Corporate Services & SMEs Sector Weekly Report
ห้วงเวลา: 26 ตุลาคม - 1 พฤศจิกายน 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 26 ตุลาคม ถึง 1 พฤศจิกายน 2569 ภาพรวมสถานการณ์ภัยคุกคามทางไซเบอร์ในกลุ่มองค์กรธุรกิจและภาคเอกชน (Corporate) มีการเปลี่ยนแปลงเชิงกลยุทธ์ที่น่าจับตามองอย่างยิ่ง โดยกลุ่มผู้ไม่ประสงค์ดีได้มุ่งเป้าเจาะระบบอัตลักษณ์ (Identity) และเครื่องมือการทำงานร่วมกันขององค์กรแทนการเจาะช่องโหว่ซอฟต์แวร์แบบดั้งเดิม ประการแรก ทีมนักวิจัย ANY.RUN เผยแพร่การวิเคราะห์ชุดเครื่องมือฟิชชิ่ง SkyW4lker ซึ่งมุ่งเป้าบัญชี Microsoft 365 ระดับองค์กรด้วยเทคนิค OAuth Device Code Flow ทำให้ผู้โจมตีสามารถขโมยโทเคนสิทธิ์การเข้าถึงระบบได้โดยไม่ต้องล่วงรู้รหัสผ่านและสามารถบายพาสการยืนยันตัวตนแบบหลายปัจจัย (MFA) ประการที่สอง Ransom-ISAC เปิดเผยรายงานวิเคราะห์ข้อมูลรั่วไหลภายในของกลุ่ม Silent Ransom Group (Luna Moth) ซึ่งชี้ให้เห็นการดำเนินงานแบบธุรกิจมืออาชีพที่ใช้การโทรศัพท์หลอกลวง (Vishing) และ Callback Phishing หว่านล้อมให้พนักงานฝ่ายบัญชีและกฎหมายติดตั้งเครื่องมือบริหารจัดการระยะไกล (RMM) เพื่อขโมยข้อมูลความลับองค์กรไปขู่กรรโชกทรัพย์โดยไม่ใช้มัลแวร์เข้ารหัสไฟล์ ประการที่สาม Arctic Wolf Labs ตรวจพบเหตุการณ์กว่า 400 กรณีที่ผู้โจมตีอาศัยฟีเจอร์การแชตกับบุคคลภายนอกของ Microsoft Teams ทำการส่งสแปมถล่มกล่องข้อความ (Mail Bombing) ก่อนส่งข้อความสวมรอยเป็นฝ่ายไอทีหลอกให้เหยื่อเปิดโปรแกรม Quick Assist และเข้าควบคุมเครื่องได้ภายในเวลาเฉลี่ยไม่ถึง 15 นาที และประการสุดท้าย Morphisec ตรวจพบแคมเปญแพร่กระจายมัลแวร์ขโมยข้อมูล XLoader โดยพรางตัวในอีเมลใบสั่งซื้อสินค้าและใช้ตัวแปลภาษา LuaJIT ร่วมกับเทคนิค Shared-Section Injection ในหน่วยความจำเพื่อหลบเลี่ยงการตรวจจับ ส่งผลให้องค์กรธุรกิจต้องเร่งปรับปรุงนโยบายการควบคุมอัตลักษณ์และการสื่อสารภายนอกอย่างเร่งด่วน
ทีมนักวิจัย ANY.RUN เผยแพร่รายงานวิเคราะห์ชุดเครื่องมือฟิชชิ่งสายพันธุ์ SkyW4lker (หรือ SkyW4lker x365 Sentinel) ซึ่งถูกออกแบบมาเพื่อโจมตีโครงสร้างพื้นฐานคลาวด์ขององค์กรธุรกิจ โดยเฉพาะบัญชี Microsoft 365 โดยการโจมตีไม่ได้ใช้หน้าล็อกอินปลอมเพื่อดักจับรหัสผ่านตามแบบดั้งเดิม แต่ใช้วิธีการลวงให้ผู้ใช้งานกรอกรหัสยืนยันผ่านกระบวนการ OAuth Device Authorization Grant Flow (Device Code Flow) ของระบบ Microsoft จริง ส่งผลให้ผู้โจมตีสามารถขโมยโทเคนสิทธิ์การเข้าถึง (Session Tokens) ขององค์กรได้โดยสมบูรณ์โดยไม่ต้องผ่านการป้อนรหัสผ่านหรือถูกสกัดกั้นด้วยระบบ Multi-Factor Authentication (MFA) ทั่วไป
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจในไทย - ปัจจุบันองค์กรธุรกิจและภาคเอกชนในประเทศไทยส่วนใหญ่พึ่งพาการทำงานบนคลาวด์ Microsoft 365 และ Entra ID (Azure AD) โดยมักไว้วางใจว่าการเปิดใช้งาน MFA จะเพียงพอต่อการป้องกัน หากไม่มีการจำกัดสิทธิ์หรือตรวจจับการร้องขอ Device Code Flow จากอุปกรณ์ภายนอก บัญชีระดับผู้ใช้งานและฝ่ายบริหารจะมีความเสี่ยงสูงต่อการถูกเจาะระบบขโมยโทเคน
ยุทธศาสตร์: ภัยคุกคามด้านอัตลักษณ์ก้าวข้ามการดักจับรหัสผ่านไปสู่การบิดเบือนโปรโตคอลการยืนยันตัวตนระดับแอปพลิเคชันคลาวด์ ทำให้การป้องกันแบบเดิมไม่เพียงพอต่อการปกป้องสินทรัพย์ข้อมูลองค์กร
ยุทธการ: ผู้โจมตีใช้เอกสารลวงตาและโครงสร้างพื้นฐานคลาวด์ที่น่าเชื่อถือในการกระจายลิงก์ เพื่อส่งคำขอ Device Code Flow และดึงโทเคนการเข้าถึงกลับไปยังระบบเซิร์ฟเวอร์ C2
ยุทธวิธี: ผู้ดูแลระบบต้องจำกัดนโยบาย Device Authorization Grant ใน Entra ID, ตรวจสอบ Sign-in Logs ที่มีเหตุการณ์ Device Code Authentication จากไอพีภายนอก, และบล็อกการเชื่อมต่อไปยังไอพี 162.243.64[.]121 และโดเมน 0ff365access.mooo[.]com
องค์กรธุรกิจ, ภาคการผลิต, สถาบันเทคโนโลยี, และผู้ใช้งาน Microsoft 365 ในภาคเอกชน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Ransom-ISAC เผยแพร่รายงานวิเคราะห์ข้อมูลรั่วไหลครั้งใหญ่จากกลุ่มอาชญากรไซเบอร์ Silent Ransom Group (SRG) หรือที่รู้จักในชื่อ Luna Moth, Chatty Spider และ UNC3753 ซึ่งแสดงให้เห็นโครงสร้างการดำเนินงานของขบวนการขู่กรรโชกทรัพย์แบบองค์กรธุรกิจที่มีการแบ่งฝ่ายงานชัดเจน ทั้งทีมวิจัยเป้าหมาย, ทีมโทรศัพท์หลอกลวง (Vishing), ฝ่ายเทคนิคควบคุมรีโมต และทีมเจรจาเรียกค่าไถ่ โดยกลุ่มนี้ใช้กลยุทธ์ Callback Phishing ส่งอีเมลแจ้งเตือนใบแจ้งหนี้บริการปลอมเพื่อล่อลวงให้เหยื่อโทรกลับหาคอลเซ็นเตอร์ จากนั้นพนักงานคอลเซ็นเตอร์จะใช้วิศวกรรมสังคมหว่านล้อมให้ติดตั้งเครื่องมือบริหารจัดการระยะไกล (RMM) เข้าไปสูบข้อมูลลับขององค์กร เช่น เอกสารสัญญาและข้อมูลบัญชี เพื่อเรียกค่าไถ่หลายสิบล้านดอลลาร์สหรัฐโดยไม่ต้องพึ่งพามัลแวร์เข้ารหัสข้อมูล (Encryptionless Extortion)
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจในไทย - รูปแบบ Callback Phishing มุ่งเป้าไปยังฝ่ายบัญชีและการเงินขององค์กรธุรกิจ ซึ่งมักเป็นจุดอ่อนด้านความตระหนักรู้ด้านความมั่นคงปลอดภัย หากองค์กรในไทยไม่มีการกำหนดนโยบายห้ามติดตั้งซอฟต์แวร์ Remote Support โดยไม่ได้รับอนุญาตจากฝ่ายไอที อาจตกเป็นเหยื่อของการขโมยข้อมูลความลับทางการค้าและการขู่กรรโชกทรัพย์ในลักษณะเดียวกัน
ยุทธศาสตร์: ขบวนการแรนซัมแวร์ปรับเปลี่ยนโมเดลธุรกิจจากการเข้ารหัสไฟล์มาเป็นการโจรกรรมข้อมูลล้วน ซึ่งลดความซับซ้อนในการหลบเลี่ยงระบบแอนตีไวรัสและใช้ประโยชน์จากความอ่อนไหวของข้อมูลลับองค์กร
ยุทธการ: ผู้โจมตีใช้เทคนิคทางจิตวิทยากดดันเหยื่อผ่านโทรศัพท์เพื่อสร้างความไว้วางใจ จากนั้นนำเครื่องมือควบคุมระยะไกลที่ถูกกฎหมายมาใช้เป็นช่องทางดาวน์โหลดและดูดข้อมูลออกไปยังคลาวด์ภายนอก
ยุทธวิธี: ผู้ดูแลระบบต้องจำกัดสิทธิ์การติดตั้งโปรแกรม Remote Desktop และ RMM บนเครื่องพนักงาน, เฝ้าระวังไฟล์ที่มีค่าแฮช d2f3a78a814ca628ca54358cc35808b8bd032bcde81f72134addc05e5546285e และบล็อกการเชื่อมต่อไปยังไอพี 87.251.67[.]222 และ 87.251.67[.]223
สำนักงานกฎหมาย, ธุรกิจสอบบัญชี, สถาบันการเงิน, บริษัทประกันภัย, และฝ่ายการเงินขององค์กรธุรกิจ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Arctic Wolf Labs เปิดเผยรายงานวิเคราะห์เหตุการณ์ความมั่นคงปลอดภัยกว่า 400 กรณี ซึ่งพบว่ากลุ่มผู้ไม่ประสงค์ดีได้ใช้ประโยชน์จากการตั้งค่าเริ่มต้นของ Microsoft Teams ที่อนุญาตให้รับข้อความจากผู้ใช้งานภายนอกองค์กร (External Access) เพื่อสร้างช่องทางเจาะระบบขั้นต้น (Initial Access) โดยผู้โจมตีเริ่มจากการระดมส่งอีเมลสแปมและจดหมายข่าวปลอมเข้าสู่อินบ็อกซ์ของเหยื่อปริมาณมาก (Mail Bombing) เพื่อสร้างความตื่นตระหนก จากนั้นจะส่งข้อความแชตผ่านบัญชี Teams ภายนอกที่ตั้งชื่อสวมรอยเป็นฝ่ายสนับสนุนไอทีภายใน เช่น "IT Support (Internal)" เพื่อเสนอตัวเข้ามาช่วยเหลือในการจัดการปัญหา โดยหลอกล่อให้พนักงานเปิดโปรแกรม Quick Assist หรือดาวน์โหลดซอฟต์แวร์รีโมต RMM จนสามารถเข้าควบคุมเครื่องปลายทางและเข้าถึงระบบเครือข่ายภายในองค์กรได้สำเร็จในเวลาเฉลี่ยไม่ถึง 15 นาที
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจในไทย - แอปพลิเคชัน Microsoft Teams เป็นหนึ่งในแพลตฟอร์มการสื่อสารและการทำงานร่วมกันหลักขององค์กรธุรกิจในไทย หากผู้ดูแลระบบไอทีเปิดใช้งาน External Communication เป็นค่าเริ่มต้นและไม่ได้กำหนดนโยบายคัดกรองโดเมนภายนอก พนักงานองค์กรจะมีความเสี่ยงสูงที่จะหลงเชื่อข้อความแชตที่สวมรอยเป็นทีมซัพพอร์ตไอทีภายใน
ยุทธศาสตร์: การสื่อสารภายในองค์กรผ่านเครื่องมือ Collaboration ได้กลายเป็นเป้าหมายใหม่ของวิศวกรรมสังคม เนื่องจากพนักงานมีความไว้ใจต่อข้อความในระบบมากกว่าอีเมลทั่วไป
ยุทธการ: ผู้โจมตีประสานการโจมตีแบบผสมผสานระหว่างการทำ Mail Bombing เพื่อสร้างสถานการณ์เร่งด่วน กับการติดต่อผ่านแชตภายนอกเพื่อให้เหยื่อยอมเปิดสิทธิ์การรีโมตควบคุมเครื่อง
ยุทธวิธี: ผู้ดูแลระบบต้องปรับเปลี่ยนนโยบาย External Access ใน Teams ให้เป็นแบบจำกัดเฉพาะโดเมนคู่ค้าที่ได้รับอนุญาต (Allow-list), ปิดการแชตกับบัญชีบุคคลทั่วไป, และบล็อกโดเมนเทแนนท์ผู้โจมตี เช่น supportedge33.onmicrosoft[.]com และ helpdeskteam365.onmicrosoft[.]com
องค์กรธุรกิจ, บริษัทเอกชน, หน่วยงานที่ใช้งานระบบความร่วมมือ Microsoft Teams ในการทำงาน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Morphisec เผยแพร่รายงานการตรวจพบแคมเปญฟิชชิ่งพุ่งเป้าภาคธุรกิจที่แพร่กระจายมัลแวร์ขโมยข้อมูลสายพันธุ์ XLoader (ซึ่งพัฒนาต่อเนื่องมาจากสายตระกูล FormBook) โดยแคมเปญนี้ส่งอีเมลลวงหัวข้อเกี่ยวกับการจัดซื้อสินค้าและใบเสนอราคาแนบไฟล์อาร์ไคฟ์ RAR ที่บรรจุไฟล์ JScript อันตราย ความโดดเด่นทางเทคนิคของแคมเปญนี้คือการหลีกเลี่ยงการรันไฟล์ Execute แบบเดิม โดยเปลี่ยนมาดร็อปและรันตัวแปลภาษา Lua Just-In-Time (LuaJIT) เวอร์ชัน x86 ร่วมกับสคริปต์ตัวโหลดภาษา Lua เพื่อหลบเลี่ยงการตรวจจับของแอนตีไวรัส จากนั้นจึงใช้เทคนิค Shared-Section Injection ในหน่วยความจำเพื่อถอดรหัสและฝังเพย์โหลดมัลแวร์ XLoader เข้าสู่โปรเซสของระบบปฏิบัติการ Windows อย่างแนบเนียน ก่อนเริ่มปฏิบัติการขโมยข้อมูลการล็อกอิน คุกกี้เซสชัน และข้อมูลประจำตัวใน Password Manager ขององค์กร
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจในไทย - แผนกจัดซื้อ แผนกขาย และฝ่ายบัญชีขององค์กรธุรกิจในประเทศไทยมีการรับส่งเอกสารคำสั่งซื้อและใบเสนอราคาผ่านอีเมลเป็นประจำทุกวัน การใช้เทคนิค Loader ด้วยภาษา Lua และการฉีดโค้ดผ่าน Shared Section ทำให้โซลูชันตรวจจับอีเมลและแอนตีไวรัสทั่วไปไม่สามารถตรวจพบไฟล์ได้อย่างมีประสิทธิภาพ
ยุทธศาสตร์: ฝ่ายโจมตีหันมาใช้สคริปต์เอนจินขนาดเล็กที่ถูกกฎหมาย เช่น Lua เพื่อสร้างความซับซ้อนในการทำ Reverse Engineering และหลบเลี่ยงการวิเคราะห์ของระบบตรวจจับอัตโนมัติ
ยุทธการ: การโจมตีใช้กลไกการส่งต่ออีเมลหลอกลวงเชิงพาณิชย์ที่มีบริบททางธุรกิจสมจริง เพื่อหลอกให้เหยื่อแตกไฟล์และเปิดสคริปต์ จากนั้นทำการฉีดโค้ดระดับหน่วยความจำเพื่อไม่ให้เกิดร่องรอยไฟล์อันตรายบนฮาร์ดดิสก์
ยุทธวิธี: ผู้ดูแลระบบควรบล็อกการรับส่งไฟล์อาร์ไคฟ์ที่มีสคริปต์แปลกปลอมในอีเมลเกตเวย์, ตั้งค่าตรวจจับพฤติกรรม Shared-Section Injection ในระบบ EDR, และเฝ้าระวังตัวบ่งชี้ไอพี 66.113.160[.]32 พร้อมค่าแฮช 6d7aaf1e563032ba46d8e0f1c8eab2b91d383fb2e5d00a1d4fff891f78a3572b
แผนกจัดซื้อ, แผนกบัญชีการเงิน, ฝ่ายขายขององค์กรธุรกิจ, และหน่วยงานพาณิชย์ทั่วโลก
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง