ห้วงเวลา: วันที่ 31 สิงหาคม - 6 กันยายน 2569
ในรอบสัปดาห์ที่ผ่านมา ภาคการแพทย์และระบบสารสนเทศสาธารณสุขเผชิญกับภัยคุกคามไซเบอร์ที่มุ่งเป้าโครงสร้างพื้นฐานดิจิทัลและข้อมูลสุขภาพของผู้ป่วยในระดับวิกฤต โดยพบปฏิบัติการของกลุ่มแรนซัมแวร์ The Gentlemen ที่เจาะระบบ Infrastructure-as-Code (IaC) บนคลาวด์ขององค์กรสุขภาพระดับโลก พร้อมใช้เฟรมเวิร์ก TukTuk C2 และเทคนิค Bring Your Own Vulnerable Driver (BYOVD) ผ่านไดรเวอร์ GentleKiller ปลดอาวุธระบบ EDR ในระดับเคอร์เนล ขณะเดียวกันพบมัลแวร์เรียกค่าไถ่ DragonForce ขยายการโจมตีด้วย Windows Locker มุ่งล็อกไฟล์ผ่านเครือข่ายแชร์ไฟล์ SMB และสั่งลบข้อมูลสำรอง Shadow Copies เพื่อทำลายความสามารถในการกู้คืนระบบ นอกจากนี้ บุคลากรและผู้ป่วยยังตกเป็นเป้าหมายของกลลวงทางสังคมระลอกใหม่ ทั้งแคมเปญฟิชชิ่งสวมรอยพอร์ทัลสุขภาพ MyChart หลอกแจกชุดตรวจ Medicare เพื่อดักขโมยข้อมูลส่วนบุคคล และการจดทะเบียนโดเมนปลอมแปลงระบบ MFA สำหรับการโจมตีแบบ Adversary-in-the-Middle (AiTM) เพื่อเจาะเข้าสู่เครือข่ายโรงพยาบาล
ผู้ไม่หวังดีเปิดปฏิบัติการฟิชชิ่งทางอีเมลขนาดใหญ่โดยแอบอ้างตราสัญลักษณ์ของพอร์ทัลสุขภาพ MyChart ซึ่งพัฒนาโดย Epic Systems อีเมลหลอกลวงใช้หัวข้อเร่งด่วน เช่น การตอบกลับบัตรแจ้งปัญหาสุขภาพปลอม หรือการเสนอแจกชุดอุปกรณ์ตรวจสุขภาพ Medicare Kit ฟรี เพื่อล่อลวงให้เหยื่อทำแบบสำรวจสั้นๆ ผู้โจมตีใช้เทคนิค Bayesian poisoning โดยการแทรกบล็อกข้อความที่มองไม่เห็นเพื่อหลบเลี่ยงระบบคัดกรองอีเมลเกตเวย์ (SEG) และใช้บริการคลาวด์สาธารณะเป็นโฮสต์จัดเก็บรูปภาพและเพย์โหลด เมื่อผู้ใช้คลิกลิงก์จะถูกนำทางผ่านโดเมน redirect หลายชั้นไปยังหน้าฟิชชิ่งปลายทางเพื่อดักจับข้อมูลส่วนบุคคล (PII) และข้อมูลบัตรชำระเงิน ทั้งนี้ Unit 42 ยืนยันว่าไม่พบช่องโหว่หรือการถูกบุกรุกบนระบบของ Epic MyChart แต่อย่างใด
โรงพยาบาลเอกชนและสถานพยาบาลชั้นนำในประเทศไทยกำลังเร่งปรับใช้ระบบพอร์ทัลผู้ป่วย (Patient Portal) และบริการการแพทย์ทางไกล (Telemedicine) เพิ่มขึ้นอย่างต่อเนื่อง รูปแบบการล่อลวงด้วยสิทธิประโยชน์ทางสุขภาพหรือการแจกชุดตรวจโรคฟรีเป็นกลลวงทางสังคมที่มีประสิทธิผลสูงต่อประชาชนชาวไทย ซึ่งอาจนำไปสู่การรั่วไหลของข้อมูลระบุตัวตนบุคคล ข้อมูลเวชระเบียน หรือข้อมูลบัญชีธนาคาร
ยุทธศาสตร์ (Strategic): ผู้ก่อภัยคุกคามเปลี่ยนผ่านจากการโจมตีเชิงเทคนิคบนระบบสารสนเทศโรงพยาบาล มาเป็นการใช้ประโยชน์จากความไว้วางใจในแบรนด์บริการสุขภาพดิจิทัลเพื่อหลอกลวงผู้บริโภคโดยตรง
ยุทธการ (Operational): การใช้โดเมนสุ่มตัวอักษรบนคลาวด์และเทคนิค Bayesian poisoning ทำให้ระบบตรวจจับอีเมลแบบดั้งเดิมตรวจจับได้ยากขึ้นและสร้างปริมาณการส่งต่อครั้งได้สูง
ยุทธวิธี (Tactical): เครือข่ายการนำทางหลายชั้น (multi-hop redirect) ช่วยซ่อนหน้าฟิชชิ่งปลายทางบน Google Cloud Storage ไม่ให้ถูกบล็อกโดยระบบ Web Reputation แบบอัตโนมัติได้อย่างรวดเร็ว
ผู้ป่วย, บุคลากรทางการแพทย์, ผู้ใช้งานระบบเวชระเบียนออนไลน์และพอร์ทัลสุขภาพดิจิทัล
การวิเคราะห์เซิร์ฟเวอร์ควบคุมของกลุ่มแรนซัมแวร์ The Gentlemen เผยให้เห็นโครงสร้างเฟรมเวิร์กควบคุม TukTuk C2 แบบสมบูรณ์ซึ่งรองรับทั้งระบบปฏิบัติการ Windows และ Linux พร้อมเครื่องมือโจมตี GentleKiller (ไฟล์ไดรเวอร์ eb.sys) ที่ใช้เทคนิค Bring Your Own Vulnerable Driver (BYOVD) เพื่อปิดการทำงานของระบบตรวจจับ Endpoint Detection and Response (EDR) ในระดับเคอร์เนล โดยมัลแวร์ใช้วิธี DLL Sideloading ผ่านโปรแกรม Greenshot โดยแทนที่ไฟล์ log4net.dll ในการติดตั้งเอเจนต์ TukTuk นอกจากนี้บนเซิร์ฟเวอร์ดังกล่าวยังพบข้อมูลสำคัญที่ถูกขโมยออกมาจากแพลตฟอร์ม Infrastructure-as-Code (IaC) ของบริษัทด้านการแพทย์และสาธารณสุขระดับโลก ซึ่งประกอบด้วยข้อมูลยืนยันตัวตนบน AWS, Azure AD, Bitbucket ตลอดจนการตั้งค่าการจัดการโครงสร้างพื้นฐานและฐานข้อมูลระบบปฏิบัติการจริง
กลุ่มโรงพยาบาลขนาดใหญ่และผู้ให้บริการเทคโนโลยีสุขภาพในประเทศไทยกำลังพึ่งพาระบบคลาวด์สาธารณะ (AWS, Azure) และสคริปต์อัตโนมัติ IaC ในการบริหารโครงสร้างพื้นฐานระบบ HIS และ PACS หากข้อมูลแม่แบบ IaC หรือข้อมูลการเข้าถึงถูกขโมย ผู้โจมตีสามารถเข้าควบคุมทรัพยากรคลาวด์ของโรงพยาบาลได้ทั้งหมดและใช้เทคนิค BYOVD ปลดอาวุธ EDR จนนำไปสู่การเข้ารหัสระบบและเรียกค่าไถ่
ยุทธศาสตร์ (Strategic): กลุ่มแรนซัมแวร์ขยายขอบเขตการโจมตีจากการบุกรุกเครื่องลูกข่ายไปสู่การพุ่งเป้าแพลตฟอร์มคลาวด์และ IaC เพื่อขโมยสิทธิ์ระดับสูงสุดขององค์กรสุขภาพ
ยุทธการ (Operational): การพัฒนา C2 เฟรมเวิร์กของตนเอง (TukTuk) ช่วยให้ผู้โจมตีลดการพึ่งพาเครื่องมือสาธารณะอย่าง Cobalt Strike และเพิ่มความสามารถในการทำงานข้ามระบบปฏิบัติการ
ยุทธวิธี (Tactical): การใช้ไดรเวอร์เคอร์เนลที่มีช่องโหว่ (GentleKiller eb.sys) ช่วยให้ผู้โจมตีสามารถตัดการทำงานของ EDR Process ใน Ring 0 ได้ก่อนที่ตัวตรวจจับจะส่งสัญญาณเตือน
ระบบคลาวด์ IaC ขององค์กรการแพทย์ระดับสากล, เครื่องแม่ข่าย Windows และ Linux ในระบบสารสนเทศสุขภาพ
การวิเคราะห์เชิงลึกของมัลแวร์เรียกค่าไถ่ DragonForce ในรูปแบบตัวล็อกระบบ Windows 32 บิต เผยให้เห็นขีดความสามารถในการค้นหาและเข้ารหัสไฟล์ทั้งในไดรฟ์เครื่องคอมพิวเตอร์และเครือข่ายแชร์ไฟล์ SMB ที่เข้าถึงได้ ตัวมัลแวร์ใช้กระบวนการเข้ารหัสไฟล์แบบ Multi-threaded ผสมผสานขั้นตอนวิธี ChaCha20 และ RSA พร้อมกับสั่งลบข้อมูลสำรอง Shadow Copies ผ่านคำสั่ง vssadmin และปิดกั้นโพรเซสและบริการความปลอดภัยรวมถึงระบบฐานข้อมูลและแบ็กอัป ไฟล์ที่ถูกเข้ารหัสจะถูกเปลี่ยนนามสกุลเป็น .df_win และมีการเพิ่มข้อมูลเมทาดาทาสำหรับการกู้คืนไว้ท้ายไฟล์ นอกจากนี้ยังมีการทิ้งข้อความเรียกค่าไถ่พร้อมลิงก์ไปยังพอร์ทัลเจรจาและเว็บไซต์ประจานข้อมูลบนเครือข่าย Tor
ระบบเครือข่ายโรงพยาบาลในไทยมีการแชร์ไฟล์ภาพถ่ายทางการแพทย์ (PACS) และข้อมูลเวชระเบียนผ่านโพรโทคอล SMB อย่างแพร่หลาย หากเครื่องลูกข่ายเครื่องใดเครื่องหนึ่งติดมัลแวร์ DragonForce ตัวมัลแวร์จะสามารถแพร่กระจายและเข้ารหัสไฟล์ที่แชร์อยู่ทั่วทั้งเครือข่ายโรงพยาบาล ส่งผลกระทบโดยตรงต่อการให้บริการรักษาพยาบาลและการช่วยชีวิตผู้ป่วย
ยุทธศาสตร์ (Strategic): กลุ่ม DragonForce มุ่งเป้าโครงสร้างไฟล์แชร์ส่วนกลางขององค์กรสุขภาพเพื่อสร้างความเสียหายในวงกว้างและกดดันให้ยอมจ่ายค่าไถ่โดยเร็ว
ยุทธการ (Operational): การใช้ Multi-threaded ChaCha20 ช่วยให้การเข้ารหัสไฟล์ขนาดใหญ่บนเครือข่ายเสร็จสิ้นอย่างรวดเร็วก่อนที่ทีม SOC จะตอบสนองทัน
ยุทธวิธี (Tactical): คำสั่งลบ Shadow Copy และการสั่งยุติ Service ระบบฐานข้อมูลถูกนำมาใช้ตัดเส้นทางการกู้คืนข้อมูลแบบอัตโนมัติ
เซิร์ฟเวอร์จัดเก็บข้อมูลทางคลินิก (PACS/EMR), ระบบแชร์ไฟล์ SMB ในสถานพยาบาล และระบบคอมพิวเตอร์องค์กร
Unit 42 ตรวจพบการจดทะเบียนโดเมนลวงที่มีธีมเกี่ยวกับการยืนยันตัวตนแบบหลายปัจจัย (MFA) ชุดใหม่ ซึ่งมีความเชื่อมโยงกับกลุ่มภัยคุกคามเครือข่าย Com-affiliated (เช่น กลุ่ม Scattered Spider หรือ 0ktapus) จากการวิเคราะห์โครงสร้างโดเมนย่อยพบว่ามีองค์กรเป้าหมายอย่างน้อย 10 แห่งใน 5 ภาคส่วนสำคัญ ได้แก่ ภาคการแพทย์และสาธารณสุข (Healthcare), บริการทางการเงิน, ภาคการผลิต, ประกันภัย และบริการเทคโนโลยีสารสนเทศ ที่ตกเป็นเป้าหมายของการโจมตีด้วยการโทรศัพท์หลอกลวง (Vishing) ร่วมกับการตั้งหน้าเว็บ Adversary-in-the-Middle (AiTM) เพื่อขโมยรหัสผ่านและเซสชันโทเค็นของระบบ Single Sign-On (SSO) โดยโดเมนทั้งหมดจดทะเบียนผ่านผู้ให้บริการ NiceNIC และใช้เนมเซิร์ฟเวอร์ของ Cloudflare ในการอำพราง
บุคลากรทางการแพทย์และเจ้าหน้าที่ฝ่ายเทคโนโลยีสารสนเทศของโรงพยาบาลในไทยที่ทำงานจากระยะไกล มีการเข้าใช้งานระบบเวชระเบียนผ่านระบบ MFA และ VPN อย่างแพร่หลาย กลุ่มผู้โจมตีอาจใช้การโทรศัพท์แอบอ้างเป็นฝ่ายสนับสนุนไอทีเพื่อหลอกให้เจ้าหน้าที่เข้าสู่โดเมนปลอมเหล่านี้ จนนำไปสู่การถูกยึดครองบัญชีผู้ดูแลระบบ (Admin Account Takeover)
ยุทธศาสตร์ (Strategic): ผู้ไม่หวังดีมุ่งเน้นการเจาะผ่านชั้นการยืนยันตัวตน (Identity Layer) เนื่องจากเป็นด่านหน้าสำคัญของการเข้าถึงระบบคลาวด์และฐานข้อมูลผู้ป่วย
ยุทธการ (Operational): การผสมผสานการโทรศัพท์ล่อลวง (Vishing) ร่วมกับการปลอมแปลงหน้าลงทะเบียน MFA เพิ่มโอกาสสำเร็จในการหลอกลวงพนักงานระดับปฏิบัติการ
ยุทธวิธี (Tactical): การจดทะเบียนโดเมนล่วงหน้าโดยใช้ชื่อที่ดูน่าเชื่อถือผ่านผู้ให้บริการที่รองรับความเป็นส่วนตัวช่วยลดการตรวจจับของระบบ Threat Intelligence ในระยะแรก
พอร์ทัลยืนยันตัวตน SSO/MFA ของแพทย์และเจ้าหน้าที่ในสถานพยาบาล, บริษัทประกันสุขภาพ และองค์กรการเงิน