CGI-CTI-WEEKLY-20261102-ENG - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคสาธารณูปโภคและพลังงาน ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) ตรวจสอบพบภัยคุกคามไซเบอร์พุ่งเป้าภาคพลังงานและสาธารณูปโภคอย่างเข้มข้น โดยพบการเปิดโปงคลังอาวุธและเซิร์ฟเวอร์ควบคุมของกลุ่ม DoNot APT ที่มุ่งเป้าโครงสร้างพื้นฐานพลังงาน ก๊าซธรรมชาติ และน้ำมัน, การตรวจพบกลุ่ม VAPOR PANDA นำเทคโนโลยี Agentic AI ผสานโมเดล DeepSeek ลักลอบเจาะเครือข่ายกริดพลังงานและโครงสร้างพื้นฐานระดับชาติเพื่อฝังแบ็กดอร์ BLOODALCHEMY, การเปิดโปงปฏิบัติการของกลุ่ม Insolent Werewolf มุ่งเป้าสอดแนมภาคอุตสาหกรรมด้วยโทรจัน NightStrike RAT และเฟรมเวิร์ก Havoc, ตลอดจนการตรวจพบคลัสเตอร์การโจมตีช่องโหว่ PHP2Shell พุ่งเป้าเจาะอุปกรณ์ไฟร์วอลล์ Palo Alto PAN-OS ที่ทำหน้าที่เป็นแนวป้องกันขอบเขตเครือข่ายควบคุมระบบสาธารณูปโภค

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 26 ตุลาคม ถึง 1 พฤศจิกายน 2569 สถานการณ์ความมั่นคงปลอดภัยไซเบอร์ในกลุ่มอุตสาหกรรมพลังงานและสาธารณูปโภค (Energy & Utilities) เผชิญกับแรงกดดันเชิงยุทธศาสตร์จากกลุ่มภัยคุกคามขั้นสูง (APT) ที่มุ่งเป้าโครงสร้างพื้นฐานสำคัญระดับชาติ (Critical Infrastructure) อย่างต่อเนื่อง ประการแรก ทีมนักวิจัย InfraHunter ตรวจพบเซิร์ฟเวอร์จัดเตรียมการโจมตีที่มีการเปิดโฟลเดอร์สาธารณะ (Open Directory) ซึ่งเชื่อมโยงกับกลุ่ม DoNot APT (VICEROY TIGER) เผยให้เห็นชุดเครื่องมือเจาะระบบ สคริปต์สแกนข้อมูลลับ และมัลแวร์ควบคุมระยะไกลที่พุ่งเป้าภาคพลังงาน น้ำมัน และก๊าซธรรมชาติ ประการที่สอง CrowdStrike ตรวจพบความเคลื่อนไหวสำคัญของกลุ่ม VAPOR PANDA ที่นำเทคโนโลยี Agentic AI บนเฟรมเวิร์ก ARTEX มาผสานกับโมเดล DeepSeek เพื่อค้นหาช่องโหว่และลัดเลาะเข้าสู่เครือข่ายพลังงานและโทรคมนาคม ก่อนวางแบ็กดอร์ BLOODALCHEMY ผ่านเทคนิค DLL Side-loading ประการที่สาม BI.ZONE เปิดเผยพฤติกรรมของกลุ่ม Insolent Werewolf (เดิมชื่อ Insolent Hyena) ที่เปลี่ยนเป้าหมายจากการจารกรรมทั่วไปสู่ภาคอุตสาหกรรมและวิศวกรรมควบคุม โดยใช้มัลแวร์ขโมยข้อมูล NightStrike RAT ร่วมกับเฟรมเวิร์กควบคุม Havoc และ AdaptixC2 และประการสุดท้าย Hunt.io ตรวจพบโครงสร้างพื้นฐานการสแกนและเจาะระบบที่กำลังอาศัยช่องโหว่ PHP2Shell บนไฟร์วอลล์ Palo Alto PAN-OS ซึ่งเป็นอุปกรณ์สำคัญในการแบ่งแยกเครือข่ายไอทีกับระบบควบคุมการผลิต (IT/OT Segmentation) ในโรงไฟฟ้าและระบบสาธารณูปโภค ส่งผลให้หน่วยงานด้านพลังงานต้องยกระดับการเฝ้าระวังขอบเขตเครือข่ายและระบบควบคุมอย่างเร่งด่วน

เหตุการณ์เด่นประจำสัปดาห์

ตรวจพบเซิร์ฟเวอร์เปิดโฟลเดอร์สาธารณะ (Open Directory) เผยชุดเครื่องมือจารกรรมไซเบอร์ของกลุ่ม DoNot APT พุ่งเป้าโครงสร้างพื้นฐานพลังงานและภาครัฐยุทธศาสตร์

เผยแพร่: 1 พฤศจิกายน 2569 · แหล่งที่มา: InfraHunter Research · Admiralty C2

ทีมนักวิจัยอิสระด้านโครงสร้างพื้นฐานภัยคุกคาม InfraHunter ตรวจพบเซิร์ฟเวอร์จัดเตรียมการโจมตี (Staging Server) ที่เปิดโฟลเดอร์สาธารณะ (Open Directory) โดยไม่ได้ตั้งค่าการยืนยันตัวตนบนพอร์ต 8099 ณ ไอพีแอดเดรส 193.29.104[.]84 ซึ่งจากการวิเคราะห์ข้อมูลทางเทคนิคพบว่าเชื่อมโยงกับกลุ่มจารกรรมทางไซเบอร์ DoNot APT (หรือ VICEROY TIGER) ภายในเซิร์ฟเวอร์ดังกล่าวพบคลังชุดเครื่องมือและสคริปต์เจาะระบบที่พร้อมนำไปใช้งาน ได้แก่ สคริปต์ PowerShell สำหรับรัน Reverse Shell เชื่อมโยงไปยังไอพี 179.43.145[.]232, เพย์โหลด C2 implant ที่พัฒนาขึ้นเฉพาะชื่อ Beacon-trydnd1.exe, สคริปต์ Inveigh.ps1 สำหรับดักจับข้อมูลประจำตัวผ่านโปรโตคอล LLMNR และ NBT-NS, สคริปต์ contenthunt.bat สำหรับค้นหาเอกสารสำคัญที่มีคำสำคัญด้านพลังงานและโครงสร้างพื้นฐาน, ไฟล์ ad_pwd.txt ซึ่งเป็นบันทึกรหัสผ่าน Active Directory ในรูปแบบข้อความธรรมดา (Plaintext), และยูทิลิตี curl.exe ที่ถูกนำมาใช้ดาวน์โหลดเครื่องมือเพิ่มเติม โดยเป้าหมายหลักของแคมเปญนี้คือหน่วยงานยุทธศาสตร์ด้านพลังงาน น้ำมัน และก๊าซธรรมชาติ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรภาคพลังงานในไทย - แม้ว่าเป้าหมายทางภูมิรัฐศาสตร์หลักของกลุ่ม DoNot APT ในรายงานฉบับนี้จะเน้นไปที่ภูมิภาคเอเชียใต้ แต่การเปิดเผยชุดเครื่องมือและเทคนิคการทำงาน (TTPs) แสดงให้เห็นถึงความเสี่ยงต่อโครงสร้างพื้นฐานระบบ Active Directory และเครือข่ายเชื่อมต่อระหว่างระบบจัดการองค์กรและระบบควบคุมอุตสาหกรรม รัฐวิสาหกิจและผู้ประกอบการด้านพลังงานในไทย เช่น กฟผ., กฟภ., กฟน. และ ปตท. ควรตรวจสอบนโยบายการปิดใช้งานโปรโตคอล LLMNR/NBT-NS เพื่อป้องกันการโจมตีแบบแฝงตัวภายใน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มภัยคุกคามระดับรัฐยังคงมุ่งเป้าขโมยข้อมูลความลับและแบบแปลนระบบโครงสร้างพื้นฐานด้านพลังงานเพื่อสร้างความได้เปรียบทางภูมิรัฐศาสตร์และความมั่นคงระดับภูมิภาค

ยุทธการ: ผู้โจมตีใช้เซิร์ฟเวอร์ภายนอกเป็นจุดพักมัลแวร์และรวมศูนย์คำสั่งควบคุม ก่อนใช้สคริปต์ขโมยรหัสผ่าน Active Directory เพื่อขยายขอบเขตการควบคุมเครือข่ายภายในองค์กรเป้าหมาย

ยุทธวิธี: ผู้ดูแลระบบเครือข่ายต้องบล็อกการเชื่อมต่อไปยังไอพี 193.29.104[.]84, 179.43.145[.]232, 31.7.61[.]8 และโดเมน pakdw.orchidheaven[.]online พร้อมทั้งตั้งค่ายกเลิกการทำงานของ LLMNR และ NetBIOS Name Resolution บนเครื่องลูกข่ายทั้งหมด

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคพลังงาน (Energy), อุตสาหกรรมน้ำมันและก๊าซธรรมชาติ (Oil & Gas), และโครงสร้างพื้นฐานสำคัญระดับชาติ (Critical Infrastructure)

MITRE ATT&CK

T1059.001 PowerShell T1059.003 Windows Command Shell T1071.001 Web Protocols T1082 System Information Discovery T1012 Query Registry T1557.001 LLMNR/NBT-NS Poisoning and SMB Relay T1105 Ingress Tool Transfer T1552.001 Credentials In Files

IOC ที่สำคัญ

193.29.104[.]84 179.43.145[.]232 31.7.61[.]8 pakdw.orchidheaven[.]online 393bc7084ac943861135a222c32f720df4e4fbb73ac0cfb2a6cf4ab67282f7d2 cc7dd1d68dc3cc41f385afd000a516145cee2284b2526ee79dfd5e72278e2a23

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: InfraHunter Research →

กลุ่มภัยคุกคาม VAPOR PANDA ยกระดับการใช้นวัตกรรม Agentic AI ผสานโมเดล DeepSeek ลอบเจาะเครือข่ายพลังงานและโครงสร้างพื้นฐานสำคัญระดับชาติ

เผยแพร่: 29 ตุลาคม 2569 · แหล่งที่มา: CrowdStrike Counter Adversary Operations · Admiralty A1

ทีมนักวิจัย CrowdStrike เผยแพร่รายงานวิเคราะห์การยกระดับปฏิบัติการของกลุ่มภัยคุกคามไซเบอร์ VAPOR PANDA (กลุ่มจารกรรมข้อมูลที่มีความเชื่อมโยงกับสาธารณรัฐประชาชนจีน) ซึ่งนำเฟรมเวิร์กปัญญาประดิษฐ์เชิงเอเจนต์ (Agentic AI) ชื่อ ARTEX มาบูรณาการร่วมกับโมเดลภาษาขนาดใหญ่ DeepSeek LLM เพื่อเพิ่มขีดความสามารถในการสแกน ค้นหาช่องโหว่บนเว็บแอปพลิเคชันที่เปิดสู่สาธารณะ และดำเนินกระบวนการลอบเข้าสู่ระบบเครือข่ายโดยอัตโนมัติ การโจมตีมุ่งเน้นไปที่หน่วยงานโครงสร้างพื้นฐานสำคัญระดับชาติ ทั้งในภาคพลังงาน โทรคมนาคม และหน่วยงานรัฐ เมื่อสามารถเจาะเข้าสู่เครือข่ายเป้าหมายได้แล้ว ระบบเอเจนต์จะทำการวางแบ็กดอร์สายพันธุ์ BLOODALCHEMY ผ่านเทคนิค DLL Side-loading โดยใช้ไฟล์โหลดเดอร์ graphics-hook-filter64.dll และไฟล์คอนฟิกเพย์โหลด graphics-hook_config.bin สื่อสารกลับไปยังโดเมนควบคุม C2 เช่น nginxmysql[.]com และ sqlserver-sqlite[.]com เพื่อคงสภาพการเข้าถึงระบบในระยะยาว

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อโครงสร้างพื้นฐานสำคัญในไทย - กลุ่ม VAPOR PANDA มีประวัติการมุ่งเป้าโจมตีหน่วยงานในภูมิภาคเอเชียตะวันออกเฉียงใต้และประเทศในกลุ่มอาเซียน การนำโมเดล Agentic AI เข้ามาช่วยในการคัดกรองช่องโหว่และตัดสินใจเจาะระบบอย่างรวดเร็ว ทำให้ความเสี่ยงต่อระบบบริหารจัดการโครงข่ายพลังงานและระบบงานไอทีขององค์กรสาธารณูปโภคไทยเพิ่มสูงขึ้น หากระบบเว็บพอร์ทัลหรืออุปกรณ์ขอบเขตเครือข่ายไม่ได้ถูกปิดกั้นช่องโหว่อย่างรัดกุม

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การประยุกต์ใช้ Agentic AI ในการโจมตีทางไซเบอร์ช่วยลดระยะเวลาตั้งแต่การค้นพบช่องโหว่จนถึงการฝังแบ็กดอร์ได้อย่างก้าวกระโดด ส่งผลกระทบต่อความมั่นคงของโครงสร้างพื้นฐานที่สำคัญ

ยุทธการ: ผู้ไม่ประสงค์ดีใช้โมเดลเอไอในการวิเคราะห์สถาปัตยกรรมเครือข่ายและสิทธิ์การเข้าถึง ก่อนส่งคำสั่งดาวน์โหลดโมดูลมัลแวร์ BLOODALCHEMY ที่อำพรางชื่อเป็นโปรเซสของระบบ svchost.exe

ยุทธวิธี: ฝ่ายป้องกันต้องตรวจสอบการโหลด DLL แปลกปลอมที่มีชื่อ graphics-hook-filter64.dll, ตรวจจับการสร้างโฟลเดอร์ชั่วคราวผิดปกติ, และบล็อกการเชื่อมต่อไปยังโดเมน nginxmysql[.]com, sqlserver-sqlite[.]com และไอพี 45.153.126[.]223, 89.46.234[.]50

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคพลังงานและสาธารณูปโภค (Energy), โทรคมนาคม (Telecoms), หน่วยงานภาครัฐ (Government), และภาคการเงิน (Finance)

MITRE ATT&CK

T1588.007 Artificial Intelligence T1190 Exploit Public-Facing Application T1078 Valid Accounts T1133 External Remote Services T1574.001 DLL Search Order Hijacking T1036.005 Match Legitimate Resource Name or Location T1071.001 Web Protocols

IOC ที่สำคัญ

nginxmysql[.]com 45.153.126[.]223 sqlserver-sqlite[.]com 89.46.234[.]50 www.ddduuuppp[.]com 192.121.47[.]20 3fb5a9fb3e2cb1d6208966bd4e55d10282d19c7250d827efa560463d60a12ee4 364251838edfcf5ef1107fa692da3c5bd9a540482449f645992830134bf807ab

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: CrowdStrike Counter Adversary Operations →

ปฏิบัติการจารกรรมข้อมูลของกลุ่ม Insolent Werewolf มุ่งเป้าองค์กรภาคอุตสาหกรรมและสาธารณูปโภคด้วยมัลแวร์ NightStrike RAT และเฟรมเวิร์ก Havoc

เผยแพร่: 28 ตุลาคม 2569 · แหล่งที่มา: BI.ZONE Threat Intelligence · Admiralty B2

ทีมนักวิจัยความมั่นคงปลอดภัย BI.ZONE เผยแพร่ผลการติดตามกิจกรรมของกลุ่มจารกรรมทางไซเบอร์ Insolent Werewolf (หรือที่เคยเป็นที่รู้จักในชื่อ Insolent Hyena) ซึ่งพบการปรับเปลี่ยนยุทธวิธีและทิศทางเป้าหมายการโจมตีอย่างมีนัยสำคัญ โดยหันมามุ่งเป้าองค์กรภาคอุตสาหกรรมหนัก โรงงานผลิต และระบบสาธารณูปโภคเชิงวิศวกรรม กลุ่มผู้ไม่ประสงค์ดีใช้วิธีการส่งไฟล์แนบอันตรายเพื่อรันตัวโหลดมัลแวร์ Octowave Loader ก่อนนำไปสู่การติดตั้งโทรจันควบคุมระยะไกลที่พัฒนาขึ้นเองชื่อ NightStrike RAT ซึ่งมีความสามารถในการสื่อสารผ่านโปรโตคอล WebSocket บนพอร์ต 5173 เพื่อรับส่งคำสั่งแบบเรียลไทม์ นอกจากนี้ยังพบการติดตั้งเฟรมเวิร์กควบคุมภายนอกระดับสูงอย่าง Havoc C2 (Demon payload) และ AdaptixC2 เพื่อใช้เป็นช่องทางสำรองในการขโมยรหัสผ่านจากเว็บเบราว์เซอร์ ดักจับการกดแป้นพิมพ์ บันทึกภาพหน้าจอ และขโมยเอกสารทางเทคนิคของระบบอุตสาหกรรม

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อโรงงานอุตสาหกรรมและระบบสาธารณูปโภคในไทย - กลุ่มอุตสาหกรรมปิโตรเคมี โรงกลั่นน้ำมัน และระบบสาธารณูปโภคในนิคมอุตสาหกรรมหลักของไทย (เช่น มาบตาพุดและอีสเทิร์นซีบอร์ด) มีการเชื่อมโยงระบบวิศวกรรมเข้ากับเครือข่ายสำนักงาน การใช้มัลแวร์ประเภท NightStrike ที่สามารถสื่อสารผ่าน WebSocket และแอบแฝงการทำงานในหน่วยความจำ อาจทำให้ระบบตรวจจับการรั่วไหลของข้อมูลไม่สามารถดักจับการส่งออกพิมพ์เขียวและข้อมูลการตั้งค่าระบบควบคุมได้ทันท่วงที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้โจมตียกระดับการมุ่งเป้าสินทรัพย์ทางปัญญาและข้อมูลการปฏิบัติงานของภาคอุตสาหกรรม เพื่อปูทางไปสู่การแทรกแซงหรือวินาศกรรมระบบควบคุมในอนาคต

ยุทธการ: การผสานโทรจันเฉพาะทาง NightStrike เข้ากับเฟรมเวิร์กโอเพนซอร์ส Havoc ช่วยให้ผู้โจมตีมีความยืดหยุ่นในการสับเปลี่ยนช่องทางควบคุมและหลบเลี่ยงการตรวจจับแบบพฤติกรรม

ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องตรวจสอบทราฟฟิกขาออกที่ใช้โปรโตคอล WebSocket บนพอร์ต 5173 ไปยังไอพี 85.239.144[.]51, 46.250.238[.]87, 38.255.32[.]104 และบล็อกโดเมน unmoralreformeddehydrate[.]cfd และ stinkyshockblazer[.]cfd ทันที

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคอุตสาหกรรมหนัก (Industrial), โรงงานผลิตและประกอบ (Manufacturing), ระบบสาธารณูปโภคและโครงสร้างพื้นฐาน (Utilities & Infrastructure)

MITRE ATT&CK

T1059.001 PowerShell T1547.001 Registry Run Keys / Startup Folder T1574.001 DLL Side-loading T1555.003 Credentials from Web Browsers T1056.001 Keylogging T1113 Screen Capture T1071.001 Web Protocols T1090.001 Internal Proxy

IOC ที่สำคัญ

unmoralreformeddehydrate[.]cfd stinkyshockblazer[.]cfd 85.239.144[.]51 46.250.238[.]87 38.255.32[.]104 f41ad6382381aa01b232007a62e845dfb062dc7050f23e987f341fe04b5628e8 79bc2ef7e362394cb209de491ff8c2402c944b835d923ece0a63531922c2f4b1

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: BI.ZONE Threat Intelligence →

ตรวจพบโครงสร้างพื้นฐานการเจาะระบบช่องโหว่ PHP2Shell พุ่งเป้าอุปกรณ์ไฟร์วอลล์ Palo Alto PAN-OS ที่ปกป้องระบบควบคุมเครือข่ายสาธารณูปโภค

เผยแพร่: 30 ตุลาคม 2569 · แหล่งที่มา: Hunt.io Research · Admiralty B1

ทีมนักวิจัยความมั่นคงปลอดภัยจาก Hunt.io ตรวจพบคลัสเตอร์โครงสร้างพื้นฐานการโจมตีขนาดใหญ่ที่ทำการสแกนและพยายามยึดครองสิทธิ์บนอุปกรณ์ไฟร์วอลล์ขอบเขตเครือข่าย โดยมุ่งเป้าไปที่ระบบปฏิบัติการ Palo Alto Networks PAN-OS ซึ่งถูกติดตั้งใช้งานอย่างแพร่หลายในองค์กรโครงสร้างพื้นฐานและสาธารณูปโภค การโจมตีดังกล่าวใช้อาวุธไซเบอร์ที่พัฒนาขึ้นจากช่องโหว่ PHP2Shell (CVE-2026-109618 และ CVE-2026-109619) ที่เปิดโอกาสให้ผู้โจมตีสามารถข้ามผ่านการตรวจสอบสิทธิ์และยกระดับสิทธิ์เป็น Root บนอุปกรณ์ได้ ข้อมูลจากฮันนีพอตตรวจพบไอพีแอดเดรสต้นทางการยิงสคริปต์เจาะระบบ เช่น 162.35.99[.]94, 15.204.59[.]70 และ 2.59.133[.]151 โดยมีเซิร์ฟเวอร์พักเครื่องมือและส่งมอบเพย์โหลดบนไอพี 208.115.245[.]98 และ 208.115.245[.]99 พอร์ต 8088 ตลอดจนไอพี 130.94.67[.]235 ที่ใช้เครื่องมือสแกน aiscan เพื่อค้นหาอุปกรณ์ไฟร์วอลล์ที่มีการเปิดหน้าบริหารจัดการผ่านอินเทอร์เน็ต

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อความมั่นคงเครือข่ายสาธารณูปโภคในไทย - อุปกรณ์ไฟร์วอลล์ Palo Alto PAN-OS เป็นหนึ่งในโซลูชันด้านความปลอดภัยขอบเขตเครือข่ายที่องค์กรสาธารณูปโภค โรงไฟฟ้า และเครือข่ายพลังงานในประเทศไทยเลือกใช้เป็นหลักเพื่อทำหน้าที่คัดกรองทราฟฟิกและแบ่งแยกโซนความปลอดภัยระหว่างระบบสำนักงาน (IT) และระบบควบคุมอุตสาหกรรม (OT/SCADA) การที่อุปกรณ์ขอบเขตเครือข่ายถูกเจาะยึดในระดับ Root จะเปิดทางให้ผู้โจมตีสามารถสร้างอุโมงค์เชื่อมต่อเพื่อลักลอบเข้าสู่เครือข่ายภายในได้โดยตรง

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การเจาะยึดอุปกรณ์รักษาความปลอดภัยขอบเขตเครือข่ายคือยุทธศาสตร์สำคัญในการทำลายแนวป้องกันชั้นแรกเพื่อเตรียมการโจมตีโครงสร้างพื้นฐานภายใน

ยุทธการ: ผู้โจมตีใช้เครือข่ายบอตเน็ตในการกวาดหาส่วนต่อประสานการจัดการไฟร์วอลล์ที่มีช่องโหว่ ก่อนส่งเพย์โหลดเว็บเชลล์และเปิดช่องทางการเชื่อมต่อระยะไกลผ่านโปรโตคอลทันเนล

ยุทธวิธี: ฝ่ายวิศวกรรมระบบต้องปิดกั้นการเข้าถึงอินเทอร์เฟซบริหารจัดการไฟร์วอลล์จากอินเทอร์เน็ตสาธารณะ, ติดตั้งแพตช์อัปเดตช่องโหว่ PHP2Shell อย่างเร่งด่วน, และบล็อกไอพีของคลัสเตอร์โจมตี ได้แก่ 162.35.99[.]94, 15.204.59[.]70, 2.59.133[.]151, 208.115.245[.]98, 208.115.245[.]99 และ 130.94.67[.]235

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ระบบเครือข่ายสาธารณูปโภคและพลังงาน (Utilities & Energy), โทรคมนาคม (Telecoms), หน่วยงานภาครัฐ (Government), และภาคการเงิน (Finance)

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1068 Exploitation for Privilege Escalation T1059.004 Unix Shell T1505.003 Web Shell T1105 Ingress Tool Transfer T1572 Protocol Tunneling T1595.002 Vulnerability Scanning

IOC ที่สำคัญ

162.35.99[.]94 15.204.59[.]70 2.59.133[.]151 208.115.245[.]98 208.115.245[.]99 130.94.67[.]235 185.242.106[.]140

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Hunt.io Research →

ข้อสังเกตประจำสัปดาห์

การเปลี่ยนผ่านสู่การโจมตีอัตโนมัติด้วย Agentic AI บนเครือข่ายโครงสร้างพื้นฐานสำคัญ: การที่กลุ่ม VAPOR PANDA นำเฟรมเวิร์กอย่าง ARTEX และ DeepSeek เข้ามาใช้ สะท้อนแนวโน้มใหม่ที่กลุ่มผู้ไม่ประสงค์ดีไม่ได้พึ่งพาการโจมตีด้วยตนเองทีละขั้นตอนอีกต่อไป แต่ใช้ระบบเอเจนต์เอไอในการสำรวจเครือข่าย ประเมินเส้นทางการเคลื่อนย้ายในแนวนอน (Lateral Movement) และคัดเลือกสินทรัพย์เป้าหมายที่มีมูลค่าสูงอย่างระบบควบคุมโครงข่ายไฟฟ้าและก๊าซ ทำให้หน้าต่างเวลาในการตรวจจับและระงับเหตุของทีม Security Operations Center (SOC) สั้นลงอย่างมาก
ความเสี่ยงต่อแนวป้องกันรอยต่อระหว่างระบบสารสนเทศและระบบปฏิบัติการ (IT/OT Convergence): ภัยคุกคามในสัปดาห์นี้แสดงให้เห็นว่ากลุ่มแฮกเกอร์ไม่ได้พุ่งเป้าไปที่อุปกรณ์คอนโทรลเลอร์ (PLC/RTU) โดยตรงในขั้นแรก แต่เน้นเจาะทำลายด่านหน้า เช่น ไฟร์วอลล์ Palo Alto PAN-OS และการขโมยรหัสผ่าน Active Directory ผ่านสคริปต์ Inveigh ของกลุ่ม DoNot APT เพื่อเข้าควบคุมคอมพิวเตอร์วิศวกรรม (Engineering Workstations) และเซิร์ฟเวอร์กระโดดข้ามโซน (Jump Host) ซึ่งเป็นกุญแจสำคัญในการเข้าถึงระบบ SCADA
การแพร่หลายของเฟรมเวิร์กควบคุมภายนอกระดับคอมเมอร์เชียลและโอเพนซอร์สในแคมเปญจารกรรม: กลุ่ม Insolent Werewolf มีการผสมผสานมัลแวร์ที่พัฒนาขึ้นเฉพาะอย่าง NightStrike เข้ากับเฟรมเวิร์กทดสอบเจาะระบบ เช่น Havoc และ AdaptixC2 ชี้ให้เห็นว่ากลุ่มภัยคุกคามระดับสูงเริ่มหลีกเลี่ยงการใช้แบ็กดอร์ขนาดใหญ่ที่ตรวจจับได้ง่าย โดยหันมาใช้โมดูลาร์ขนาดเล็กที่ทำงานบนหน่วยความจำและสื่อสารผ่านโปรโตคอลเว็บมาตรฐาน เช่น WebSocket เพื่อพรางทราฟฟิกไปกับข้อมูลปกติขององค์กร

ข้อเสนอแนะ

เสริมความแข็งแกร่งและปิดกั้นการเข้าถึงอินเทอร์เฟซบริหารจัดการไฟร์วอลล์จากภายนอก: ปิดกั้นพอร์ตการเข้าถึงส่วนบริหารจัดการของไฟร์วอลล์ Palo Alto PAN-OS และอุปกรณ์เครือข่ายทั้งหมดจากอินเทอร์เน็ตสาธารณะทันที และเปิดให้เข้าถึงได้เฉพาะผ่านเครือข่ายเสมือนส่วนตัว (VPN) ที่มีการยืนยันตัวตนแบบหลายปัจจัยที่ทนทานต่อการฟิชชิ่ง (Phishing-Resistant MFA) เท่านั้น พร้อมทั้งเร่งอัปเดตแพตช์แก้ไขช่องโหว่ PHP2Shell
ปิดการใช้งานโปรโตคอล LLMNR และ NetBIOS Name Resolution ภายในเครือข่าย: กำหนดค่านโยบาย Group Policy (GPO) เพื่อยกเลิกการทำงานของ LLMNR และ NBT-NS บนเครื่องคอมพิวเตอร์และเซิร์ฟเวอร์ทั้งหมดในเครือข่ายองค์กร เพื่อตัดวงจรการดักจับและส่งต่อข้อมูลประจำตัว (SMB Relay) ของสคริปต์ Inveigh และเครื่องมือของกลุ่ม DoNot APT
เข้มงวดการแบ่งแยกเครือข่ายระหว่างระบบไอทีและระบบควบคุมอุตสาหกรรม (IT/OT Segmentation): ตรวจสอบสถาปัตยกรรมเครือข่ายตามมาตรฐาน IEC 62443 หรือ NIST SP 800-82 โดยกำหนดให้มีเขตปลอดทหาร (DMZ) คั่นกลาง ห้ามไม่ให้เครื่องคอมพิวเตอร์ในระบบ OT สื่อสารออกสู่อินเทอร์เน็ตโดยตรง และบังคับใช้การตรวจสอบการเชื่อมต่ออย่างเข้มงวด
เฝ้าระวังการเชื่อมต่อผิดปกติผ่านโปรโตคอล WebSocket และพอร์ตที่ไม่ได้มาตรฐาน: กำหนดกฎบนระบบ EDR และ Next-Generation Firewall เพื่อตรวจจับและแจ้งเตือนทราฟฟิกขาออกที่ใช้โปรโตคอล WebSocket บนพอร์ตแปลกปลอม (เช่น พอร์ต 5173 หรือ 8099) ตลอดจนการรันโปรเซสที่พยายามเลียนแบบชื่อระบบอย่าง svchost.exe ที่ไม่ได้รันจากไดเรกทอรี System32
นำตัวบ่งชี้ภัยคุกคาม (IOCs) เข้าสู่ระบบป้องกันและสืบค้นความปลอดภัย: บันทึกรายชื่อโดเมน ไอพีแอดเดรส และค่าแฮชของมัลแวร์ BLOODALCHEMY, NightStrike, ชุดเครื่องมือ DoNot APT และคลัสเตอร์โจมตี PHP2Shell ที่ระบุในรายงานฉบับนี้ ลงในระบบ SIEM, EDR, และไฟร์วอลล์ เพื่อบล็อกการเชื่อมต่อและสืบค้นย้อนหลังในบันทึกเหตุการณ์ขององค์กร

สรุป: ภัยคุกคามไซเบอร์ในกลุ่มสาธารณูปโภคและพลังงานสัปดาห์นี้มุ่งเน้นการเปิดโปงคลังเครื่องมือจารกรรมของ DoNot APT ที่พุ่งเป้าอุตสาหกรรมพลังงานและก๊าซ, การนำ Agentic AI ผสาน DeepSeek ของ VAPOR PANDA เจาะโครงสร้างพื้นฐานระดับชาติ, การใช้มัลแวร์ NightStrike และ Havoc จารกรรมภาคอุตสาหกรรมของ Insolent Werewolf, และการโจมตีไฟร์วอลล์ Palo Alto ผ่านช่องโหว่ PHP2Shell หน่วยงานต้องเร่งปิดกั้นหน้าจัดการไฟร์วอลล์, ปิด LLMNR/NBT-NS, และเข้มงวดการแยกเครือข่าย IT/OT ทันที

TLP:CLEAR

ห้วงเวลาข้อมูล: 26 ตุลาคม - 1 พฤศจิกายน 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)