Retail & E-Commerce Sector Weekly Report
ห้วงเวลา: 31 สิงหาคม - 6 กันยายน 2569
TLP:CLEARสัปดาห์นี้ภัยคุกคามในภาคการค้าปลีกและอีคอมเมิร์ซทวีความรุนแรงขึ้นอย่างมีนัยสำคัญ โดยประเด็นเร่งด่วนสูงสุดคือ (1) การโจมตีช่องโหว่ 0-Day รหัส CVE-2026-75650 (StyleSmuggler) บนระบบ Magento 2 และ Adobe Commerce เพื่อฝังแบ็กดอร์ Rust และสคริปต์ Magecart ขโมยข้อมูลบัตรเครดิตของผู้บริโภค (2) กลุ่มอาชญากรไซเบอร์ BREEZE COMET นำ Generative AI มาช่วยเขียนสคริปต์เจาะระบบ API การชำระเงินหลักและโครงสร้างธุรกรรมการเงิน (3) การวิเคราะห์มัลแวร์เรียกค่าไถ่ DragonForce Windows Locker ที่เข้ารหัสแชร์ไฟล์ SMB ด้วย ChaCha8 และลบ Shadow Copy ผ่าน WMI และ (4) มัลแวร์ BraZetsu ที่ใช้ AI สแกนระบบ ERP และฐานข้อมูลร้านค้าเพื่อนำสิทธิ์การเข้าถึงไปขายต่อในตลาดมืด IAB
Sansec ตรวจพบการโจมตีช่องโหว่ระดับวิกฤตประเภท Remote Code Execution ที่ยังไม่มีแพตช์ (0-Day) รหัส CVE-2026-75650 หรือชื่อเรียก StyleSmuggler บนระบบร้านค้าออนไลน์ Magento 2 และ Adobe Commerce ผู้โจมตีอาศัยการส่งคำขอแบบพิเศษไปยังพาธ /customer/section/load เพื่อบังคับให้ระบบโหลดเซกชันลูกค้าใหม่และแทรกโค้ดอันตรายผ่านเลเยอร์จัดการสไตล์ การโจมตีนี้เปิดทางให้ผู้ไม่หวังดีดาวน์โหลดไฟล์ดรอปเปอร์ PHP ขนาด 485 ไบต์ (ไฟล์ mag.txt) จากเซิร์ฟเวอร์ภายนอก เพื่อนำไปสู่การติดตั้งแบ็กดอร์ภาษา Rust และสคริปต์ดักขโมยข้อมูลบัตรเครดิตขณะชำระเงิน (Magecart E-skimming) โดยระบบของมัลแวร์จะส่งข้อมูลคอลแบ็กไปยังโฮสต์ภายนอกเพื่อยืนยันการรันโค้ดสำเร็จ
มีผลกระทบโดยตรง (Direct Impact) - แบรนด์ค้าปลีก ห้างสรรพสินค้า และผู้ประกอบการพาณิชย์อิเล็กทรอนิกส์ชั้นนำในประเทศไทยจำนวนมากใช้ Magento 2 และ Adobe Commerce เป็นแพลตฟอร์มหน้าร้านหลัก เนื่องจากช่องโหว่นี้ยังไม่มีแพตช์อย่างเป็นทางการ ร้านค้าออนไลน์ในไทยจึงเสี่ยงต่อการถูกเจาะระบบเพื่อฝัง Magecart ขโมยข้อมูลบัตรเครดิตและข้อมูลส่วนบุคคลของผู้บริโภคชาวไทยที่ทำรายการสั่งซื้อ
ยุทธศาสตร์: กลุ่มอาชญากรไซเบอร์ยังคงมุ่งเป้าแพลตฟอร์มอีคอมเมิร์ซยอดนิยมระดับโลกเพื่อดักจับข้อมูลการเงินต้นทางก่อนที่จะเข้าสู่เกตเวย์ชำระเงิน
ยุทธการ: การพัฒนาเพย์โหลดในภาษา Rust ช่วยเพิ่มขีดความสามารถในการหลบเลี่ยงระบบตรวจจับไฟล์บนเว็บเซิร์ฟเวอร์แบบดั้งเดิม
ยุทธวิธี: การใช้คำขอผ่าน Endpoint มาตรฐานของ Magento ทำให้คำขอโจมตีดูกลมกลืนกับทราฟฟิกการเข้าชมสินค้าของลูกค้าทั่วไป
เซิร์ฟเวอร์เว็บแอปพลิเคชันอีคอมเมิร์ซ Magento 2, Adobe Commerce และหน้าชำระเงินออนไลน์ของร้านค้าปลีก
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Google Cloud Threat Intelligence (Mandiant) รายงานกิจกรรมของกลุ่มผู้ก่อภัยคุกคาม BREEZE COMET ซึ่งมีเป้าหมายเฉพาะเจาะจงที่ระบบประมวลผลธุรกรรมและช่องทางการชำระเงินของบราซิล (อาทิ Pix, Boleto และ STR) โดยค้นหาคำศัพท์เฉพาะทางภาษาโปรตุเกส และเน้นเจาะระบบ API การชำระเงินระดับแกนกลางของสถาบันการเงิน (ไม่ใช่เครื่อง POS หน้าร้านทั่วไป) ประเด็นสำคัญเชิงเทคนิคที่ Google เน้นย้ำคือกลุ่มนี้ใช้ Generative AI ในการสร้างและปรับแต่งสคริปต์โจมตี ซึ่งสังเกตได้จากรูปแบบโค้ดที่มีคอมเมนต์อธิบายการทำงานอย่างละเอียดผิดปกติ (verbose comments) และมีโครงสร้าง Header มาตรฐานที่สะท้อนถึงการเจเนอเรตโดยโมเดลภาษาขนาดใหญ่ ผู้โจมตีนำสคริปต์ดังกล่าวมาผสานกับคลังมัลแวร์เฉพาะทางหลากภาษา ได้แก่ COBALTSPIN (Rust reverse SOCKS5 tunneler), REALBREEZE (LDAP brute-force utility), BOATBEAM (Golang backdoor), MILDFROST (Java JAR backdoor) และ KICKPLATE (Nim backdoor) โดยใช้บริการฝากข้อความ dontpad[.]com ในการรับส่งคำสั่ง C2 และลักลอบส่งออกข้อมูล
เฝ้าระวังผลกระทบทางอ้อม (Spillover) - การโจมตีของกลุ่ม BREEZE COMET มุ่งเป้าโครงสร้างพื้นฐานการชำระเงินเฉพาะของประเทศบราซิล (Pix, Boleto, STR) โดยตรง จึงยังไม่พบความเสี่ยงหรือการพุ่งเป้าระบบชำระเงินและเครื่อง POS ของภาคค้าปลีกไทยในทันที อย่างไรก็ดี ภาคการเงินและแพลตฟอร์มอีคอมเมิร์ซไทยควรเฝ้าระวัง TTPs เชิงกลยุทธ์ โดยเฉพาะแนวโน้มการนำ Generative AI มาช่วยสร้างสคริปต์เจาะระบบแบบกึ่งอัตโนมัติ และการใช้ SOCKS5 Tunnel แทรกซึมระบบหลังบ้าน
ยุทธศาสตร์: การประยุกต์ใช้ Generative AI เพื่อเร่งความเร็วในการพัฒนาสคริปต์โจมตีเริ่มปรากฏให้เห็นในปฏิบัติการจริงของกลุ่มอาชญากรไซเบอร์ทางการเงิน
ยุทธการ: ผู้โจมตีเปลี่ยนเป้าหมายจากการโจมตีปลายทางทั่วไปมาเป็นการเจาะระบบแกนกลางและ API การทำธุรกรรมเพื่อสั่งโอนเงินทุจริตมูลค่าสูง
ยุทธวิธี: การใช้คอมเมนต์และโครงสร้างสคริปต์ที่สร้างด้วย AI ร่วมกับการพัฒนามัลแวร์ด้วยภาษาหลากหลาย (Rust, Go, Java, Nim) และเว็บฝากข้อความ dontpad[.]com ช่วยหลบเลี่ยงการวิเคราะห์ซิกเนเจอร์ทั่วไป
ระบบแกนกลางการประมวลผลการชำระเงิน (Pix / Boleto / STR APIs), เซิร์ฟเวอร์ธุรกรรมการเงิน และไดเรกทอรี LDAP ภายในองค์กร
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
DarkAtlas Squad เผยแพร่ผลการวิเคราะห์ตัวอย่างมัลแวร์เรียกค่าไถ่ DragonForce สำหรับระบบปฏิบัติการ Windows (32-bit PE) ซึ่งมีพฤติกรรมเข้ารหัสไฟล์ทั้งบนไดรฟ์เครื่องและโฟลเดอร์แชร์บนเครือข่าย SMB ที่เข้าถึงได้ด้วยสิทธิ์ของผู้ใช้ปัจจุบัน มัลแวร์ทำงานแบบ Multi-threaded และเข้ารหัสไฟล์ด้วยอัลกอริทึม ChaCha8 (ผลการวิเคราะห์ยืนยันว่าอัลกอริทึม ChaCha12 และ ChaCha20 ไม่สามารถใช้ถอดรหัสข้อมูลตัวอย่างนี้ได้) ในส่วนของการขัดขวางการกู้คืนระบบ ตัวล็อกไฟล์จะสั่งลบ Volume Shadow Copies โดยสร้างการเชื่อมต่อ WMI ไปยังเนมสเปซ ROOT\CIMV2 (คลาส Win32_ShadowCopy) และเรียกใช้คำสั่งผ่าน WMIC.exe (wmic shadowcopy ... delete) โดยไม่มีการใช้คำสั่ง vssadmin, wbadmin, bcdedit หรือการล้าง event log แต่อย่างใด นอกจากนี้ยังทำการยุติโปรเซสและเซอร์วิสเป้าหมาย 38 รายการ จากนั้นเปลี่ยนนามสกุลไฟล์เป็น .df_win และทิ้งข้อความเรียกค่าไถ่พร้อมลิงก์ไปยังห้องเจรจาบนเครือข่าย Tor
มีความเป็นไปได้ (Likely) - ศูนย์กระจายสินค้า คลังสินค้า และห้างค้าปลีกในไทยมีการแชร์ไฟล์ผ่านโพรโทคอล SMB เพื่อแลกเปลี่ยนข้อมูลสต็อกสินค้า หากเครื่องลูกข่ายติดมัลแวร์ DragonForce ไฟล์บนแชร์ส่วนกลางที่เข้าถึงได้อาจถูกเข้ารหัสด้วย ChaCha8 ภายในเวลาอันสั้น อย่างไรก็ดี รายงานนี้เป็นการวิเคราะห์เชิงเทคนิคจากแหล่งข้อมูลเดียว (Single-source research โดย DarkAtlas Squad) องค์กรในไทยควรเฝ้าระวังพฤติกรรมของมัลแวร์ควบคู่กับการยืนยันภัยคุกคามจากแหล่งข่าวกรองหลัก
ยุทธศาสตร์: กลุ่มแรนซัมแวร์ให้ความสำคัญกับความเร็วในการเข้ารหัสข้อมูลเพื่อสร้างความเสียหายสูงสุดต่อการดำเนินธุรกิจก่อนที่ทีมตอบสนองเหตุการณ์จะเข้าควบคุมสถานการณ์
ยุทธการ: การเลือกใช้อัลกอริทึม ChaCha8 ที่มีรอบการคำนวณน้อยกว่า ช่วยลดระยะเวลาในการล็อกไฟล์ขนาดใหญ่และแชร์ไฟล์บนเครือข่ายได้อย่างมีนัยสำคัญ
ยุทธวิธี: การลบ Shadow Copies ผ่าน WMI/WMIC แทนการใช้คำสั่ง vssadmin ช่วยหลบเลี่ยงระบบตรวจจับที่เฝ้าระวังเฉพาะคำสั่งบรรทัดคำสั่งแบบเดิม
โฟลเดอร์แชร์บนเครือข่าย SMB, ระบบฐานข้อมูลสินค้าคงคลัง (Inventory) และเครื่องแม่ข่ายในเครือข่ายองค์กรค้าปลีก
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Group-IB ตรวจพบมัลแวร์ภาษา Python ชื่อ BraZetsu ซึ่งพัฒนาโดยกลุ่ม Exilware โดยมีเป้าหมายหลักในกลุ่มประเทศที่ใช้ภาษาโปรตุเกสและสเปนในแถบละตินอเมริกา (โดยเฉพาะบราซิล) และคาบสมุทรไอบีเรีย มัลแวร์ถูกคอมไพล์ด้วย Nuitka เพื่อแปลงโค้ดไพทอนเป็นภาษา C ทำให้ได้ไฟล์ไบนารีที่สามารถหลบเลี่ยงการตรวจจับของแอนติไวรัสได้โดยสมบูรณ์ (FUD) โดยกลุ่มคนร้ายใช้เทคโนโลยี AI เข้ามาช่วยสนับสนุนทั้งในขั้นตอนการพัฒนาโค้ดมัลแวร์และการวิเคราะห์จัดลำดับความสำคัญของเหยื่อ มัลแวร์จะสแกนค้นหาระบบ ERP ระบบหน้าร้าน และฐานข้อมูลอีคอมเมิร์ซ จากนั้นรวบรวมข้อมูลประจำตัวส่งต่อไปประมูลขายในตลาดมืด Infect Marketplace ในฐานะ Initial Access Broker (IAB) เพื่อเปิดทางให้กลุ่มแรนซัมแวร์นำไปใช้โจมตีต่อ
เฝ้าระวังผลกระทบทางอ้อม (Spillover) - เนื่องจากแคมเปญของมัลแวร์ BraZetsu มีเป้าหมายหลักในภูมิภาคละตินอเมริกาและไอบีเรีย ความเสี่ยงทางตรงต่อธุรกิจค้าปลีกในประเทศไทยจึงอยู่ในระดับต่ำ อย่างไรก็ดี โมเดลธุรกิจ Initial Access Broker (IAB) ที่นำ AI มาช่วยคัดกรองเหยื่อและเชื่อมโยงกับตลาดมืดอัตโนมัติ ถือเป็นภัยคุกคามสากลที่องค์กรค้าปลีกไทยควรเฝ้าระวังไม่ให้ระบบ ERP หรือหน้าจัดการร้านค้าออนไลน์เปิดสู่สาธารณะโดยไม่มีการควบคุม
ยุทธศาสตร์: การผสาน AI เข้ากับระบบตลาดมืด IAB ช่วยให้อาชญากรไซเบอร์เฉพาะภูมิภาคสามารถสร้างรายได้จากการเจาะระบบได้อย่างมีประสิทธิภาพสูงขึ้น
ยุทธการ: การคอมไพล์โค้ด Python ผ่าน Nuitka เป็นภาษา C กลายเป็นเทคนิคยอดนิยมในการหลบเลี่ยงระบบตรวจจับแบบดั้งเดิมของมัลแวร์สายพันธุ์ใหม่
ยุทธวิธี: การใช้ AI ช่วยจัดลำดับความสำคัญของเหยื่อทำให้ผู้โจมตีสามารถคัดแยกบัญชีที่มีสิทธิ์ระดับสูงในระบบ ERP และฐานข้อมูลร้านค้าได้อย่างรวดเร็ว
เครื่องแม่ข่าย ERP, พอร์ทัลจัดการร้านค้าออนไลน์ และเครื่องลูกข่ายของภาคค้าปลีก
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
/customer/section/load/ ร่วมกับพารามิเตอร์ force_new_section_timestamp ที่ผิดปกติบน Magento และ Adobe Commerce จนกว่าจะมีแพตช์ทางการWin32_ShadowCopydontpad[.]com