Transportation & Logistics (TRN) Sector Monitoring Weekly Report
ห้วงเวลา: 26 ตุลาคม - 1 พฤศจิกายน 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 26 ตุลาคม ถึง 1 พฤศจิกายน 2569 สภาวะภัยคุกคามทางไซเบอร์ต่อภาคการขนส่งและโลจิสติกส์ (Transportation & Logistics) อยู่ในระดับความเสี่ยงสูง (HIGH RISK) โดยตรวจพบว่ากลุ่มอาชญากรไซเบอร์ได้ปรับเปลี่ยนยุทธวิธีมุ่งเน้นการโจมตีเจาะระบบกระบวนการดำเนินงานหลัก (Core Operational Processes) ครอบคลุมทั้งการขนส่งทางเรือ การขนส่งพัสดุด่วน และการเดินทางของผู้โดยสาร ประเด็นที่น่าจับตาอย่างยิ่งคือการที่กลุ่มแรนซัมแวร์ n0n นำเทคโนโลยี Agentic AI และเซิร์ฟเวอร์ LLM ส่วนตัวมาใช้สร้างสคริปต์ทำลายข้อมูลและเจาะระบบบริหารจัดการท่าเรือและสายการเดินเรืออย่างเป็นระบบ ขณะเดียวกันกลุ่มผู้ไม่ประสงค์ดียังคงใช้ประโยชน์จากแบรนด์โลจิสติกส์ระดับโลกอย่าง FedEx ในการส่งสเปียร์ฟิชชิงแฝงมัลแวร์ไร้ไฟล์ Sirius Backdoor และใช้บริการคลาวด์ Google AppSheet ส่งฟิชชิงหัวข้อข้อพิพาทการจัดส่งพัสดุเพื่อฝังโทรจัน PureRAT รวมถึงการใช้เครือข่ายบล็อกเชน TON เป็น Dead-Drop Resolver สำหรับมัลแวร์ TonRAT เพื่อเจาะระบบสำรองที่นั่งการเดินทาง ซึ่งสร้างแรงกดดันอย่างมีนัยสำคัญต่อความต่อเนื่องทางธุรกิจและความปลอดภัยของข้อมูลห่วงโซ่อุปทานระดับสากล
นักวิจัยความมั่นคงปลอดภัย SOCRadar รายงานการตรวจพบความเคลื่อนไหวของกลุ่มแรนซัมแวร์ n0n ซึ่งผสานการทำงานของโมเดลปัญญาประดิษฐ์ (Generative & Agentic AI) และเซิร์ฟเวอร์ LLM ส่วนตัว ในการกรรโชกข้อมูลและทำลายระบบ โดยมีเป้าหมายหลักในกลุ่มโครงสร้างพื้นฐานการขนส่งทางเรือ สายการเดินเรือ (Shipping) และระบบโลจิสติกส์ท่าเรือระหว่างประเทศ ผู้โจมตีลักลอบเข้าสู่ระบบผ่านบัญชีผู้ใช้งานที่ถูกต้อง (Valid Accounts) และช่องทางรีโมตภายนอก ก่อนใช้ระบบ AI ช่วยวิเคราะห์ไฟล์ข้อมูลและสร้างคำสั่งเจาะระบบอัตโนมัติ จากนั้นทำลายระบบสำรองข้อมูล ขโมยไฟล์สำคัญ และปล่อยมัลแวร์เข้ารหัสข้อมูลตระกูล nenc และ nenc2 บนระบบปฏิบัติการ Windows และ Linux เพื่อขู่กรรโชกค่าไถ่
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ให้บริการโลจิสติกส์การเดินเรือและท่าเรือพาณิชย์ในไทย - แม้ในรายงานยังไม่พบการระบุชื่อหน่วยงานในประเทศไทยโดยตรง แต่เนื่องจากประเทศไทยมีท่าเรือพาณิชย์หลักและผู้ประกอบการสายการเดินเรือที่เชื่อมโยงกับเครือข่ายโลจิสติกส์ทางทะเลระหว่างประเทศ การหยุดชะงักของระบบบริหารจัดการท่าเรือหรือระบบติดตามตู้สินค้าของพันธมิตรในภูมิภาค ย่อมส่งผลกระทบต่อเนื่องเป็นลูกโซ่ต่อห่วงโซ่อุปทานการนำเข้าและส่งออกสินค้าของประเทศ
ยุทธศาสตร์: การนำ Agentic AI มาประยุกต์ใช้ในปฏิบัติการกรรโชกข้อมูลร่วมกับการใช้ไวเปอร์ทำลายข้อมูล แสดงให้เห็นถึงวิวัฒนาการของกลุ่มภัยคุกคามที่มุ่งเป้าโครงสร้างพื้นฐานการขนส่งทางทะเลเพื่อสร้างแรงกดดันสูงสุดต่อเหยื่อ
ยุทธการ: ผู้โจมตีใช้เซิร์ฟเวอร์ LLM ส่วนตัว (พอร์ต 11434) ร่วมกับโครงสร้าง kserver C2 ในการวิเคราะห์โครงสร้างข้อมูลและสร้างสคริปต์ขโมยข้อมูลอัตโนมัติ ก่อนสั่งทำลายระบบกู้คืนและเริ่มกระบวนการเข้ารหัสไฟล์
ยุทธวิธี: ผู้ดูแลระบบรักษาความปลอดภัยต้องบังคับใช้การยืนยันตัวตนแบบหลายปัจจัย (MFA) บนทุกบัญชีรีโมตภายนอก, ปิดกั้นการเชื่อมต่อไปยังไอพีเซิร์ฟเวอร์ควบคุม 185.157.161[.]148 และ 81.161.239[.]10, พร้อมทั้งจัดทำระบบสำรองข้อมูลแบบออฟไลน์ที่แยกเซกเมนต์อย่างเด็ดขาด
สายการเดินเรือพาณิชย์, ผู้บริหารจัดการท่าเรือและคลังสินค้าทางน้ำ, ผู้ให้บริการโลจิสติกส์ตู้สินค้าคอนเทนเนอร์, และโครงสร้างพื้นฐานดิจิทัลที่เกี่ยวข้องกับการขนส่งทางเรือ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัยความมั่นคงปลอดภัย Trellix รายงานการตรวจพบแคมเปญสเปียร์ฟิชชิงที่แอบอ้างเป็นใบเสร็จรับเงินภาษีศุลกากรและการขนส่งของ FedEx (Fedex_tax_receipt.zip) พุ่งเป้าหลอกลวงฝ่ายนำเข้าส่งออก ตัวแทนรับจัดการขนส่งสินค้า (Freight Forwarders) และผู้ให้บริการโลจิสติกส์ เมื่อเหยื่อเปิดไฟล์ PDF ที่ฝังคำสั่งอันตราย ระบบจะเริ่มกระบวนการติดเชื้อแบบไร้ไฟล์หลายขั้นตอน (Fileless Execution) ผ่านตัวโหลด Stage 1 .NET Loader และตัวฉีด Stage 2 .NET Injector เพื่อนำเพย์โหลด Sirius Backdoor (zeus.dat) เข้าสู่หน่วยความจำของเครื่อง มัลแวร์มีความสามารถในการดักจับการกดแป้นพิมพ์ (Keylogging) ขโมยรหัสผ่านและคุกกี้เซสชันจากเบราว์เซอร์ พร้อมเปิดช่องทางให้ผู้โจมตีควบคุมเครื่องจากระยะไกลผ่านไอพี 185.114.206[.]45
ความเสี่ยงสูงต่อผู้ประกอบการโลจิสติกส์และผู้นำเข้าส่งออกสินค้าในไทย - เนื่องจาก FedEx เป็นหนึ่งในผู้ให้บริการจัดส่งพัสดุด่วนและโลจิสติกส์ระหว่างประเทศชั้นนำที่องค์กรไทยใช้งานอย่างกว้างขวาง การปลอมแปลงเอกสารใบแจ้งหนี้ภาษีศุลกากรที่มีลักษณะสมจริง อาจทำให้พนักงานแผนกประสานงานขนส่งหรือฝ่ายบัญชีหลงเชื่อเปิดไฟล์แนบ จนนำไปสู่การถูกฝังมัลแวร์ควบคุมเครื่องและขโมยเอกสารขนส่งสินค้าที่สำคัญ
ยุทธศาสตร์: กลุ่มผู้ไม่ประสงค์ดีใช้ประโยชน์จากชื่อเสียงและความน่าเชื่อถือของแบรนด์ขนส่งระดับโลกอย่าง FedEx ในการสร้างเหยื่อล่อที่มีความน่าเชื่อถือสูง เพื่อเจาะเข้าสู่เครือข่ายโลจิสติกส์และคู่ค้าทางธุรกิจ
ยุทธการ: การใช้เทคนิคการทำงานในหน่วยความจำ (In-Memory Execution) ร่วมกับตัวโหลด .NET หลายชั้น ช่วยให้มัลแวร์สามารถหลบเลี่ยงการตรวจจับของซอฟต์แวร์แอนติไวรัสแบบดั้งเดิมที่เครื่องปลายทางได้อย่างมีประสิทธิภาพ
ยุทธวิธี: ผู้ดูแลระบบไอทีต้องบล็อกการรับส่งไฟล์บีบอัด .zip ที่มีไฟล์สคริปต์หรือไฟล์ปฏิบัติการแฝงอยู่, เฝ้าระวังการเชื่อมต่อไปยังไอพี 185.114.206[.]45 และโดเมน dubaitechnicalservice[.]ae, พร้อมทั้งตรวจสอบพฤติกรรมการเปิดโพรเซสที่ผิดปกติผ่านระบบ EDR
ผู้ให้บริการขนส่งและจัดส่งพัสดุระหว่างประเทศ, ตัวแทนออกของและดำเนินพิธีการศุลกากร, บริษัทตัวแทนขนส่งสินค้าทางอากาศและทางเรือ, และฝ่ายจัดซื้อขององค์กรธุรกิจ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ศูนย์วิเคราะห์ความมั่นคงปลอดภัย ASEC ของ ESTsecurity เปิดเผยการแพร่ระบาดของแคมเปญฟิชชิงที่แอบอ้างเป็นเรื่องข้อพิพาทการจัดส่งสินค้าและพัสดุชำรุดเสียหาย (Delivery Dispute) โดยผู้โจมตีอาศัยลิงก์บริการ Google AppSheet (share.google) เพื่อหลบเลี่ยงระบบคัดกรองอีเมลและนำทางเหยื่อไปยังเว็บไซต์จำลองเครื่องเล่นวิดีโอ (videostroge.alleasing.co[.]nz) ซึ่งใช้เทคนิค HTML Smuggling ในการดาวน์โหลดไฟล์บีบอัดอันตราย ภายในประกอบด้วยไฟล์มัลแวร์ DLL (msvcr100.dll) ที่ถูกโหลดผ่านกระบวนการ DLL Sideloading เพื่อถอดรหัสตัวปกป้อง PureCrypter และปล่อยโทรจันควบคุมระยะไกล PureRAT ขึ้นมาทำงานเพื่อขโมยข้อมูลและควบคุมระบบ
ความเสี่ยงตรงและทางอ้อมต่อฝ่ายบริการลูกค้าและศูนย์กระจายสินค้าโลจิสติกส์ในไทย - เนื่องจากธุรกิจจัดส่งพัสดุด่วน (Express Courier & Last-Mile Delivery) ในประเทศไทยมีการรับเรื่องร้องเรียนเกี่ยวกับพัสดุสูญหายหรือเสียหายจากลูกค้าเป็นประจำ เจ้าหน้าที่ฝ่ายบริการลูกค้าอาจหลงเชื่อคลิกลิงก์ข้อพิพาทการจัดส่งที่ส่งผ่านบริการคลาวด์ของ Google ซึ่งมีความน่าเชื่อถือสูง ส่งผลให้เครื่องคอมพิวเตอร์ในศูนย์กระจายสินค้าถูกควบคุมและกลายเป็นช่องทางเจาะเข้าสู่ระบบติดตามพัสดุหลักขององค์กร
ยุทธศาสตร์: ผู้ไม่ประสงค์ดีเปลี่ยนจากการแนบไฟล์โดยตรงมาเป็นการใช้ประโยชน์จากบริการคลาวด์ที่น่าเชื่อถืออย่าง Google AppSheet ร่วมกับหัวข้อข้อพิพาทการจัดส่งสินค้า เพื่อลดความระแวงของพนักงานในอุตสาหกรรมโลจิสติกส์
ยุทธการ: การใช้เทคนิค HTML Smuggling ควบคู่กับ DLL Sideloading ช่วยให้มัลแวร์ PureRAT สามารถเล็ดลอดผ่านระบบตรวจจับภัยคุกคามบนเครือข่ายและเกตเวย์อีเมลได้อย่างแนบเนียน
ยุทธวิธี: ผู้ดูแลระบบไอทีต้องบล็อกการเข้าถึง URL ชี้เป้าและโดเมน videostroge.alleasing.co[.]nz, ตรวจสอบความถูกต้องของไฟล์ DLL ที่ถูกโหลดโดยโปรแกรมทั่วไป, และจัดอบรมพนักงานแผนกประสานงานขนส่งพัสดุให้ตรวจสอบที่อยู่ผู้ส่งอย่างเคร่งครัด
ผู้ให้บริการขนส่งพัสดุด่วน (Courier Services), ศูนย์กระจายสินค้าและโลจิสติกส์ Last-Mile, แพลตฟอร์มอีคอมเมิร์ซที่มีฝ่ายจัดส่งสินค้าภายใน, และแผนกบริการลูกค้าของธุรกิจขนส่ง
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมวิเคราะห์ภัยคุกคาม ENKI WhiteHat รายงานการแพร่ระบาดของมัลแวร์ควบคุมระยะไกลตระกูลใหม่ TonRAT ซึ่งพุ่งเป้าโจมตีตัวแทนท่องเที่ยว (Travel Agencies) และผู้ให้บริการสำรองที่นั่งการเดินทางผ่านอีเมลสเปียร์ฟิชชิงแนบไฟล์ชอร์ตคัต (.LNK) ที่พรางตัวเป็นเอกสารกำหนดการเดินทาง (Travel Itinerary) เมื่อเหยื่อเปิดไฟล์ สคริปต์ PowerShell และ JavaScript จะถูกสั่งให้ทำงานเพื่อส่งคำขอไปยังสมาร์ตคอนแทรกต์บนเครือข่ายบล็อกเชน The Open Network (TON Blockchain) ซึ่งทำหน้าที่เป็น Dead-Drop Resolver ในการแปลงแอดเดรสและดึงรายชื่อโดเมน C2 ล่าสุดอย่างปลอดภัยจากการถูกระงับ ก่อนนำมัลแวร์ TonRAT เข้าสู่หน่วยความจำเพื่อเริ่มการสำรวจระบบและขโมยข้อมูล
ความเสี่ยงตรงต่อผู้ประกอบการตัวแทนการเดินทาง สายการบิน และระบบขนส่งผู้โดยสารในไทย - ประเทศไทยเป็นศูนย์กลางการท่องเที่ยวและการเดินทางที่สำคัญของภูมิภาค โดยมีตัวแทนท่องเที่ยวและบริษัทจัดนำเที่ยวจำนวนมากที่ต้องรับส่งไฟล์กำหนดการเดินทางและเอกสารจากลูกค้าต่างชาติตลอดเวลา หากพนักงานเปิดไฟล์ชอร์ตคัตอันตราย ผู้โจมตีสามารถแทรกซึมเข้าสู่ระบบสำรองที่นั่ง (Booking Systems) และลักลอบนำข้อมูลส่วนบุคคลของผู้โดยสาร ตลอดจนข้อมูลหนังสือเดินทางและบัตรเครดิตออกไปได้
ยุทธศาสตร์: การนำเทคโนโลยีบล็อกเชนสาธารณะอย่าง TON มาใช้เป็น Dead-Drop Resolver แสดงถึงความพยายามของอาชญากรไซเบอร์ในการสร้างโครงสร้างพื้นฐาน C2 ที่ทนทานต่อการปิดกั้นและยากต่อการบังคับใช้กฎหมาย
ยุทธการ: ผู้โจมตีใช้ไฟล์ชอร์ตคัต (.LNK) ที่ดูเหมือนไฟล์เอกสารการเดินทางทั่วไป เพื่อหลอกลวงพนักงานแผนกจองตั๋วและกำหนดการเดินทาง ก่อนใช้สคริปต์สองขั้นตอนดาวน์โหลดและรันมัลแวร์ในหน่วยความจำ
ยุทธวิธี: องค์กรต้องปิดกั้นการรันคำสั่งสคริปต์จากไฟล์ .LNK บนเครื่องลูกข่าย, เฝ้าระวังทราฟฟิกที่เชื่อมต่อไปยังเครือข่ายบล็อกเชน TON จากเครื่องที่ไม่มีความจำเป็น, และปิดกั้นโดเมน C2 เช่น njzlopghznkamkl[.]cfd และ nuypoiaklber[.]lol
ตัวแทนท่องเที่ยวและการเดินทาง (Travel Agencies), ระบบสำรองตั๋วเครื่องบินและการขนส่งผู้โดยสาร, ธุรกิจโรงแรมและการบริการที่เกี่ยวข้องกับการเดินทาง, และผู้ให้บริการขนส่งสาธารณะ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง