Banking & Financial Services Sector Weekly Report
ห้วงเวลา: 26 ตุลาคม - 1 พฤศจิกายน 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 26 ตุลาคม ถึง 1 พฤศจิกายน 2569 ภาพรวมสถานการณ์ภัยคุกคามทางไซเบอร์ในภาคการเงินและการธนาคาร (FIN) ทวีความรุนแรงขึ้นสู่ระดับวิกฤตสูงสุด โดยตรวจพบปฏิบัติการโจมตีที่มีมูลค่าความเสียหายทางการเงินสูงเป็นประวัติการณ์และการแทรกซึมห่วงโซ่อุปทานซอฟต์แวร์ที่มุ่งเป้าโครงสร้างพื้นฐานธุรกรรมดิจิทัล ประเด็นแรก ReversingLabs และ FBI ตรวจสอบพบเหตุการณ์โจรกรรมเงินคริปโตเคอร์เรนซีกว่า 6.34 พันล้านดอลลาร์สหรัฐจาก Hot Wallets ของศูนย์ซื้อขาย Binance ซึ่งมีเบื้องหลังเชื่อมโยงกับกลุ่มภัยคุกคามสัญชาติเกาหลีเหนือ TraderTraitor (Lazarus Group) ผ่านการหลอกสัมภาษณ์งานวิศวกรเพื่อฝังโทรจันในเครื่องมือ pyenv แล้วเคลื่อนย้ายสิทธิ์ในแนวนอนไปสั่งลงนามธุรกรรมและตั้งค่า EIP-7702 บนกระเป๋าเงิน ประเด็นที่สอง Yeeth Security ตรวจพบการโจมตีห่วงโซ่อุปทานสคริปต์หน้าเว็บของ DebugBear บนแพลตฟอร์ม Polymarket ส่งผลให้คนร้ายยืมสิทธิ์ Signer ในหน่วยความจำของเบราว์เซอร์ไปโอนสินทรัพย์คริปโตมูลค่า 2.5 ล้านดอลลาร์สหรัฐ ประเด็นที่สาม Group-IB เปิดโปงแคมเปญ CyberDakait ที่ใช้การหลอกลวงทางโทรศัพท์ (Vishing) ร่วมกับ SMS หลอกให้เหยื่อติดตั้งโทรจันบน Android ถึง 7 ตระกูล ดักจับรหัสผ่าน ข้อมูลบัตรเครดิต และข้อความ SMS ได้กว่า 7.6 ล้านข้อความจากอุปกรณ์กว่า 17,960 เครื่อง และประเด็นสุดท้าย SlowMist ตรวจพบการแทรกแซงสคริปต์ระบบแชทบริการลูกค้า Udesk เพื่อขโมยเซสชันและสับเปลี่ยนแอดเดรสสำหรับฝากเงินคริปโตเคอร์เรนซี ทำให้สถาบันการเงินและศูนย์ซื้อขายสินทรัพย์ดิจิทัลต้องยกระดับการควบคุมห่วงโซ่อุปทานโค้ดและสภาพแวดล้อมธุรกรรมอย่างเร่งด่วน
ทีมนักวิจัย ReversingLabs เผยแพร่ผลวิเคราะห์เหตุการณ์โจรกรรมสินทรัพย์ดิจิทัลครั้งประวัติศาสตร์มูลค่ากว่า 6.34 พันล้านดอลลาร์สหรัฐ (ราว 2.2 แสนล้านบาท) จาก Hot Wallets ของศูนย์ซื้อขายคริปโตเคอร์เรนซี Binance เมื่อวันที่ 29 ตุลาคม 2569 โดย FBI และ ReversingLabs ประเมินว่ามีความเชื่อมโยงกับกลุ่มภัยคุกคามสัญชาติเกาหลีเหนือ TraderTraitor (Lazarus Group - G0032) คนร้ายเริ่มต้นจากการใช้อัตลักษณ์บุคคลปลอมหลอกสัมภาษณ์งานวิศวกรผ่านแพลตฟอร์ม LinkedIn เพื่อให้รันแบบทดสอบโค้ดที่แอบฝังโทรจันดัดแปลงเครื่องมือ pyenv บนเครื่อง macOS จากนั้นใช้เครื่องมือ AI ภายในองค์กรเคลื่อนย้ายสิทธิ์ในแนวนอนเพื่อเข้าถึงโทเคนสร้างคอนเทนเนอร์บนระบบคลาวด์ และสั่งลงนามธุรกรรมกว่า 50 รายการผ่านบริการ Wallet Signing Service ภายนอกโฟลว์ถอนเงินปกติ โดยใช้การมอบหมายสิทธิ์ EIP-7702 หลบเลี่ยงการเพิกถอนสิทธิ์ของระบบ Multi-Party Computation (MPC) ก่อนจะกวาดสินทรัพย์เหรียญ XRP, SOL, OP, BTC และ ETH ออกไปภายในเวลาไม่ถึง 4 ชั่วโมง
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อศูนย์ซื้อขายสินทรัพย์ดิจิทัลและสถาบันการเงินในไทย - ผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลภายใต้การกำกับของ ก.ล.ต. และสถาบันการเงินไทยที่พัฒนาระบบคัสโตดีหรือบริการ Web3 มีความเสี่ยงที่จะตกเป็นเป้าหมายของขบวนการจารกรรมหลอกลวงจ้างงาน (Social Engineering Job Lures) เพื่อเจาะทะลุสภาพแวดล้อม DevOps ของวิศวกรและเข้าควบคุมระบบบริหารจัดการกุญแจกระเป๋าเงินดิจิทัล
ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐ (APT) เปลี่ยนผ่านเป้าหมายจากการโจมตีช่องโหว่ Smart Contract สู่การเจาะลึกห่วงโซ่อุปทานสภาพแวดล้อมการพัฒนา (DevOps Supply Chain) เพื่อลักลอบสูบสภาพคล่องของสถาบันการเงินระดับโลก
ยุทธการ: ฝ่ายโจมตีผสานการวิศวกรรมสังคมเข้ากับการแทรกซึมเครื่องมือรันไทม์ (pyenv) และขยายสิทธิ์ผ่านเครื่องมือ AI ภายใน เพื่อหลีกเลี่ยงกลไกถอนเงินมาตรฐานและหน่วงเวลาการตอบสนองของระบบกระจายอำนาจลงนามแบบ MPC
ยุทธวิธี: จำกัดสิทธิ์การรันโค้ดภายนอกบนเครื่องวิศวกร, บังคับใช้ระบบ Hardware Token ยืนยันตัวตน, บล็อกการติดต่อกับไอพี 176.97.114[.]232, และเฝ้าระวังโดเมนปลอมแปลง registry.hashicorp-terraform[.]io และ registry.hashicorp-aws[.]com
ศูนย์ซื้อขายสินทรัพย์ดิจิทัล (Crypto Exchanges), สถาบันการเงิน Web3, วิศวกรระบบ DevOps, และผู้ให้บริการคลาวด์
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Yeeth Security เปิดเผยการวิเคราะห์เหตุการณ์โจมตีห่วงโซ่อุปทานสคริปต์บนเว็บ (Client-Side Supply Chain Attack) ที่ส่งผลกระทบต่อแพลตฟอร์มตลาดทำนายผลแบบกระจายศูนย์ Polymarket เมื่อวันที่ 29 ตุลาคม 2569 โดยสคริปต์วัดความเร็วการแสดงผลหน้าเว็บภายนอก (Real User Monitoring - RUM) ของผู้ให้บริการ DebugBear ที่โฮสต์บน cdn.debugbear[.]com/C7xcKKrjUnXK.js ถูกคนร้ายเข้าควบคุมและสับเปลี่ยนเป็นโค้ด JavaScript อันตรายขนาด 15,187 ไบต์ โค้ดดังกล่าวจะอ่านพารามิเตอร์ยืนยันตัวตนใน localStorage และท่องผังองค์ประกอบ React ภายในเบราว์เซอร์ของเหยื่อเพื่อเข้าถึงอ็อบเจกต์การเทรดและยืมสิทธิ์ Signer ที่กำลังล็อกอินอยู่ จากนั้นจึงสร้างคำสั่งซื้อขายและโอนสินทรัพย์ผ่าน Relayer ปกติของ Polymarket ส่งผลให้มีการขโมยเหรียญ POL กว่า 28.6 ล้านเหรียญและโทเคนอื่นๆ คิดเป็นมูลค่ารวมกว่า 2.5 ล้านดอลลาร์สหรัฐ ภายในเวลาประมาณ 1 ชั่วโมง ก่อนที่ทีมงานจะตัดการเชื่อมต่อสคริปต์ดังกล่าวออก
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อบริการฟินเทคและธนาคารออนไลน์ในไทย - สถาบันการเงินและผู้พัฒนาแอปพลิเคชันเว็บธุรกรรมในประเทศไทยที่มีการฝังสคริปต์วิเคราะห์สถิติ (RUM), แชทบอท, หรือเครื่องมือวัดผลจากภายนอก มีความเสี่ยงที่โค้ดบุคคลที่สามจะถูกดัดแปลงเพื่อขโมยเซสชันหรือสั่งธุรกรรมภายใต้บริบทความน่าเชื่อถือเดียวกับผู้ใช้งาน (Same-Origin Trust) โดยไม่มีการแจ้งเตือน
ยุทธศาสตร์: การพึ่งพาโค้ดจากผู้ให้บริการภายนอกบนหน้าจอธุรกรรมทางการเงินโดยขาดการกักกันสภาพแวดล้อม กลายเป็นช่องทางหลักที่คนร้ายใช้หลบเลี่ยงการตรวจสอบของระบบความปลอดภัยฝั่งเซิร์ฟเวอร์
ยุทธการ: ผู้โจมตีไม่จำเป็นต้องขโมย Private Key หรือรหัสผ่าน แต่ใช้วิธีดักจับ Signer ที่กำลังออนไลน์ในหน่วยความจำของเบราว์เซอร์ เพื่อส่งคำสั่งโอนเงินผ่านระบบ API Relayer ตามปกติ
ยุทธวิธี: บังคับใช้นโยบาย Content Security Policy (CSP) อย่างเคร่งครัด, ตรวจสอบความถูกต้องของไฟล์สคริปต์ด้วย Subresource Integrity (SRI), และระงับการเชื่อมต่อไปยัง cdn.debugbear[.]com และ data.debugbear[.]com
แพลตฟอร์ม DeFi, ศูนย์ซื้อขายสินทรัพย์ดิจิทัล, เว็บไซต์ธนาคารพาณิชย์ และแอปพลิเคชันฟินเทค
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Group-IB เผยแพร่รายงานวิเคราะห์แคมเปญมัลแวร์ทางการเงินขนาดใหญ่ในชื่อ "CyberDakait" ซึ่งมุ่งเป้าโจมตีผู้ใช้งานสถาบันการเงินและแอปพลิเคชันธนาคารผ่านโทรจันบนระบบปฏิบัติการ Android มากถึง 7 ตระกูล ได้แก่ GhostBat, Cyb3rx, D-Passive, D-Shine, Tenxen, Appkjl และ Godz พร้อมทั้งแอบฝังโมดูลขุดเหรียญคริปโต XMRig คนร้ายใช้กลลวงทางโทรศัพท์ (Vishing) และข้อความสั้น (Smishing) แอบอ้างเป็นเจ้าหน้าที่ธนาคารแจ้งยกเลิกบริการประกันบัตรเครดิตเพื่อหลอกให้เหยื่อติดตั้งไฟล์ APK อันตรายที่ฝากไว้บน GitHub ตัวมัลแวร์จะขอสิทธิ์ Accessibility Services เพื่อแสดงหน้าต่างหลอกซ้อนทับ (Overlay Attack) ขโมยข้อมูลล็อกอินบัตรเครดิต รูปถ่ายหน้า-หลังบัตร และดักรับรหัส OTP จากข้อความ SMS โดยระบบตรวจพบอุปกรณ์ที่ติดมัลแวร์แล้วไม่น้อยกว่า 17,960 เครื่อง และข้อความ SMS ถูกดักจับไปกว่า 7.6 ล้านข้อความ
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ใช้งานโมบายแบงก์กิ้งและธนาคารพาณิชย์ในไทย - รูปแบบการหลอกลวงผ่านโทรศัพท์และ SMS เพื่อให้ติดตั้งไฟล์แอปพลิเคชันนอกสโตร์ (APK Sideloading) มีความคล้ายคลึงอย่างยิ่งกับพฤติกรรมของแก๊งคอลเซ็นเตอร์ที่ระบาดในไทย ซึ่งอาจมีการนำซอร์สโค้ดมัลแวร์และเทคนิคดักจับ SMS ดังกล่าวมาปรับแต่งโจมตีผู้ใช้งานแอปพลิเคชันธนาคารในไทย
ยุทธศาสตร์: เครือข่ายอาชญากรรมไซเบอร์ทางการเงินยกระดับจากการหลอกลวงทั่วไป มาเป็นการรวมศูนย์พัฒนาโทรจันโมบายแบบครบวงจรเพื่อขโมยข้อมูลระบุตัวตนและลักลอบสูบเงินจากบัญชีลูกค้ารายย่อย
ยุทธการ: ฝ่ายโจมตีอาศัยพื้นที่ฝากโค้ด GitHub เป็นช่องทางส่งมอบตัวปล่อยมัลแวร์ (Dropper) และใช้เซิร์ฟเวอร์ C2 หลากหลายทั้ง Firebase, บอท Telegram และแผงควบคุมส่วนตัวเพื่อเพิ่มความทนทานต่อการปิดกั้น
ยุทธวิธี: ผู้ใช้งานต้องปิดการอนุญาตติดตั้งแอปพลิเคชันจากแหล่งไม่รู้จัก, สถาบันการเงินต้องพัฒนาระบบตรวจจับสิทธิ์ Accessibility Services ที่ผิดปกติ, และบล็อกการเชื่อมต่อไปยัง 81service[.]icu, 81service[.]in, imanagec[.]online และไอพี 64.89.163[.]3
ธนาคารพาณิชย์, สถาบันการเงิน, ผู้ให้บริการระบบชำระเงิน, และผู้ใช้งานโทรศัพท์มือถือระบบ Android
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัยความมั่นคงปลอดภัยบล็อกเชน SlowMist ตรวจพบเหตุการณ์โจมตีห่วงโซ่อุปทานที่เกิดขึ้นกับระบบบริการลูกค้าสัมพันธ์ Udesk ซึ่งเป็นผู้ให้บริการวิดเจ็ตแชทออนไลน์ที่แพลตฟอร์มการเงินและศูนย์ซื้อขายคริปโตเคอร์เรนซีหลายแห่งนำไปติดตั้งใช้งาน คนร้ายสามารถเข้าแทรกแซงและฝังโค้ด JavaScript อันตรายลงในสคริปต์ของ Udesk เมื่อผู้ใช้งานเปิดหน้าเว็บที่มีการติดตั้งวิดเจ็ต สคริปต์จะทำการลักลอบดึงข้อมูลเซสชัน, คุกกี้, ข้อมูลใน localStorage/sessionStorage และข้อมูลที่พิมพ์ลงในแบบฟอร์ม นอกจากนี้บนหน้าเว็บสำหรับการฝากเงินคริปโต สคริปต์ยังคอยตรวจสอบข้อมูลในคลิปบอร์ด (Clipboard Hijacking) และทำการสับเปลี่ยนแอดเดรสสำหรับการฝากเงิน (Deposit/Transfer Address) ให้กลายเป็นกระเป๋าเงินของคนร้าย เพื่อผันเงินเข้าสู่บัญชีผู้โจมตีโดยตรงโดยที่เหยื่อไม่ทันสังเกตเห็น
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ให้บริการสินทรัพย์ดิจิทัลและอีคอมเมิร์ซในไทย - ผู้ให้บริการเว็บการเงิน ธนาคาร หรือศูนย์ซื้อขายสินทรัพย์ดิจิทัลในประเทศไทยที่ติดตั้งระบบ Live Chat หรือระบบสนับสนุนลูกค้าของบุคคลที่สาม มีความเสี่ยงต่อการถูกแทรกแซงโค้ดต้นทางเพื่อขโมยข้อมูลระบุตัวตนของผู้ใช้งาน หรือหลอกเปลี่ยนแอดเดรสการโอนเงินของผู้ใช้งานบนหน้าจอธุรกรรม
ยุทธศาสตร์: ซอฟต์แวร์สนับสนุนลูกค้าจากภายนอก (Customer Support Widgets) มักถูกมองข้ามในการประเมินความมั่นคงปลอดภัย แม้ว่าจะได้รับสิทธิ์ทำงานบนหน้าเว็บที่มีการทำธุรกรรมที่มีความสำคัญทางการเงิน
ยุทธการ: ผู้โจมตีใช้เทคนิค Typo-squatting จดโดเมนปลอมแปลงและอาศัยการเข้าถึงระบบจัดการเนื้อหาเพื่อแทรกโค้ดดักจับข้อมูลคลิปบอร์ดและสับเปลี่ยนเลขกระเป๋าเงินแบบเรียลไทม์ผ่านฟังก์ชัน Event Listener
ยุทธวิธี: แยกสภาพแวดล้อมของวิดเจ็ตสนทนาออกจากหน้าจอธุรกรรมการเงินด้วย Iframe Sandbox, กำหนดนโยบายความปลอดภัยของเนื้อหา (CSP) ห้ามโหลดสคริปต์จากโดเมนแปลกปลอม, และบล็อกโดเมน udeskqlobal[.]com รวมถึงไฟล์ deeps.js และ c.php
ศูนย์ซื้อขายคริปโตเคอร์เรนซี, สถาบันการเงิน, แพลตฟอร์มพาณิชย์อิเล็กทรอนิกส์, และผู้ใช้งานธุรกรรมบนเว็บเบราว์เซอร์
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง