฟิกและควบคุมอุโมงค์เชื่อมต่อ VPN ได้โดยไม่ถูกตรวจพบ
ยุทธศาสตร์ (Strategic): กลุ่มภัยคุกคามระดับรัฐมุ่งเป้าโจมตีอุปกรณ์เครือข่ายขอบเขตและระบบควบคุมส่วนกลาง เพื่อสร้างฐานการสอดแนมระยะยาวที่ไร้ร่องรอย
ยุทธการ (Operational): ผู้โจมตีใช้เทคนิคการเชื่อมโยงห่วงโซ่ช่องโหว่ (Vulnerability Chaining) จากแพลตฟอร์มบริหารจัดการกลาง เพื่อส่งมัลแวร์กระจายสู่ไฟร์วอลล์ลูกข่ายจำนวนมากพร้อมกัน
ยุทธวิธี (Tactical): การใช้มัลแวร์สถาปัตยกรรม ARM64 ฝังตัวเฉพาะในหน่วยความจำ RAM พร้อมฝังตัวเข้ากับโปรเซสปกติเพื่อควบคุมทราฟฟิก VPN โดยไม่สร้างไฟล์บนระบบ
โครงสร้างพื้นฐานโทรคมนาคม (Telecommunications), ผู้ให้บริการเครือข่ายและระบบคลาวด์ (Cloud & Network Service Providers), และระบบเครือข่ายขอบเขตองค์กร (Enterprise Edge Infrastructure)
แพลตฟอร์มประเมินความเสี่ยงความปลอดภัย Rescana ออกรายงานวิเคราะห์คลื่นการโจมตีระบบไอทีที่มุ่งเป้าผู้ให้บริการคลาวด์สำหรับนักพัฒนาซอฟต์แวร์ ได้แก่ Railway, Zeabur และ PingCAP TiDB Cloud โดยในกรณีของ Zeabur ผู้โจมตีอาศัยโทเคนผู้ดูแลและรหัสผ่านเซิร์ฟเวอร์ที่ไม่มีการหมุนเวียน ส่งผลให้ข้อมูลตัวแปรระบบ (Environment Variables) รั่วไหลกว่า 3.2 ล้านรายการ ส่วน Railway พบการเข้าถึงระบบถอดรหัสตัวแปรระบบกระทบพื้นที่ทำงานกว่า 100,000 เวิร์กสเปซ และ TiDB Cloud ถูกขโมยข้อมูลบัญชีบริการ ทั้งนี้เป้าหมายหลักของผู้โจมตีคือการสกัดขโมยคีย์ API ของโมเดลปัญญาประดิษฐ์ (AI API Keys) เพื่อนำไปใช้งานประมวลผลฟรี (Cost Harvesting) และทำการคัดลอกโมเดล (Model Distillation)
สตาร์ทอัปด้านเทคโนโลยี ทีมวิศวกรซอฟต์แวร์ และองค์กรในประเทศไทยที่นำแพลตฟอร์ม PaaS และ DBaaS เหล่านี้มาใช้ในการพัฒนาหรือรันระบบงาน มีความเสี่ยงสูงที่กุญแจ API ลับ รหัสผ่านเชื่อมต่อฐานข้อมูล และตัวแปรระบบที่เก็บไว้จะตกไปอยู่ในมือของผู้โจมตี ซึ่งอาจนำไปสู่ความเสียหายทางการเงินจากค่าบริการคลาวด์ AI และการถูกเจาะฐานข้อมูลหลัก
ยุทธศาสตร์ (Strategic): ผู้โจมตีเปลี่ยนเป้าหมายจากการโจมตีโฮสต์เดี่ยวมาสู่แพลตฟอร์มโฮสติ้งของนักพัฒนาเพื่อกวาดทรัพย์สินข้อมูลลับเชิงระบบนิเวศ
ยุทธการ (Operational): การละเลยการหมุนเวียนกุญแจรับรองสิทธิ์ (Unrotated Credentials) ภายในแพลตฟอร์มบริการคลาวด์เปิดช่องให้ผู้ไม่หวังดีขยายการเข้าถึงสู่ข้อมูลลูกค้านับแสนราย
ยุทธวิธี (Tactical): การเชื่อมต่อผ่านโทเคนผู้ดูแลคลัสเตอร์เพื่อสั่งคำสั่งถอดรหัสตัวแปรระบบและดาวน์โหลดกุญแจ API ผ่านสคริปต์อัตโนมัติ
แพลตฟอร์มคลาวด์สำหรับนักพัฒนา (Developer Platforms / PaaS), ผู้ให้บริการฐานข้อมูลบนคลาวด์ (DBaaS), และองค์กรผู้พัฒนาแอปพลิเคชันซอฟต์แวร์ (Software Development Organizations)
ทีมนักวิจัยความมั่นคงปลอดภัย OpenSourceMalware ตรวจพบการโจมตีห่วงโซ่อุปทานซอฟต์แวร์โดยกลุ่ม GlassWorm ซึ่งเจาะเข้าสู่บัญชีผู้ร่วมพัฒนาบน GitHub ของโครงการเครื่องมือบรรทัดคำสั่ง ovhcloud-cli ของผู้ให้บริการคลาวด์ OVHcloud โดยผู้โจมตีอาศัยช่องว่างที่ระบบไม่ได้เปิดใช้คุณสมบัติ Release Immutability ทำการสับเปลี่ยนไฟล์ติดตั้งไบนารีที่เปิดให้ดาวน์โหลดเวอร์ชัน v0.11.0 ถึง v0.15.0 ด้วยไฟล์ที่มีมัลแวร์ขโมยข้อมูลลับฝังอยู่เป็นเวลานาน 94 นาทีก่อนจะถูกระงับ ตัวมัลแวร์จะรันสคริปต์ preinstall.js และไบนารีเพื่อค้นหาโทเคนคลาวด์ กุญแจ SSH และไฟล์รับรองสิทธิ์บนเครื่องนักพัฒนา แล้วส่งออกข้อมูลผ่าน Solana RPC และเว็บอัปโหลดภายนอก
วิศวกรคลาวด์ สถาปนิกโครงสร้างพื้นฐานไอที และทีม DevOps ในประเทศไทยที่ดาวน์โหลดหรืออัปเดตเครื่องมือ ovhcloud-cli ผ่าน GitHub ในช่วงเวลาดังกล่าว มีความเสี่ยงที่ข้อมูลยืนยันตัวตนระดับผู้ดูแลระบบคลาวด์และกุญแจสำคัญจะถูกขโมย ซึ่งอาจถูกนำไปใช้เจาะระบบสภาพแวดล้อมคลาวด์ขององค์กรในไทยต่อไป
ยุทธศาสตร์ (Strategic): การแทรกแซงห่วงโซ่อุปทานผ่านเครื่องมือจัดการคลาวด์โอเพ่นซอร์สเป็นช่องทางทางลัดในการเจาะเข้าถึงสิทธิ์ระดับสูงของโครงสร้างพื้นฐานไอที
ยุทธการ (Operational): ผู้โจมตีเข้ายึดบัญชีนักพัฒนาที่มีสิทธิ์แก้ไขไฟล์ Release เพื่ออัปโหลดไบนารีอันตรายแทนที่ของเดิมโดยเลี่ยงระบบตรวจสอบ CI/CD อัตโนมัติ
ยุทธวิธี (Tactical): การใช้มัลแวร์สองขั้นตอน (Two-stage payload) ตรวจจับสภาพแวดล้อมระบบ รวบรวมข้อมูลลับ และส่งออกข้อมูลผ่านทราฟฟิกเครือข่ายบล็อกเชน Solana
ผู้ให้บริการคลาวด์ (Cloud Service Providers), ทีมปฏิบัติการระบบไอทีและ DevOps (DevOps & IT Operations), และผู้ใช้เครื่องมือบริหารจัดการระบบแบบบรรทัดคำสั่ง (CLI Tool Users)
บริษัทความมั่นคงปลอดภัย Rescana และ Arista Networks แจ้งเตือนการโจมตีเชิงรุกต่อช่องโหว่ความรุนแรงวิกฤตบนระบบบริหารจัดการเครือข่ายบริเวณกว้างเสมือนจริง Arista VeloCloud Orchestrator (VCO) หมายเลข CVE-2026-114625 (คะแนน CVSS 9.9) ซึ่งเป็นช่องโหว่ประเภท SQL Injection (CWE-89) บนระบบที่ติดตั้งแบบ On-Premises ช่องโหว่นี้เปิดทางให้ผู้ไม่หวังดีที่มีบัญชีผู้ใช้ระดับต่ำ เช่น สิทธิ์ Enterprise Read Only สามารถส่งคำสั่ง SQL ที่ประดิษฐ์ขึ้นเป็นพิเศษเข้าไปสั่งการฐานข้อมูลของระบบ ส่งผลให้สามารถข้ามขั้นตอนการควบคุมสิทธิ์และยกระดับตนเองขึ้นเป็น Superuser Operator ซึ่งควบคุมการกำหนดค่าเครือข่าย SD-WAN เส้นทางการส่งข้อมูล และการเข้าถึงอุปกรณ์ปลายทางทั้งหมดในเครือข่าย
องค์กรธุรกิจขนาดใหญ่ องค์กรโทรคมนาคม และผู้ให้บริการเครือข่ายแบบ Managed Service Provider (MSP) ในประเทศไทยที่ติดตั้งใช้งาน Arista VeloCloud Orchestrator ในศูนย์ข้อมูลของตนเอง มีความเสี่ยงที่จะถูกผู้โจมตีที่เข้าถึงเครือข่ายภายในหรือใช้บัญชีที่ถูกขโมยมาทำการยกระดับสิทธิ์เข้าควบคุมโครงสร้างพื้นฐานเครือข่าย SD-WAN ทั้งระบบ
ยุทธศาสตร์ (Strategic): การพุ่งเป้าเจาะระบบบริหารจัดการเครือข่าย SD-WAN ส่วนกลางทำให้ผู้โจมตีสามารถควบคุมโครงสร้างพื้นฐานการเชื่อมต่อระหว่างสาขาทั้งหมดขององค์กรได้ในจุดเดียว
ยุทธการ (Operational): ผู้โจมตีใช้บัญชีระดับอ่านอย่างเดียวที่ผ่านการยืนยันตัวตนแล้วเพื่อโจมตีฐานข้อมูลของ Orchestrator และสถาปนาตนเองเป็นผู้ดูแลระบบระดับสูงสุด
ยุทธวิธี (Tactical): การส่งคำสั่ง SQL Injection ผ่านพารามิเตอร์ของเว็บอินเทอร์เฟซเพื่อสั่งแก้ไขตารางสิทธิ์ผู้ใช้งานและดึงข้อมูลกำหนดค่าเครือข่าย
ผู้ให้บริการจัดการระบบเครือข่าย (Managed Service Providers / MSP), องค์กรธุรกิจที่ใช้งานเครือข่าย SD-WAN (Enterprise SD-WAN Users), และผู้ดูแลโครงสร้างพื้นฐานเครือข่าย (Network Infrastructure Administrators)