CGI-CTI-WEEKLY-20260907-IT  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคส่วนเทคโนโลยีสารสนเทศและโทรคมนาคม ประจำสัปดาห์

IT & Telecommunication Weekly Report

ห้วงเวลา: 31 สิงหาคม - 6 กันยายน 2569

TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากหลายแหล่งข้อมูลระดับ tier-1 - พบทั้งการโจมตีช่องโหว่โครงสร้างพื้นฐานเครือข่ายและระบบ CI/CD ที่เกิดขึ้นจริง รวมถึงภัยคุกคามห่วงโซ่อุปทานซอฟต์แวร์ที่กำลังดำเนินอยู่

ภาพรวมประจำสัปดาห์

ในสัปดาห์นี้ ภัยคุกคามในภาคเทคโนโลยีสารสนเทศและโทรคมนาคมมุ่งเป้าไปที่ 3 ประเด็นหลัก ได้แก่ (1) การโจมตีช่องโหว่ระดับวิกฤตบนอุปกรณ์เครือข่าย MikroTik RouterOS ซึ่งถูกเจาะจงเข้าควบคุมผ่านพอร์ต SSH สาธารณะ (2) การเจาะระบบบริการคลาวด์และเครื่องมือพัฒนาซอฟต์แวร์ผ่านช่องโหว่ TeamCity บน JetBrains Cadence จนนำไปสู่การขโมยข้อมูลลับและข้อมูลระบุตัวตนบนคลาวด์ และ (3) การแทรกซึมมัลแวร์ผ่านห่วงโซ่อุปทานโอเพนซอร์ส npm และเว็บไซต์ดาวน์โหลดโปรแกรมปลอมแปลงเพื่อฝังแบ็กดอร์ในเครื่องนักพัฒนาและระบบองค์กร

เหตุการณ์เด่นประจำสัปดาห์

การโจมตีช่องโหว่รุนแรงระดับวิกฤตบน MikroTik RouterOS เพื่อบายพาสระบบพิสูจน์ตัวตน SSH และยึดสิทธิ์ผู้ดูแลระบบ (MikroTrick)

เผยแพร่: 5 กันยายน 2569  ·  แหล่งที่มา: CERT Polska  ·  Admiralty A1

CERT Polska ยืนยันการตรวจพบการโจมตีจริงบนอุปกรณ์ MikroTik RouterOS ผ่านห่วงโซ่ช่องโหว่ MikroTrick โดยผู้โจมตีมุ่งเป้าไปที่บริการ SSH ที่เปิดสู่เครือข่ายสาธารณะ ช่องโหว่หลัก CVE-2026-67275 (CVSS 9.8) เกิดจากความผิดพลาดในการจัดการหน่วยความจำระหว่างแลกเปลี่ยนคีย์ SSH ส่งผลให้สามารถบายพาสการยืนยันตัวตนได้ ร่วมกับช่องโหว่ CVE-2026-67276 ที่เปิดทางให้ยกระดับสิทธิ์สู่ระดับผู้ดูแลระบบสูงสุดผ่านการตั้งชื่อผู้ใช้แบบพิเศษ จากนั้นผู้โจมตีจะสร้างบัญชีลับชื่อ ops เพื่อควบคุมอุปกรณ์อย่างสมบูรณ์

ผลกระทบต่อประเทศไทย

น่าจะกระทบไทยในระดับสูง เนื่องจากอุปกรณ์ MikroTik RouterOS มีการใช้งานอย่างแพร่หลายในประเทศไทย ทั้งในกลุ่มผู้ให้บริการอินเทอร์เน็ต เครือข่ายสถาบันการศึกษา และธุรกิจขนาดกลางและขนาดย่อม หากเปิดพอร์ต SSH สู่สาธารณะโดยไม่จำกัดไอพีจะตกเป็นเป้าหมายทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: องค์กรต้องทบทวนนโยบายการเปิดเผยส่วนควบคุมอุปกรณ์เครือข่ายสู่เครือข่ายภายนอก และกำหนดให้การเข้าถึงการบริหารจัดการต้องผ่าน VPN ภายในเท่านั้น

ยุทธการ: ผู้โจมตีมุ่งยึดเราเตอร์ขอบเขตเครือข่ายเพื่อใช้เป็นฐานดักจับข้อมูล แปลงเส้นทางทราฟฟิก หรือเป็นจุดแทรกซึมเข้าสู่เครือข่ายภายในของเหยื่อ

ยุทธวิธี: ผู้ดูแลระบบควรเร่งอัปเดต RouterOS เป็นเวอร์ชัน 7.24.2, 7.23.4 หรือ 6.49.21 พร้อมตรวจสอบล็อกหาข้อผิดพลาดล็อกอินและตรวจเช็กบัญชีผู้ใช้ที่ไม่รู้จักอย่าง ops

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ผู้ให้บริการอินเทอร์เน็ต (ISP), หน่วยงานโทรคมนาคม, องค์กรธุรกิจ และหน่วยงานที่มีการใช้งานอุปกรณ์ MikroTik RouterOS เชื่อมต่ออินเทอร์เน็ตโดยตรง

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1068 Exploitation for Privilege Escalation T1021.004 SSH T1136.001 Local Account T1499.004 Application or System Exploitation
IOC ที่สำคัญ
82.192.72[.]4 103.102.31[.]18

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

Critical vulnerabilities in MikroTik RouterOS are being actively exploited. Immediate update recommended - CERT Polska

การเจาะระบบเซิร์ฟเวอร์ JetBrains Cadence ผ่านช่องโหว่ TeamCity RCE เพื่อขโมยข้อมูลลับ ข้อมูลประจำตัว AWS และซอร์สโค้ด

เผยแพร่: 6 กันยายน 2569  ·  แหล่งที่มา: Rescana  ·  Admiralty B2

ผู้ไม่ประสงค์ดีได้ใช้ประโยชน์จากช่องโหว่ระดับวิกฤต CVE-2026-63077 (คะแนน CVSS 9.8) บนระบบ JetBrains TeamCity On-Premises ที่ยังไม่ได้รับการติดตั้งแพตช์ เพื่อเจาะระบบบริการคลาวด์ JetBrains Cadence (api.cadence.jetbrains.com) เหตุการณ์ดังกล่าวนำไปสู่การเข้าถึงไฟล์สำรองข้อมูลของเซิร์ฟเวอร์ Cadence และ Amazon S3 Bucket โดยไม่ได้รับอนุญาต ส่งผลให้ข้อมูลสำคัญรั่วไหล ได้แก่ ข้อมูลประจำตัว AWS IAM (IAM Credentials), โทเคนสำหรับเข้าถึงระบบจัดการซอร์สโค้ด (Source Control Tokens), กุญแจเข้ารหัส (Encryption Keys) ตลอดจนซอร์สโค้ดของโครงการ ซึ่งยกระดับความเสี่ยงต่อการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ (Software Supply Chain Attack)

ผลกระทบต่อประเทศไทย

น่าจะกระทบไทย ต่อทีมนักพัฒนาซอฟต์แวร์และองค์กรเทคโนโลยีในไทยที่ใช้งานเครื่องมือในเครือ JetBrains หรือติดตั้ง TeamCity On-Premises โดยมีความเสี่ยงที่โทเค็นและข้อมูลลับที่เคยใช้งานอาจถูกนำไปสวมรอย

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การปล่อยให้โครงสร้างพื้นฐาน CI/CD ขาดการอัปเดตแพตช์เปิดโอกาสให้ผู้โจมตีเข้าถึงสินทรัพย์คลาวด์และซอร์สโค้ดที่เป็นหัวใจสำคัญของธุรกิจ

ยุทธการ: ผู้ไม่หวังดีใช้ประโยชน์จากเซิร์ฟเวอร์ CI/CD ที่ถูกยึดเพื่อขโมยข้อมูลระบุตัวตนบนคลาวด์ ก่อนขยายผลเข้าสู่ระบบจัดเก็บข้อมูล S3 และพื้นที่จัดเก็บโค้ด

ยุทธวิธี: องค์กรที่ใช้งาน TeamCity ต้องเร่งอัปเดตเป็นเวอร์ชัน 2025.11.7 หรือ 2026.1.3 และผลัดเปลี่ยนกุญแจ AWS IAM, API tokens และ SSH keys ทั้งหมดที่ผูกกับระบบ

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคเทคโนโลยีสารสนเทศ (IT), กลุ่มนักพัฒนาซอฟต์แวร์และ DevOps, ผู้ให้บริการระบบคลาวด์ และองค์กรที่ใช้งานระบบ CI/CD

MITRE ATT&CK
T1190 Exploit Public-Facing Application T1552.001 Credentials In Files T1078.004 Cloud Accounts T1213.003 Code Repositories T1567.002 Exfiltration to Cloud Storage
IOC ที่สำคัญ
43.153.227[.]206 150.109.230[.]104

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

JetBrains Cadence Breach: Attackers Exploit Unpatched TeamCity CVE-2026-63077 to Exfiltrate AWS Credentials and Source Code - Rescana

แคมเปญ Contagious Interview แทรกซึมแพ็กเกจ npm แบบซ่อนสามชั้นเพื่อปล่อยมัลแวร์ขโมยข้อมูล MicrosoftSystem64

เผยแพร่: 1 กันยายน 2569  ·  แหล่งที่มา: SafeDep  ·  Admiralty B2

SafeDep รายงานการตรวจพบแพ็กเกจอันตราย ulid-xyz บนระบบ npm ที่จงใจพิมพ์ชื่อเลียนแบบแพ็กเกจยอดนิยม ulidx โดยซ่อนตัวอยู่ลึก 3 ชั้นภายใต้การพึ่งพาของแพ็กเกจอื่น และถูกฝังในคลังโค้ด GitHub จำนวน 28 แห่ง มัลแวร์ดังกล่าวจะทำงานผ่าน postinstall hook เพื่อสั่งรันโทรจัน MicrosoftSystem64 พร้อมสร้างกลไกคงอยู่ถาวรบนระบบปฏิบัติการทั้ง Windows, macOS และ Linux ก่อนเชื่อมต่อไปยังเซิร์ฟเวอร์ควบคุมผ่าน WebSocket ซึ่งมีพฤติกรรมสอดคล้องกับกลุ่มภัยคุกคาม Contagious Interview จากเกาหลีเหนือ

ผลกระทบต่อประเทศไทย

น่าจะกระทบไทย ต่อนักพัฒนาซอฟต์แวร์และวิศวกรไอทีไทย โดยเฉพาะกลุ่มที่รับงานอิสระหรือสัมภาษณ์งานกับบริษัทต่างชาติ ซึ่งเป็นเป้าหมายหลักของการหลอกล่อให้ดาวน์โหลดโค้ดทดสอบที่แอบฝังมัลแวร์

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การโจมตีห่วงโซ่อุปทานผ่านโอเพนซอร์สและการหลอกลวงวิศวกรผ่านการสัมภาษณ์งาน กลายเป็นช่องทางหลักในการเข้าถึงเครือข่ายองค์กรเทคโนโลยี

ยุทธการ: ผู้โจมตีใช้เทคนิคการซ่อนมัลแวร์ลึกหลายชั้นผ่าน transitive dependencies เพื่อหลบเลี่ยงการตรวจสอบโค้ดแบบผิวเผินและเครื่องมือตรวจจับแพ็กเกจทั่วไป

ยุทธวิธี: ทีมนักพัฒนาควรเปิดใช้ระบบล็อกเวอร์ชันแพ็กเกจ ตรวจสอบความถูกต้องของสคริปต์ postinstall และระงับการเชื่อมต่อไปยังไอพี C2 ปลายทาง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

นักพัฒนาซอฟต์แวร์, ภาคเทคโนโลยีสารสนเทศ (IT), บริษัทสตาร์ทอัป, ฟินเทค (FinTech) และแพลตฟอร์ม Web3

MITRE ATT&CK
T1195.001 Compromise Software Dependencies T1059.007 JavaScript T1053.005 Scheduled Task T1543.001 Launch Agent T1543.002 Systemd Service
IOC ที่สำคัญ
hxxp://65[.]21[.]30[.]171:8010 hxxp://95[.]216[.]232[.]162:8010

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

A malicious npm package hidden three dependencies deep: the ulid-xyz delivery chain - SafeDep

แคมเปญ Silver Fox สร้างเว็บไซต์ปลอมแปลงโปรแกรมยอดนิยมเพื่อแพร่กระจายมัลแวร์และยึดการควบคุมระบบองค์กร

เผยแพร่: 1 กันยายน 2569  ·  แหล่งที่มา: Microsoft Threat Intelligence  ·  Admiralty A1

Microsoft Threat Intelligence ตรวจพบแคมเปญมัลแวร์ Silver Fox (หรือ Yinhu) ที่สร้างเว็บไซต์ดาวน์โหลดซอฟต์แวร์ปลอมเลียนแบบผู้พัฒนาโปรแกรมยอดนิยม เช่น โปรแกรมวาดแผนผัง โปรแกรมอ่านเอกสาร และเครื่องมือไอที เมื่อเหยื่อดาวน์โหลดและรันตัวติดตั้ง มัลแวร์จะใช้เทคนิค DLL side-loading ร่วมกับการสั่งรันผ่าน msiexec.exe เพื่อติดตั้งแบ็กดอร์ จากนั้นจะตั้งค่ายกเว้นการสแกนใน Microsoft Defender ปิดระบบอัปเดตของ Windows และลบ Volume Shadow Copies เพื่อขัดขวางการกู้คืนระบบ

ผลกระทบต่อประเทศไทย

น่าจะกระทบไทย ต่อพนักงานองค์กรและบุคลากรไอทีที่ค้นหาและดาวน์โหลดซอฟต์แวร์ยูทิลิตี้จากเครื่องมือค้นหาทางอินเทอร์เน็ต ซึ่งมักพบเว็บไซต์ปลอมแปลงติดอันดับการค้นหาผ่านเทคนิค SEO Poisoning

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การปล่อยให้ผู้ใช้งานดาวน์โหลดและติดตั้งโปรแกรมได้เองอย่างอิสระโดยขาดการควบคุมแอปพลิเคชัน เป็นช่องโหว่สำคัญที่เปิดทางให้มัลแวร์เข้าสู่เครือข่ายภายใน

ยุทธการ: ผู้โจมตีใช้โปรแกรมติดตั้งที่ดูน่าเชื่อถือเพื่อหลบเลี่ยงการตรวจสอบเบื้องต้น ก่อนใช้สิทธิ์ผู้ดูแลระบบสั่งปิดกลไกการป้องกันและความปลอดภัยของระบบปฏิบัติการ

ยุทธวิธี: ผู้ดูแลระบบควรกำหนดนโยบายจำกัดการติดตั้งซอฟต์แวร์ (Application Whitelisting) เปิดใช้งาน Tamper Protection ในโปรแกรมป้องกันไวรัส และบล็อกโดเมนล่อลวงในเครือข่าย

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคเทคโนโลยีสารสนเทศ (IT), หน่วยงานภาครัฐ, สาธารณสุข, ภาคการผลิต และการศึกษา

MITRE ATT&CK
T1583.001 Domains T1204.002 Malicious File T1218.007 Msiexec T1574.002 DLL Side-Loading T1562.001 Disable or Modify Tools T1490 Inhibit System Recovery
IOC ที่สำคัญ
pc-razerzone[.]com[.]cn app-microsoft-edge[.]com[.]cn

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

Counterfeit installers to system compromise: Tracking a deceptive software download campaign - Microsoft Security Blog

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: ภัยคุกคามในสัปดาห์นี้ชี้ให้เห็นถึงความจำเป็นในการยกระดับความมั่นคงปลอดภัยทั้งในระดับโครงสร้างพื้นฐานเครือข่าย ระบบการพัฒนาซอฟต์แวร์ และการควบคุมเครื่องปลายทาง องค์กรควรเร่งตรวจสอบช่องโหว่และปฏิบัติตามข้อเสนอแนะอย่างเคร่งครัดเพื่อลดความเสี่ยงจากการถูกบุกรุก

TLP:CLEAR

ห้วงเวลาข้อมูล: 31 สิงหาคม - 6 กันยายน 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)