Transportation & Logistics Sector Weekly Report
ห้วงเวลา: 19-25 ตุลาคม 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 19-25 ตุลาคม 2569 ภาคการขนส่ง โลจิสติกส์ และห่วงโซ่อุปทาน (Transportation & Logistics Sector) เผชิญกับภัยคุกคามไซเบอร์ทั้งในระดับการจารกรรมทางยุทธศาสตร์และการขัดขวางทางกายภาพอย่างมีนัยสำคัญ ประการแรก ESET Research ตรวจพบปฏิบัติการร่วมระหว่างกลุ่ม UAC-0099 และ Sandworm ที่เจาะระบบองค์กรขนส่งสินค้าเกษตรรายใหญ่ในยูเครน โดยฝังแบ็กดอร์ MythicRatatoskr ที่ใช้โพรโทคอลเครือข่าย Yggdrasil เพื่อสื่อสารแบบเข้ารหัสแบบ Peer-to-Peer ควบคู่กับการใช้ Microsoft SDelete ทำลายฐานข้อมูลระบบขนส่งสินค้า ประการที่สอง CYFIRMA ออกประกาศแจ้งเตือนกลุ่มผู้ก่อภัยคุกคามที่คาดว่าเชื่อมโยงกับเกาหลีเหนือ (DPRK / Lazarus) ตระเตรียมชุดเจาะช่องโหว่ PHP2Shell (CVE-2026-109618, CVE-2026-109619) เพื่อเจาะระบบเว็บพอร์ทัลของสายการบิน การขนส่งทางเรือ และระบบติดตามตู้คอนเทนเนอร์ทั่วโลก ประการที่สาม Acronis TRU วิเคราะห์ปฏิบัติการแรนซัมแวร์ The Gentlemen ที่พัฒนาด้วยภาษา Go และใช้เทคนิค BYOVD นำไดรเวอร์เคอร์เนลที่มีช่องโหว่มาปิดกั้นซอฟต์แวร์ EDR ก่อนเข้ารหัสระบบจัดการฝูงรถและระบบคลังสินค้า และประการที่สี่ CYFIRMA รายงานการแทรกซึมระบบเทคโนโลยีเชิงปฏิบัติการ (OT) ของเครือข่ายโลจิสติกส์แบบควบคุมอุณหภูมิ (Cold Chain Logistics) โดยกลุ่มภัยคุกคามมุ่งเป้าระบบควบคุมความเย็นและเซ็นเซอร์วัดอุณหภูมิเพื่อทำลายสินค้าที่เน่าเสียง่าย ซึ่งสะท้อนถึงการยกระดับภัยคุกคามจากการโจรกรรมข้อมูลสู่การก่อวินาศกรรมกระบวนการขนส่ง
ทีมวิจัย ESET ตรวจพบแคมเปญการโจมตีทางไซเบอร์ที่มุ่งเป้าบริษัทขนส่งและโลจิสติกส์สินค้าเกษตรรายใหญ่ในยูเครน โดยเกิดจากการประสานงานระหว่างกลุ่ม UAC-0099 ซึ่งรับผิดชอบการเจาะระบบขั้นต้นผ่านเอกสารฟิชชิง และส่งมอบการควบคุมให้กลุ่ม Sandworm ผู้โจมตีได้ฝังแบ็กดอร์ชนิดใหม่ชื่อ MythicRatatoskr ซึ่งดัดแปลงมาจากเฟรมเวิร์ก Mythic C2 โดยมีความพิเศษในการใช้ไลบรารี Yggdrasil Network สร้างเครือข่ายแบบ Peer-to-Peer Mesh ที่เข้ารหัสอย่างสมบูรณ์เพื่อหลบเลี่ยงการตรวจจับของเกตเวย์และไฟร์วอลล์ตรวจจับเครือข่ายขาออก จากนั้นผู้โจมตีได้ใช้ยูทิลิตี Microsoft SDelete ลบไฟล์ข้อมูลตารางการขนส่งและบันทึกคลังสินค้าอย่างถาวรเพื่อขัดขวางการส่งออกสินค้า
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ประกอบการด้านการขนส่งและโลจิสติกส์ในไทย - แม้เป้าหมายโดยตรงจะอยู่ในภูมิภาคยุโรปตะวันออก แต่เทคนิคการเชื่อมต่อ C2 ผ่านโพรโทคอลเข้ารหัสแบบกระจายศูนย์ Yggdrasil Mesh เป็นรูปแบบการพรางตัวใหม่ที่มีโอกาสถูกนำมาใช้กับระบบเครือข่ายของบริษัทขนส่งและตัวแทนรับจัดการขนส่งสินค้า (Freight Forwarders) ในไทย นอกจากนี้การประสานงานระหว่างกลุ่มแทรกซึมขั้นต้นกับกลุ่มทำลายข้อมูลแสดงให้เห็นถึงความจำเป็นในการตรวจจับการคงอยู่ของแบ็กดอร์ก่อนการสั่งทำลายข้อมูล
ยุทธศาสตร์: การร่วมมือระหว่างกลุ่มจารกรรมข้อมูล (UAC-0099) และกลุ่มปฏิบัติการก่อวินาศกรรม (Sandworm) สะท้อนถึงการแบ่งหน้าที่เพื่อสร้างความเสียหายสูงสุดต่อห่วงโซ่อุปทานการขนส่งของเป้าหมาย
ยุทธการ: การประยุกต์ใช้โพรโทคอลเครือข่ายแบบ Yggdrasil Mesh ช่วยให้แบ็กดอร์สามารถสื่อสาร C2 ข้ามโฮสต์ภายในเครือข่ายที่ตัดขาดจากอินเทอร์เน็ตภายนอกได้โดยอาศัยเครื่องเกตเวย์เพียงเครื่องเดียว
ยุทธวิธี: ฝ่ายเฝ้าระวังความปลอดภัยต้องตรวจสอบทราฟฟิกเครือข่ายที่ใช้พอร์ตและโพรโทคอลเฉพาะของ Yggdrasil (เช่น ทราฟฟิก QUIC และ TLS บนพอร์ตผิดปกติ) พร้อมตั้งค่านโยบายบล็อกการรัน SDelete หรือเครื่องมือลบไฟล์ผิดปกติบนระบบเซิร์ฟเวอร์ฐานข้อมูลการขนส่ง
ผู้ให้บริการขนส่งสินค้าเกษตรและธัญพืช, ผู้ประกอบการโลจิสติกส์ระหว่างประเทศ, และคลังสินค้าส่งออก
หน่วยวิจัยไซเบอร์ CYFIRMA ตรวจพบสัญญาณความเคลื่อนไหวของกลุ่มผู้ก่อภัยคุกคามขั้นสูงที่มีความเชื่อมโยงกับเกาหลีเหนือ (กลุ่ม Lazarus) กำลังตระเตรียมโครงสร้างพื้นฐานเซิร์ฟเวอร์สั่งการและฐานข้อมูลเป้าหมายเพื่อเตรียมโจมตีผ่านช่องโหว่ระดับวิกฤตของ PHP หรือ PHP2Shell (CVE-2026-109618 และ CVE-2026-109619) ซึ่งส่งผลให้เกิดการรันโค้ดระยะไกล (RCE) จากระยะไกลโดยไม่ต้องยืนยันตัวตน จากการวิเคราะห์เป้าหมายที่ถูกจัดเตรียมไว้พบว่ามุ่งเน้นระบบเว็บพอร์ทัลบริการลูกค้า ระบบจองระวางบรรทุก และระบบตรวจสอบสถานะตู้คอนเทนเนอร์ในกลุ่มอุตสาหกรรมการบินพลเรือน (Civil Aviation) และอุตสาหกรรมการขนส่งทางเรือ (Shipping and Logistics) ทั่วโลก
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ประกอบการด้านการขนส่งและโลจิสติกส์ในไทย - ระบบติดตามตู้สินค้า พอร์ทัลตัวแทนขนส่งสินค้า และเว็บแอปพลิเคชันของท่าเรือและสายการบินในประเทศไทยจำนวนมากพัฒนาบนสแตกเทคโนโลยี PHP หากเซิร์ฟเวอร์เหล่านี้ยังไม่ได้รับการอัปเดตแพตช์แก้ไขช่องโหว่ PHP2Shell อาจถูกกลุ่มผู้โจมตีเข้าควบคุมระบบเซิร์ฟเวอร์ ดักข้อมูลใบตราส่งสินค้า (Bill of Lading) หรือใช้เป็นจุดตั้งต้นในการแทรกซึมเข้าสู่เครือข่ายภายในองค์กร
ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐมุ่งเป้าโครงสร้างพื้นฐานคมนาคมและโลจิสติกส์ระหว่างประเทศเพื่อสอดแนมการเคลื่อนย้ายสินค้า ยุทธปัจจัย และหาช่องทางสร้างผลกระทบต่อระบบซัพพลายเชนทั่วโลก
ยุทธการ: ผู้โจมตีตั้งเซิร์ฟเวอร์ Staging และ Scanning ภายนอกเพื่อสแกนค้นหาระบบ PHP เวอร์ชันที่มีช่องโหว่ ก่อนจะยิงเพย์โหลดสร้างเว็บเชลล์เพื่อเปิดทางให้มัลแวร์ในระยะถัดไปเข้าควบคุมเครื่อง
ยุทธวิธี: องค์กรที่มีการใช้งาน PHP ต้องเร่งตรวจสอบเวอร์ชันและอัปเดตแพตช์บรรเทาช่องโหว่ CVE-2026-109618 และ CVE-2026-109619 โดยทันที พร้อมตั้งกฎ WAF สกัดกั้นไอพีแอดเดรสในกลุ่ม Staging Infrastructure ที่ระบุในรายงาน
สายการบินพาณิชย์และระบบบริการภาคพื้น, บริษัทขนส่งสินค้าทางเรือและท่าเทียบเรือ, บริษัทตัวแทนจัดการขนส่งระหว่างประเทศ (Freight Forwarders), และระบบอีคอมเมิร์ซโลจิสติกส์
หน่วยวิจัยความมั่นคงปลอดภัย Acronis TRU ออกรายงานวิเคราะห์เชิงลึกเกี่ยวกับกลุ่มอาชญากรไซเบอร์ที่ให้บริการแรนซัมแวร์ (Ransomware-as-a-Service: RaaS) ภายใต้ชื่อ The Gentlemen ซึ่งมีความเคลื่อนไหวโจมตีองค์กรในภาคการขนส่ง (Transportation) โลจิสติกส์ และการผลิตอย่างต่อเนื่อง ตัวมัลแวร์ได้รับการพัฒนาด้วยภาษา Go เพื่อความเร็วในการเข้ารหัสข้อมูล และใช้วิธีการ Bring Your Own Vulnerable Driver (BYOVD) โดยโหลดไดรเวอร์ระบบปฏิบัติการ Windows ที่มีช่องโหว่และมีลายเซ็นดิจิทัลถูกต้อง เข้าสู่ระดับเคอร์เนลเพื่อบังคับยุติโพรเซสของซอฟต์แวร์ป้องกันไวรัสและ EDR ในระดับลึก ก่อนเริ่มกระบวนการลบชาโดว์ก๊อปปี้และเข้ารหัสไฟล์ฐานข้อมูลของระบบจัดการขนส่งสินค้า
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ประกอบการด้านการขนส่งและโลจิสติกส์ในไทย - บริษัทขนส่งทางบกและผู้ให้บริการโลจิสติกส์ไทยที่พึ่งพาการป้องกันด้วย EDR เพียงชั้นเดียวโดยไม่ได้เปิดใช้นโยบายควบคุมการโหลดไดรเวอร์ (Driver Blocklist) มีความเสี่ยงที่จะถูกปิดการทำงานของระบบรักษาความปลอดภัย การถูกเข้ารหัสระบบบริหารการจ่ายงาน (Fleet Dispatch) และระบบคลังสินค้าอาจส่งผลให้การกระจายสินค้าหยุดชะงักอย่างรุนแรง
ยุทธศาสตร์: ผู้ก่อภัยคุกคามหันมาใช้กลยุทธ์ทำลายกลไกการป้องกันของระบบปลายทาง (Defense Evasion) ก่อนลงมือเข้ารหัส เพื่อเพิ่มโอกาสในการกรรโชกทรัพย์และลดความสามารถในการกู้คืนระบบของเหยื่อ
ยุทธการ: เทคนิค BYOVD ช่วยให้ผู้โจมตีที่มีสิทธิ์ระดับแอดมินสามารถข้ามการจำกัดสิทธิ์ใน User Mode และเข้าแทรกแซงการทำงานของเคอร์เนลเพื่อปิดเซอร์วิสของ EDR ได้อย่างเบ็ดเสร็จ
ยุทธวิธี: ฝ่ายไอทีต้องเปิดใช้งาน Microsoft Vulnerable Driver Blocklist หรือเปิดใช้ฟีเจอร์ Hypervisor-Protected Code Integrity (HVCI) บนระบบ Windows เพื่อสกัดกั้นการติดตั้งไดรเวอร์ที่มีช่องโหว่เข้าสู่ระบบ
ผู้ให้บริการขนส่งและกระจายสินค้าทางบก, ภาคการผลิตและซัพพลายเชน, และโครงสร้างพื้นฐานสถานีขนส่งสินค้า
รายงานข่าวกรองภัยคุกคามประจำสัปดาห์จาก CYFIRMA เปิดเผยกรณีศึกษาความเสี่ยงด้านความมั่นคงปลอดภัยของระบบเทคโนโลยีเชิงปฏิบัติการ (Operational Technology: OT) ในเครือข่ายห่วงโซ่ความเย็น (Cold Chain Logistics) ซึ่งใช้สำหรับขนส่งและกักเก็บสินค้าควบคุมอุณหภูมิ เช่น ยารักษาโรค วัคซีน และอาหารสด โดยตรวจพบกิจกรรมการแทรกซึมผ่านระบบเชื่อมต่อควบคุมอาคารและคลังสินค้า (Building Management System: BMS) และคอนโทรลเลอร์ควบคุมความเย็นทางอุตสาหกรรม โดยผู้โจมตีมุ่งเน้นการเจาะระบบทางไกลและปรับเปลี่ยนพารามิเตอร์ของค่าอุณหภูมิ ตลอดจนการระงับการแจ้งเตือนเมื่ออุณหภูมิเกินเกณฑ์มาตรฐาน ซึ่งการบ่อนทำลายลักษณะนี้ส่งผลให้สินค้าเกิดการเน่าเสียก่อนถึงปลายทางโดยที่ผู้ดูแลระบบไม่สามารถรับรู้ได้ทันท่วงที
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ประกอบการด้านการขนส่งและโลจิสติกส์ในไทย - ประเทศไทยเป็นศูนย์กลางการส่งออกสินค้าเกษตร อาหารแปรรูปแช่แข็ง และการกระจายเวชภัณฑ์ในภูมิภาคอาเซียน การพึ่งพาระบบเซ็นเซอร์ IoT และระบบควบคุมอุณหภูมิอัตโนมัติในคลังสินค้าและตู้คอนเทนเนอร์ควบคุมอุณหภูมิ (Reefer Containers) กำลังเติบโตอย่างรวดเร็ว หากระบบควบคุมเหล่านี้เชื่อมต่ออินเทอร์เน็ตโดยขาดการแบ่งแยกเครือข่าย OT/IT อาจตกเป็นเป้าหมายของการบ่อนทำลายเพื่อสร้างความเสียหายทางเศรษฐกิจ
ยุทธศาสตร์: การพุ่งเป้าไปที่ระบบควบคุมสภาพแวดล้อมทางกายภาพในห่วงโซ่อุปทาน แสดงถึงวิวัฒนาการของภัยคุกคามไซเบอร์ที่มุ่งสร้างความเสียหายต่อสินค้าจริงในโลกกายภาพโดยตรง
ยุทธการ: ผู้โจมตีอาศัยช่องโหว่ของโปรโตคอลในระบบอัตโนมัติอุตสาหกรรมและการกำหนดค่าระบบรีโมตคอนโทรลที่ไม่รัดกุมในการเข้าไปเปลี่ยนแปลงค่าคอนฟิกของระบบทำความเย็น
ยุทธวิธี: ผู้บริหารจัดการคลังสินค้าและระบบขนส่งเย็นต้องดำเนินการแบ่งแยกโซนเครือข่ายระหว่างระบบ IT องค์กรและระบบ OT ควบคุมอุณหภูมิ (Network Segmentation) พร้อมตั้งระบบมอนิเตอร์พารามิเตอร์แบบ Out-of-band ที่แยกขาดจากระบบจัดการหลัก
ผู้ให้บริการโลจิสติกส์ห่วงโซ่ความเย็น (Cold Chain), คลังสินค้าแช่แข็งและห้องเย็น, การขนส่งเวชภัณฑ์และเภสัชภัณฑ์, และผู้ส่งออกสินค้าเกษตรและอาหารสด