Healthcare & Medical Sector Weekly Report
ห้วงเวลา: 17-23 สิงหาคม 2569
TLP:CLEARสัปดาห์นี้ภัยคุกคามในภาคสาธารณสุขและการแพทย์มีความเสี่ยงสำคัญในหลายจุด โดยส่วนแรกคือการยกระดับของแรนซัมแวร์ Medusa ซึ่งมุ่งเป้าหมายเจาะซอฟต์แวร์ภายนอกของโรงพยาบาลและสาธารณูปโภค ในขณะเดียวกัน ระบบความปลอดภัยของกล้องวงจรปิดในสถานพยาบาลยังมีความเสี่ยงจากปฏิบัติการ CameraSwarm ที่เข้าเจาะบายพาสสิทธิ์ระบบ Dahua นอกจากนี้ บริการธุรกรรมชำระเงินและระบบธุรการคลาวด์องค์กรการแพทย์ยังเผชิญความท้าทายจากมัลแวร์แอนดรอยด์ ToxicPanda 2.0 และแคมเปญฟิชชิง Mirage2FA เพื่อสวมรอยโทเค็นเซสชัน
หน่วยงานความมั่นคงปลอดภัย CISA, FBI และกระทรวงสาธารณสุขสหรัฐฯ ร่วมปรับปรุงประกาศเตือนภัยคุกคามแรนซัมแวร์ Medusa ที่มุ่งเป้าหมายภาคส่วนสาธารณสุขและโครงสร้างพื้นฐาน โดยผู้พัฒนาแรนซัมแวร์ได้ใช้วิธีซื้อสิทธิ์เข้าถึงเบื้องต้นและเจาะระบบผ่านช่องโหว่ซอฟต์แวร์หลังบ้านภายในเวลา 24 ชั่วโมง ทั้งนี้ กลุ่มผู้โจมตีดำเนินการเรียกค่าไถ่แบบสองชั้นและสามชั้นรวมถึงการขู่เผยแพร่เวชระเบียนข้อมูลผู้ป่วยบนดาร์กเว็บ
likely (มีความเป็นไปได้สูง) - แม้ยังไม่มีรายงานการโจมตีโรงพยาบาลในไทยจากกลุ่มนี้โดยตรง แต่เนื่องจากระบบไอทีสาธารณสุขของไทยมักใช้บริการซอฟต์แวร์เว็บบัญชีหลังบ้านเชื่อมต่อเครือข่าย การไม่ปรับปรุงแพตช์ระบบความปลอดภัยจึงสร้างความเสี่ยงสูงต่อการตกเป็นเป้าโจมตี
ยุทธศาสตร์: ปฏิบัติการโจมตีโครงสร้างพื้นฐานทางการแพทย์แบบเจาะจงจุดอ่อนสะท้อนถึงการเติบโตของขบวนการ RaaS ที่มุ่งสร้างความเสียหายต่อบริการสาธารณะเพื่อเร่งรัดการจ่ายเงินค่าไถ่
ยุทธการ: กระบวนการเจาะระบบเน้นการฉวยโอกาสใช้ช่องโหว่ที่เปิดเผยสดใหม่เช่น ScreenConnect และ Fortinet EMS เพื่อติดตั้งมัลแวร์ Nezha และ Mimikatz สำหรับควบคุมระบบส่วนกลาง
ยุทธวิธี: ผู้ดูแลระบบคอมพิวเตอร์ในสถานพยาบาลต้องเร่งอัปเดตแพตช์ช่องโหว่ซอฟต์แวร์ภายนอกโดยด่วน และตั้งค่าการคัดกรองทราฟฟิกพอร์ตเชื่อมต่อที่แปลกแยกออกจากเครือข่ายหลัก
ภาคสาธารณสุขและการแพทย์ บริการสาธารณูปโภค และระบบซอฟต์แวร์บริหารจัดการองค์กร
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ตรวจพบแคมเปญบริการเครื่องมือฟิชชิงสำเร็จรูป Mirage2FA มุ่งเป้าหมายเจาะบัญชีบริการระบบคลาวด์ Microsoft 365 ขององค์กรต่าง ๆ ทั่วโลก โดยเครื่องมือนี้ใช้วิธีโจมตีแบบ Adversary-in-the-Middle (AiTM) ผ่านช่องทางสื่อสาร WebSocket เพื่อขโมยข้อมูลรหัสผ่านและเซสชันคุกกี้ที่ผ่านการตรวจสอบสิทธิ์แล้ว ทั้งนี้ ส่งผลให้ผู้ไม่หวังดีสามารถใช้คุกกี้ดังกล่าวเข้าสวมรอยระบบได้โดยตรงโดยข้ามผ่านการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) ทั้งหมด
likely (มีความเป็นไปได้สูง) - ระบบโรงพยาบาลและคลินิกการรักษาในไทยนิยมใช้งาน Microsoft 365 สำหรับธุรการและการประสานงานภายใน แคมเปญนี้จึงอาจนำไปสู่การรั่วไหลของข้อมูลประวัติการรักษาผู้ป่วยหากบุคลากรการแพทย์ตกเป็นเหยื่อ
ยุทธศาสตร์: การเกิดขึ้นของบริการฟิชชิงเจาะเซสชันสำเร็จรูปสะท้อนถึงการค้าเครื่องมือไซเบอร์ที่ช่วยให้ผู้โจมตีระดับล่างสามารถเอาชนะระบบป้องกันระดับองค์กรได้ง่ายขึ้น
ยุทธการ: กระบวนการโจมตีอาศัยการส่งไฟล์แนบอันตรายจำพวกไฟล์ HTML เพื่อหลอกให้ผู้ใช้กรอกรหัสและส่งต่อข้อมูลเซสชันกลับไปยังแผงควบคุมหลักของผู้โจมตี
ยุทธวิธี: ผู้ดูแลระบบเครือข่ายทางการแพทย์ควรจำกัดอายุการใช้งานระบบล็อกอินและบังคับให้ผู้ใช้ตรวจสอบสิทธิ์การใช้งานผ่านฮาร์ดแวร์คีย์หรือโทเค็นที่ไม่สามารถปลอมแปลงคุกกี้เซสชันได้
ระบบจัดการเอกสารธุรการการแพทย์ ระบบประวัติผู้ป่วย และระบบคลาวด์ติดต่อประสานงานองค์กร
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
บริษัทความปลอดภัยทางไซเบอร์ Hunt.io ค้นพบปฏิบัติการโจมตีทางไซเบอร์แบบสแกนระบบครั้งใหญ่ชื่อ CameraSwarm ซึ่งแฝงตัวควบคุมกล้องวงจรปิดยี่ห้อ Dahua ไปแล้วกว่า 14,500 เครื่อง โดยผู้ไม่หวังดีใช้ช่องโหว่บายพาสสิทธิ์เก่าประกอบกับการใช้ประโยชน์จากโปรโตคอล P2P เพื่อสืบค้นรหัสผ่านและสร้างชุดรหัสกู้คืนแอดมินแบบออฟไลน์ ทั้งนี้ กลุ่มผู้โจมตีมุ่งเน้นการฝังประตูหลัง (Backdoor) และใช้ระบบตรวจขโมยข้อมูล SalatStealer ควบคู่กับการสกัดกั้นโปรแกรมสแกนความปลอดภัยในระบบคอมพิวเตอร์คอมโพเนนต์
likely (มีความเป็นไปได้สูง) - เนื่องจากกล้องวงจรปิดอัจฉริยะแบรนด์ดังกล่าวถูกติดตั้งเพื่อดูแลความปลอดภัยในโรงพยาบาลและหอผู้ป่วยวิกฤตของไทยอย่างหนาแน่น ช่องโหว่นี้จึงคุกคามความเป็นส่วนตัวของผู้ป่วยตามข้อกำหนดทางกฎหมาย PDPA ของไทยโดยตรง
ยุทธศาสตร์: การใช้โปรโตคอลคลาวด์รีเลย์และการบายพาสอุปกรณ์เครือข่ายช่วยให้แฮกเกอร์สามารถเจาะผ่านระบบไฟร์วอลล์เพื่อสถาปนาสิทธิ์ควบคุมทางกายภาพในวงกว้าง
ยุทธการ: ผู้โจมตีผสมผสานเครื่องมือสแกนหาเลขรหัสประจำกล้องอัตโนมัติเข้ากับชุดคำสั่งสร้างรหัสกู้คืนโดยไม่ต้องพึ่งพาระบบลงทะเบียนเดิมในการระบุสิทธิ์แอดมิน
ยุทธวิธี: เจ้าหน้าที่ดูแลระบบของโรงพยาบาลต้องปิดการตั้งค่า P2P บนกล้องวงจรปิดหากไม่มีความจำเป็นและเร่งอัปเดตแพตช์เวอร์ชันเฟิร์มแวร์เพื่อยกเลิกการสร้างรหัสกู้คืนออฟไลน์
ระบบรักษาความปลอดภัยทางกายภาพ กล้องวงจรปิดในสถานพยาบาล และระบบเครือข่ายไอโอที (IoT)
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ตรวจพบโทรจันการเงินบนมือถือแอนดรอยด์เวอร์ชัน ToxicPanda 2.0 ซึ่งขยายขอบเขตการโจมตีไปยังผู้ใช้กลุ่มการเงินทั่วโลก โดยมัลแวร์ชนิดนี้จะเปิดโหมด Wireless Debugging และจับคู่อุปกรณ์เพื่อเข้าถึงสิทธิ์เชลล์ระยะไกล ทั้งนี้ กระบวนการจะช่วยให้ข้ามการแจ้งเตือนสิทธิ์ความปลอดภัยในระบบได้ทั้งหมด นอกจากนี้ ยังมีการดักเก็บข้อมูลตำแหน่งการกดหน้าจอธุรกรรมและควบคุมอุปกรณ์เพื่อขโมยข้อมูลรหัสผ่าน PIN ของแอปธุรกรรมการเงิน
likely (มีความเป็นไปได้สูง) - เนื่องจากผู้ป่วยและผู้ใช้บริการทางการแพทย์ของไทยมีการชำระเงินค่ารักษาออนไลน์และรับยาผ่านโมบายแบงกิ้งบนมือถือสูงขึ้น โทรจันนี้จึงมีความเสี่ยงที่จะดักจับเงินและข้อมูลการโอนค่ารักษาสุขภาพของผู้บริโภคโดยตรง
ยุทธศาสตร์: การเปลี่ยนจุดประสงค์การโจมตีมาเข้าควบคุมอุปกรณ์พกพาผ่านระบบนักพัฒนาสะท้อนถึงการหลีกเลี่ยงระบบสแกนไฟล์แอปพลิเคชันปกติไปสู่สิทธิ์การรันระดับลึก
ยุทธการ: ผู้โจมตีนำสิทธิ์ช่วยเหลือการเข้าถึง (Accessibility Services) มาข้ามการตรวจสอบของมนุษย์เพื่ออนุมัติสิทธิ์เชลล์ด้วยตนเองผ่านโปรโตคอลระบบจับคู่ภายใน
ยุทธวิธี: ธนาคารและแอปพลิเคชันรับชำระเงินของสถานพยาบาลควรเพิ่มระบบสแกนสภาพแวดล้อมระบบแอนดรอยด์และระงับบริการทันทีหากตรวจพบการเปิดใช้ Wireless Debugging ในเครื่องผู้ป่วย
ธุรกรรมออนไลน์ผ่านมือถือ แอปพลิเคชันชำระเงินค่าบริการทางการแพทย์ และระบบปฏิบัติการ Android
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง