Education & Research Sector Weekly Threat Intelligence Report
ห้วงเวลา: 26 ตุลาคม - 1 พฤศจิกายน 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 26 ตุลาคม ถึง 1 พฤศจิกายน 2569 ภาคการศึกษาและสถาบันวิจัย (Education & Research) เผชิญกับแรงกดดันด้านความมั่นคงปลอดภัยทางไซเบอร์ที่หลากหลายและซับซ้อนยิ่งขึ้น โดยผู้ไม่ประสงค์ดีได้มุ่งใช้ประโยชน์จากจุดเด่นและความเปราะบางเฉพาะตัวของสถาบันการศึกษาเพื่อผลประโยชน์ทางเศรษฐกิจและการจารกรรมข้อมูล ประการแรก Infoblox ตรวจพบปฏิบัติการฉวยใช้ชื่อเสียงของสถาบันอุดมศึกษาผ่านเทคนิค Domain Shadowing โดยผู้โจมตีลักลอบเข้าถึงข้อมูลผู้ดูแลระบบ DNS ของมหาวิทยาลัยเพื่อสร้างซับโดเมนโปรโมตเครือข่ายเว็บพนันออนไลน์ผิดกฎหมายโดยที่หน้าเว็บหลักไม่ถูกเปลี่ยนแปลง ประการที่สอง Yeeth Security ตรวจพบภัยคุกคามห่วงโซ่อุปทานบน VS Code Marketplace จากส่วนขยาย Lolpaon.umltocode ที่แอบดักจับซอร์สโค้ดและไฟล์บทความวิจัยสกุล PDF จากเครื่องของนักศึกษาและนักวิจัย ส่งออกไปยังเซิร์ฟเวอร์ควบคุมภายนอกผ่านการพรางตัวเป็นคำขอ AI Autocomplete ประการที่สาม CYFIRMA เผยแพร่ความเคลื่อนไหวของกลุ่มจารกรรมขั้นสูง Star Blizzard ที่พุ่งเป้านักวิชาการ คณาจารย์มหาวิทยาลัย และสถาบันคลังสมองผ่านอีเมลฟิชชิ่งแอบอ้างโครงการให้ทุนวิจัยเพื่อแพร่กระจายแบ็กดอร์ CosmicPulse และประการสุดท้าย Oasis Security วิเคราะห์พบการใช้เทคนิค Blind SSRF ร่วมกับการสุ่มรหัสผ่านแบบกระจายตัว เจาะลึกเข้าสู่โครงสร้างพื้นฐานของหน่วยงานวิจัยในสหรัฐฯ และเอเชีย ส่งผลให้ผู้บริหารฝ่ายเทคโนโลยีสารสนเทศของสถาบันการศึกษาจำเป็นต้องยกระดับการควบคุมการเข้าถึง การปกป้องระบบ DNS และการกำกับดูแลสภาพแวดล้อมการวิจัยอย่างเร่งด่วน
Infoblox Threat Intelligence เปิดเผยรายงานการตรวจพบปฏิบัติการ Domain Shadowing เชิงรุกที่มุ่งเป้าโดเมนระดับองค์กรและสถาบันการศึกษาทั่วโลก โดยผู้ไม่ประสงค์ดีได้ลักลอบขโมยข้อมูลการยืนยันตัวตนของผู้ดูแลระบบ DNS หรืออาศัยการตั้งค่าที่ไม่ปลอดภัยของบัญชีผู้ให้บริการจดทะเบียนโดเมน จากนั้นแอบสร้างระเบียนซับโดเมนจำนวนมากภายใต้โดเมนการศึกษาที่น่าเชื่อถือ เช่น ซับโดเมนภายใต้โซน .edu เพื่อนำไปใช้เป็นทางผ่านในการส่งต่อทราฟฟิก (Traffic Redirection) และทำ Search Engine Optimization (SEO) สายดำให้กับเครือข่ายเว็บพนันออนไลน์ผิดกฎหมาย การโจมตีลักษณะนี้อาศัยค่าความน่าเชื่อถือทางประวัติของโดเมนการศึกษา (Domain Authority) ทำให้ระบบคัดกรองเนื้อหาไม่บล็อกลิงก์ ในขณะที่หน้าเว็บไซต์หลักของสถาบันยังคงเปิดใช้งานได้ตามปกติ ส่งผลให้ผู้ดูแลระบบตรวจพบได้ยาก
ความเสี่ยงตรงต่อสถาบันอุดมศึกษาและโรงเรียนในไทย - สถาบันการศึกษาในประเทศไทยที่ใช้งานชื่อโดเมนภายใต้โซน .ac.th ประสบปัญหาการถูกแทรกแซงด้วยการสร้างซับโดเมนหรือแทรกหน้าเพจโปรโมตเว็บพนันออนไลน์มาอย่างต่อเนื่อง หากบัญชีจัดการ DNS ของมหาวิทยาลัยไม่มีการบังคับใช้ MFA จะส่งผลให้โดเมนของมหาวิทยาลัยไทยถูกนำไปใช้ในเครือข่ายพนันข้ามชาติ ทำลายความน่าเชื่อถือทางวิชาการ และเสี่ยงต่อการถูกเสิร์ชเอนจินจัดเป็นโดเมนอันตราย
ยุทธศาสตร์: เครือข่ายอาชญากรรมการพนันออนไลน์ปรับเปลี่ยนกลยุทธ์จากการจดทะเบียนโดเมนใหม่ มาเป็นการฉวยใช้ชื่อเสียงทางวิชาการของสถาบันการศึกษาเพื่อเอาชนะขั้นตอนการตรวจสอบของเสิร์ชเอนจินและไฟร์วอลล์
ยุทธการ: ผู้โจมตีใช้เทคนิคขโมยสิทธิ์ผู้ดูแลระบบ DNS ผ่านการฟิชชิ่งหรือบัญชีที่หลุดรั่ว แล้วสร้างระเบียน CNAME ชี้ไปยังเครือข่าย CDN อันตราย โดยหลีกเลี่ยงการเปลี่ยนแปลงหน้าเว็บหลักเพื่อลดโอกาสถูกจับสังเกต
ยุทธวิธี: ผู้ดูแลระบบเครือข่ายสถาบันการศึกษาต้องเปิดใช้งานการยืนยันตัวตนหลายปัจจัย (MFA) กับผู้ให้บริการ DNS, ตรวจสอบ Audit Log ของระเบียน DNS สม่ำเสมอ, และบล็อกการเชื่อมต่อไปยังโดเมน mikale[.]me, hinkale[.]me และไอพี 168.144.156[.]92
สถาบันอุดมศึกษา, มหาวิทยาลัยของรัฐและเอกชน, สถาบันวิจัย, และผู้ให้บริการจดทะเบียนชื่อโดเมน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย Yeeth Security ตรวจพบภัยคุกคามในห่วงโซ่อุปทานของเครื่องมือพัฒนาซอฟต์แวร์บน Visual Studio Code Marketplace ในส่วนขยายชื่อ Lolpaon.umltocode ซึ่งนำเสนอคุณสมบัติการแปลงไดอะแกรม UML ไปเป็นโค้ดโปรแกรมสำหรับนักศึกษาและนักพัฒนา จากการวิเคราะห์เชิงลึกพบว่าส่วนขยายดังกล่าวแอบแฝงโค้ดอันตรายที่สแกนโครงสร้างไดเรกทอรีพื้นที่ทำงาน (Workspace) ของผู้ใช้ เพื่อค้นหาไฟล์ซอร์สโค้ด เอกสารโปรเจกต์ และไฟล์งานวิจัยสกุล PDF จากนั้นจะทำการรวบรวมและลักลอบส่งข้อมูลออกไปยังเซิร์ฟเวอร์ภายนอกผ่านการเชื่อมต่อ HTTPS โดยปลอมแปลงเส้นทางคำขอเป็นบริการตอบกลับโค้ดอัตโนมัติของปัญญาประดิษฐ์ (/api/v1/chat/completions) เพื่อหลบเลี่ยงการตรวจสอบของระบบตรวจจับการรั่วไหลของข้อมูล
ความเสี่ยงตรงต่อนักศึกษา คณาจารย์ และนักวิจัยสาขาวิทยาการคอมพิวเตอร์ในไทย - โปรแกรม VS Code เป็นเครื่องมือพื้นฐานที่สถาบันอุดมศึกษาและห้องปฏิบัติการวิจัยด้านซอฟต์แวร์ในประเทศไทยใช้งานอย่างกว้างขวาง หากนักศึกษาหรือบุคลากรดาวน์โหลดส่วนขยายนี้มาช่วยทำโครงงานหรือวิทยานิพนธ์ จะส่งผลให้โค้ดโปรแกรมต้นฉบับและเอกสารวิจัยที่ยังไม่ได้รับการเผยแพร่ถูกขโมยไปยังเซิร์ฟเวอร์ของผู้โจมตีทันที
ยุทธศาสตร์: ผู้ไม่ประสงค์ดีขยายการโจมตีห่วงโซ่อุปทานมายังซอฟต์แวร์เสริมที่มุ่งเป้าภาคการศึกษา เพื่อดักเก็บทรัพย์สินทางปัญญาและนวัตกรรมทางเทคโนโลยีตั้งแต่ขั้นตอนการพัฒนาเบื้องต้น
ยุทธการ: ผู้โจมตีใช้เทคนิคการซ่อนทราฟฟิกลักลอบส่งข้อมูลออกในรูปแบบ API ของโมเดลภาษาขนาดใหญ่ เพื่อให้กลมกลืนกับพฤติกรรมการใช้งานเครื่องมือ AI ของนักพัฒนาในปัจจุบัน
ยุทธวิธี: ผู้ดูแลระบบห้องปฏิบัติการคอมพิวเตอร์ต้องบล็อกไอพี 64.239.123[.]129 และ 64.239.109[.]129, ตรวจจับไฟล์ที่มีค่าแฮช dec386060981aca01fd359a8e83e22e44abe4967805db53ef09c088694b2b4f3, และถอนการติดตั้งส่วนขยายดังกล่าวทันที
คณะวิทยาการคอมพิวเตอร์และวิศวกรรมศาสตร์, สถาบันฝึกอบรมซอฟต์แวร์, นักศึกษา, และนักวิจัยด้านการพัฒนาเทคโนโลยีสารสนเทศ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย CYFIRMA เผยแพร่รายงานวิเคราะห์ความเคลื่อนไหวของกลุ่มภัยคุกคามขั้นสูง Star Blizzard (หรือ Callisto, ColdRiver, SEABORGIUM) ที่เชื่อมโยงกับหน่วยข่าวกรองต่างชาติ โดยพบการจัดตั้งแคมเปญจารกรรมข้อมูลที่พุ่งเป้าอาจารย์มหาวิทยาลัย นักวิจัยด้านความมั่นคง สถาบันคลังสมอง (Think Tanks) และผู้เชี่ยวชาญด้านนโยบายต่างประเทศ ผู้โจมตีใช้อุบายหลอกลวงที่แนบเนียนด้วยการส่งอีเมลแอบอ้างเป็นโครงการมอบทุนสนับสนุนการวิจัยวิชาการและระบบส่งใบสมัครขอทุน โดยจดทะเบียนโดเมนล่อลวงเฉพาะทาง เช่น ned-granting-opportunities[.]com และ applicationformsubmit[.]me เพื่อชักนำให้เป้าหมายดาวน์โหลดชุดมัลแวร์ RedFlick ก่อนจะนำไปสู่การติดตั้งแบ็กดอร์ CosmicPulse บนหน่วยความจำ เพื่อลักลอบควบคุมระบบและเข้าถึงเอกสารวิจัยเชิงยุทธศาสตร์
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสถาบันคลังสมองและนักวิจัยไทย - นักวิชาการในมหาวิทยาลัยไทยที่ศึกษาด้านความสัมพันธ์ระหว่างประเทศ ความมั่นคงระดับภูมิภาค หรือเทคโนโลยีเชิงยุทธศาสตร์ มีความเสี่ยงที่จะตกเป็นเป้าหมายของอีเมลล่อลวงเรื่องทุนวิจัยวิชาการ หากระบบคอมพิวเตอร์ถูกบุกรุก อาจทำให้ร่างข้อเสนอนโยบายของรัฐและข้อมูลความร่วมมือระหว่างประเทศรั่วไหลสู่ผู้ไม่ประสงค์ดี
ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐยังคงจัดลำดับความสำคัญของสถาบันวิจัยและมหาวิทยาลัยเป็นเป้าหมายหลักในการรวบรวมข่าวกรองเชิงยุทธศาสตร์ เพื่อคาดการณ์ทิศทางนโยบายและเทคโนโลยีล่วงหน้า
ยุทธการ: ผู้โจมตีสร้างความไว้วางใจผ่านบริบททางวิชาการและใช้โครงสร้างพื้นฐานเว็บฟิชชิ่งที่เลียนแบบองค์กรให้ทุนวิจัยสากล ก่อนเปิดใช้งานช่องทางสั่งการผ่าน C2 แบบหลายชั้น
ยุทธวิธี: หน่วยงานด้านการศึกษาต้องเฝ้าระวังโดเมนล่อลวง ned-granting-opportunities[.]com, viewerdoconline[.]com, และบล็อกตัวอย่างมัลแวร์ที่มีค่าแฮช 9707a8694e954e9ee13e839d6e5905ce626c0837c7c90da6d1025bfbe152866b
สถาบันคลังสมอง (Think Tanks), สถาบันวิจัยเชิงนโยบาย, คณะรัฐศาสตร์และนิติศาสตร์ในมหาวิทยาลัย, และองค์กรไม่แสวงหากำไรด้านการวิจัย
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Oasis Security ตรวจพบและวิเคราะห์โครงสร้างพื้นฐานการโจมตีแบบหลายขั้นตอน (Multi-Stage Attack Infrastructure) ที่มีความเคลื่อนไหวเชื่อมโยงกับการพุ่งเป้าสถาบันวิจัย องค์กรด้านความมั่นคง และหน่วยงานภาครัฐในสหรัฐอเมริกาและภูมิภาคเอเชีย ผู้โจมตีได้นำเทคนิค Blind Server-Side Request Forgery (SSRF) มาผสานรวมกับการสุ่มเดารหัสผ่านแบบกระจายตัว (Distributed Brute Force) ผ่านเครือข่ายพร็อกซี เพื่อเจาะเข้าถึงเว็บแอปพลิเคชันและพอร์ทัลบริการข้อมูลวิชาการ จากนั้นจึงใช้เซิร์ฟเวอร์ที่ถูกควบคุมเป็นสะพานเชื่อมเพื่อส่งคำขอสำรวจสภาพแวดล้อมเครือข่ายภายใน (Internal Network Discovery) และค้นหาข้อมูลประจำตัวของระบบคลาวด์
ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อศูนย์วิจัยและระบบคลาวด์การศึกษาไทย - สถาบันอุดมศึกษาและศูนย์วิจัยในไทยที่เปิดให้บริการคลังข้อมูลวิจัยดิจิทัล (Institutional Repositories) หรือพอร์ทัลบริการวิชาการบนคลาวด์ มีความเสี่ยงที่จะตกเป็นเป้าหมายของการสแกนช่องโหว่ SSRF หากไม่มีการปิดกั้นการเข้าถึงที่อยู่ไอพีภายใน อาจเปิดโอกาสให้ผู้โจมตีเข้าถึงคอนโซลและฐานข้อมูลวิจัยสำคัญ
ยุทธศาสตร์: โครงสร้างพื้นฐานของสถาบันวิจัยในเอเชียมักตกเป็นเป้าหมายของการเจาะระบบเพื่อนำไปใช้เป็นจุดแวะพัก (Pivot Point) ในการกระจายการโจมตีต่อไปยังเป้าหมายที่มีชั้นความลับสูงกว่า
ยุทธการ: การใช้ Blind SSRF ร่วมกับเทคนิค Brute Force ผ่านพร็อกซีช่วยให้ผู้โจมตีสามารถเลี่ยงการตรวจจับของไฟร์วอลล์และเข้าถึงทรัพยากรที่อยู่หลังเครือข่ายภายในได้โดยไม่ต้องสร้างเซสชันที่สมบูรณ์
ยุทธวิธี: ฝ่ายไอทีสถาบันการศึกษาต้องปิดกั้นคำขอ HTTP ไปยังไอพีกลุ่ม Private Network และ Metadata Service บนคลาวด์, กำหนดนโยบายจำกัดอัตราการล็อกอิน, และเฝ้าระวังไอพีต้นทาง 192.3.239[.]164
องค์กรวิจัยทางวิทยาศาสตร์, สถาบันการศึกษาระดับมหาวิทยาลัยในเอเชียและสหรัฐฯ, และหน่วยงานภาครัฐ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง