Weekly Cyber Threat Intelligence Bulletin - Government & Defense Sector
ห้วงเวลา: 26 ตุลาคม - 1 พฤศจิกายน 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 26 ตุลาคม ถึง 1 พฤศจิกายน 2569 สถานการณ์ภัยคุกคามทางไซเบอร์ต่อกลุ่มอุตสาหกรรมภาครัฐและความมั่นคงทวีความซับซ้อนและเข้มข้นขึ้นอย่างมีนัยสำคัญ โดยภาพรวมมุ่งเน้นไปที่การจารกรรมข้อมูลเชิงยุทธศาสตร์และการแทรกซึมระยะยาวในโครงสร้างพื้นฐานระดับชาติ ไฮไลต์สำคัญเริ่มจากการค้นพบเฟรมเวิร์ก "NetamLoader" โดยทีมนักวิจัย Kaspersky ซึ่งบ่งชี้ถึงการโจมตีห่วงโซ่อุปทานต่อระบบปฏิบัติการ Windows 10 รุ่นปรับแต่งเฉพาะสำหรับหน่วยงานภาครัฐในเอเชีย ผ่านการฉีดโค้ด AppDomainManager และ XAML ขณะที่ในระดับภูมิภาคอาเซียน ทีมนักวิจัย Hunt.io ตรวจพบเซิร์ฟเวอร์เปิดโฟลเดอร์สาธารณะที่เปิดเผยข้อมูลสำรองฐานข้อมูลระบบแรงงานต่างด้าวของหน่วยงานรัฐบาลฟิลิปปินส์กว่า 68 GB ซึ่งถูกลักลอบคัดลอกออกไปผ่านเครื่องมือยกระดับสิทธิ์ "Wrqsnx" (GodPotato ดัดแปลง) ด้านภัยคุกคามจากกลุ่มแฮกเกอร์ระดับรัฐ (Nation-State APT) ทาง AhnLab ASEC เผยแพร่รายงานระบุว่ากลุ่ม Kimsuky จากเกาหลีเหนือยังคงโจมตีหน่วยงานนโยบายและความมั่นคงอย่างต่อเนื่องด้วยอีเมลสเปียร์ฟิชชิ่งแนบไฟล์ LNK และฝังแบ็กดอร์ XenoRAT นอกจากนี้ทีมนักวิจัย PT ESC ยังได้เปิดโปงพฤติกรรมของกลุ่ม StingyBasilisk ที่แฝงตัวในเครือข่ายรัฐผ่านเทคนิคคงทนถาวรระดับลึกอย่าง COM Hijacking และ Windows Time Providers พร้อมทั้งสร้างเครือข่ายควบคุมผ่าน Named Pipes ทำให้ระบบป้องกันแบบดั้งเดิมตรวจจับได้ยากยิ่ง หน่วยงานภาครัฐและความมั่นคงจึงจำเป็นต้องเฝ้าระวังความสมบูรณ์ของอิมเมจระบบ ตรวจสอบสิทธิ์บัญชีบริการ และยกระดับการตรวจจับความผิดปกติภายในเครือข่ายอย่างเร่งด่วน
ทีมนักวิจัยระดับโลก Kaspersky GReAT เปิดเผยการตรวจพบห่วงโซ่การโจมตีระดับสูงและเฟรมเวิร์กโหลดมัลแวร์ .NET ตัวใหม่ในชื่อ "NetamLoader" ซึ่งมีพฤติกรรมบ่งชี้ถึงการโจมตีห่วงโซ่อุปทาน (Supply-chain Attack) พุ่งเป้าระบบปฏิบัติการ Windows 10 รุ่นปรับแต่งเฉพาะ (Customized Build) ที่ใช้งานจำเพาะในหน่วยงานภาครัฐของประเทศแถบเอเชีย คนร้ายใช้ไฟล์ .config ที่บรรจุคำสั่ง AppDomainManager Injection เพื่อลักลอบโหลด .NET Assembly อันตรายโดยไม่ต้องพึ่งพาไฟล์ปฏิบัติการแปลกปลอม โดยไฟล์คอนฟิกดังกล่าวถูกบรรจุมาในไฟล์ CAB archive ที่วางไว้ในไดเรกทอรีระบบ ตัวเฟรมเวิร์กยังใช้ XAML markup ในการประมวลผลเพย์โหลดในหน่วยความจำและเชื่อมต่อไปยังเซิร์ฟเวอร์ควบคุม (C2) ภายนอกผ่านโดเมนอำพราง openaigpt4v[.]com ปัจจุบันยังไม่สามารถระบุตัวกลุ่ม APT ผู้ลงมือได้อย่างแน่ชัด
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อหน่วยงานภาครัฐและกองทัพไทย - แม้ยังไม่พบหลักฐานการโจมตีหน่วยงานของไทยโดยตรง แต่หน่วยงานความมั่นคง ศูนย์ข้อมูลภาครัฐ และโครงสร้างพื้นฐานสำคัญที่มีการจัดทำ Windows Custom Image หรือใช้งานซอฟต์แวร์ระบบที่ปรับแต่งเฉพาะทาง มีความเสี่ยงที่จะตกเป็นเป้าหมายของการแทรกแซงห่วงโซ่อุปทานลักษณะเดียวกัน หากไม่มีการตรวจสอบลายเซ็นดิจิทัลและความสมบูรณ์ของไฟล์คอนฟิก .NET ในระบบ
ยุทธศาสตร์: ภัยคุกคามแบบพุ่งเป้าห่วงโซ่อุปทานระบบปฏิบัติการเฉพาะทางของรัฐ สะท้อนการยกระดับการจารกรรมทางไซเบอร์ที่มุ่งเจาะลึกระบบราชการระดับชาติผ่านการดัดแปลงซอฟต์แวร์และคอนฟิกูเรชันตั้งแต่ต้นทาง
ยุทธการ: ผู้โจมตีใช้เทคนิค AppDomainManager Injection ร่วมกับการซ่อนโค้ดในไฟล์ XAML ทำให้สามารถโหลดเพย์โหลดในบริบทของโพรเซสระบบที่น่าเชื่อถือเพื่อหลบเลี่ยงกลไก EDR และการตรวจจับตามพฤติกรรม
ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องตรวจสอบการสร้างไฟล์ .config ผิดปกติในไดเรกทอรีระบบ ตรวจสอบการใช้งาน AppDomainManager ที่ผิดเงื่อนไข และบล็อกการสื่อสารเครือข่ายไปยังโดเมนต้องสงสัย openaigpt4v[.]com
หน่วยงานราชการส่วนกลาง, กระทรวงความมั่นคง, หน่วยงานความปลอดภัยแห่งชาติ และศูนย์เทคโนโลยีสารสนเทศภาครัฐในเอเชีย
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Hunt.io ตรวจพบและวิเคราะห์เซิร์ฟเวอร์พักข้อมูล (Staging Server) ที่เปิดโฟลเดอร์สาธารณะ (Open Directory) บนอินเทอร์เน็ตของกลุ่มผู้โจมตี โดยพบไฟล์สำรองฐานข้อมูลของหน่วยงานภาครัฐฟิลิปปินส์ที่ดูแลระบบแรงงานไปทำงานต่างประเทศจำนวน 27 ไฟล์ (.bak) รวมขนาดกว่า 68.837 GiB ซึ่งถูกลักลอบคัดลอกออกมาสำเร็จในเวลาไม่ถึง 24 นาที เมื่อวันที่ 6 กันยายน 2569 นอกจากนี้บนเซิร์ฟเวอร์ยังพบชุดเครื่องมือโจมตีประกอบด้วย "Wrqsnx" ซึ่งเป็นเครื่องมือ GodPotato สำหรับยกระดับสิทธิ์ผ่าน DCOM ที่ถูกนำมารีแบรนด์ใหม่, PowerShell stager, และสภาพแวดล้อม Impacket สำหรับเคลื่อนย้ายข้ามโฮสต์ โดยทาง Hunt.io ได้ประสานงานแจ้งเตือนหน่วยงาน CERT แห่งชาติของฟิลิปปินส์แล้วก่อนเผยแพร่รายงาน
ความเสี่ยงระดับภูมิภาคอาเซียนและเป็นบทเรียนเตือนภัยสำคัญต่อหน่วยงานภาครัฐของไทย - โดยเฉพาะกระทรวงแรงงานและกรมการจัดหางาน ซึ่งเป็นผู้ดูแลระบบทะเบียนแรงงานไทยไปต่างประเทศและแรงงานข้ามชาติที่มีโครงสร้างระบบฐานข้อมูลคล้ายคลึงกัน หากไม่มีการจำกัดสิทธิ์ของ Service Accounts และไม่มีการเข้ารหัสไฟล์สำรองฐานข้อมูล อาจเปิดช่องให้ผู้ไม่ประสงค์ดีใช้ช่องโหว่ LPE ขโมยข้อมูลสำรองทั้งชุดเช่นเดียวกัน
ยุทธศาสตร์: ข้อมูลทะเบียนราษฎร์และประวัติแรงงานของหน่วยงานรัฐเป็นเป้าหมายที่มีมูลค่าสูงสำหรับกลุ่มอาชญากรไซเบอร์และขบวนการค้ามนุษย์ในการนำข้อมูลส่วนบุคคลไปสวมรอยหรือกรรโชกทรัพย์
ยุทธการ: ผู้โจมตีใช้เครื่องมือยกระดับสิทธิ์ตระกูล Potato ดัดแปลงเพื่อแปลงสิทธิ์จากบัญชีบริการฐานข้อมูลขึ้นเป็น SYSTEM ภายในเครื่อง ก่อนใช้คำสั่งคัดลอกไฟล์สำรองขนาดใหญ่ออกไปยังเซิร์ฟเวอร์ภายนอกอย่างรวดเร็ว
ยุทธวิธี: ต้องถอดสิทธิ์ SeImpersonatePrivilege ออกจากบัญชีบริการที่ไม่มีความจำเป็น, บังคับเข้ารหัสไฟล์สำรองฐานข้อมูล SQL Server, และตรวจสอบปริมาณการถ่ายโอนข้อมูลขนาดใหญ่ผิดปกติออกนอกเครือข่าย
หน่วยงานภาครัฐด้านแรงงาน, ระบบทะเบียนแรงงานข้ามชาติ, และระบบฐานข้อมูลภาครัฐในภูมิภาคเอเชียตะวันออกเฉียงใต้
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ศูนย์ตอบสนองภัยคุกคาม AhnLab ASEC เผยแพร่รายงานแนวโน้มการโจมตี APT ประจำเดือนกันยายนและปลายเดือนตุลาคม 2569 ในเกาหลีใต้ โดยระบุว่ากลุ่มภัยคุกคาม Kimsuky ที่เชื่อมโยงกับเกาหลีเหนือยังคงดำเนินการโจมตีอย่างต่อเนื่องด้วยการส่งอีเมลสเปียร์ฟิชชิ่งล่อลวงในหัวข้อเกี่ยวกับราชการและความมั่นคง คนร้ายแนบไฟล์ชอร์ตคัต (.LNK) ที่ซ่อนสคริปต์ PowerShell และข้อมูลไบนารีแบบ HEX คั่นด้วยรหัสมาร์กเกอร์เฉพาะ เมื่อเหยื่อเปิดไฟล์ สคริปต์จะแสดงเอกสารล่อลวง (Decoy Document) พร้อมทั้งดาวน์โหลดมัลแวร์ควบคุมระยะไกลโอเพนซอร์ส XenoRAT หรือแบ็กดอร์เพื่อขโมยข้อมูล นอกจากนี้ยังพบรูปแบบการโจมตีที่วางไฟล์ DLL ใน %ProgramData% แล้วเรียกใช้ผ่านยูทิลิตีระบบ regsvr32.exe เพื่อหลบเลี่ยงการตรวจจับ
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อเจ้าหน้าที่รัฐและนักวิจัยไทย - บุคลากรในกระทรวงการต่างประเทศ สภาความมั่นคงแห่งชาติ และสถาบันวิจัยด้านความสัมพันธ์ระหว่างประเทศ ที่ติดต่อประสานงานกับองค์กรในภูมิภาคเอเชียตะวันออก มีความเสี่ยงที่จะตกเป็นเป้าหมายของอีเมลฟิชชิ่งแนบไฟล์ชอร์ตคัตปลอมแปลงในหัวข้อนโยบายหรือการประชุมระดับภูมิภาค เพื่อใช้เป็นสะพานเชื่อมเข้าสู่เครือข่ายราชการ
ยุทธศาสตร์: ปฏิบัติการจารกรรมของกลุ่ม Kimsuky มีเป้าหมายชัดเจนในการลักลอบรวบรวมข้อมูลข่าวกรองด้านนโยบายการต่างประเทศและความมั่นคง โดยอาศัยความประมาทของผู้ใช้งานในการเปิดเอกสารแนบ
ยุทธการ: ผู้โจมตีใช้เทคนิค Living-off-the-Land (LotL) ผสานสคริปต์ PowerShell และคำสั่งระบบ regsvr32.exe ในการรันมัลแวร์ควบคุมระบบ XenoRAT เพื่อลดร่องรอยและหลบเลี่ยงระบบตรวจจับมัลแวร์ขั้นต้น
ยุทธวิธี: ตั้งค่าบล็อกการรับส่งไฟล์นามสกุล .lnk ผ่านระบบอีเมลเกตเวย์ทั้งหมด และเปิดใช้งานการตรวจสอบกระบวนการทำงานของ regsvr32.exe ที่พยายามโหลดโมดูลจากโฟลเดอร์ชั่วคราวหรือโฟลเดอร์ข้อมูลแอปพลิเคชัน
หน่วยงานภาครัฐด้านการต่างประเทศ, หน่วยงานนโยบายความมั่นคง, สถาบันวิจัยนโยบายสาธารณะ, และบุคลากรทางการทูต
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิเคราะห์ภัยคุกคามจาก Positive Technologies (PT ESC) เปิดเผยผลการสืบสวนเชิงลึกเกี่ยวกับกลุ่มจารกรรมไซเบอร์ขั้นสูง "StingyBasilisk" ซึ่งมีความเคลื่อนไหวตั้งแต่ปี 2022 โดยมุ่งเป้าโจมตีเครือข่ายองค์กรภาครัฐและอุตสาหกรรมยุทธศาสตร์ กลุ่มคนร้ายสามารถคงสถานะในระบบได้ยาวนานโดยพรางตัวเป็นซอฟต์แวร์ความปลอดภัย และใช้เทคนิคคงทนถาวรระดับลึกที่ไม่พบบ่อย ได้แก่ การทำ COM Hijacking บน Network List Manager และ Network Configuration ผ่านการดัดแปลงรีจิสทรี TreatAs เพื่อโหลดมัลแวร์ SilentCOM รวมถึงการใช้กลไก Windows Time Providers เพื่อรันมัลแวร์ TediousLoader ยิ่งไปกว่านั้น กลุ่มคนร้ายยังสร้างเครือข่ายเอเจนต์ควบคุมข้ามเครื่องผ่าน Windows Named Pipes เพื่อส่งคำสั่งและขโมยข้อมูลข้ามเครือข่ายส่วนที่ถูกตัดแยก (Isolated Network Segments) ได้อย่างแนบเนียน
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อศูนย์ข้อมูลและเครือข่ายราชการไทย - โครงสร้างพื้นฐานภาครัฐของไทยที่มีการแบ่งโซนเครือข่ายความมั่นคงสูง (High-Security Enclaves) มีความเสี่ยงจากการถูกเจาะทะลุผ่าน Named Pipes ภายใน หากเครื่องลูกข่ายในโซนปกติถูกฝังกลไก COM Hijacking แล้วส่งต่อคำสั่งเข้าไปยังโซนลับ การตรวจจับการจราจรบนเครือข่ายภายนอกเพียงอย่างเดียวจะไม่สามารถตรวจพบการเคลื่อนไหวนี้ได้
ยุทธศาสตร์: ปฏิบัติการของกลุ่ม StingyBasilisk สะท้อนเป้าหมายการจารกรรมระยะยาวที่ต้องการแฝงตัวอย่างเงียบเชียบที่สุดเพื่อเฝ้าดูความเคลื่อนไหวและเข้าถึงข้อมูลลับของรัฐ
ยุทธการ: การใช้กลไก COM Hijacking ร่วมกับ Windows Time Providers และ Named Pipes ช่วยให้ผู้โจมตีสามารถคงสถานะผ่านการรีสตาร์ตระบบและควบคุมเครื่องเป้าหมายที่ไม่มีการเชื่อมต่ออินเทอร์เน็ตตรงได้
ยุทธวิธี: ผู้ดูแลความปลอดภัยระบบต้องตรวจสอบคีย์รีจิสทรี TreatAs ใต้ HKCR\CLSID และตรวจสอบรายชื่อโมดูล Time Provider ผิดปกติในระบบ พร้อมเฝ้าระวังการสร้าง Named Pipes แปลกปลอมระหว่างโฮสต์
เครือข่ายคอมพิวเตอร์ภาครัฐ, หน่วยงานด้านความมั่นคงและกลาโหม, ศูนย์ข้อมูลภาครัฐ, และโครงสร้างพื้นฐานระบบปิด
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง