CGI-CTI-WEEKLY-20261102-HLT - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคสาธารณสุขและการแพทย์ ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบการบุกรุกเซิร์ฟเวอร์เว็บโรงพยาบาลด้วยแพลตฟอร์ม DesRedTeam ขับเคลื่อนด้วย AI, การขยายตัวของกลุ่มแรนซัมแวร์ Qilin พุ่งเป้าโครงสร้างพื้นฐานเสมือนจริง ESXi และระบบการแพทย์, แรนซัมแวร์กลุ่ม n0n ใช้ประโยชน์จากโมเดล AI ในการสร้างมัลแวร์กรรโชกและทำลายข้อมูลภาคเภสัชกรรม, และปฏิบัติการแรนซัมแวร์ Anubis แฝงประตูลับ Lindnor พรางชื่อคอนโทรลเลอร์สุขภาพผสานเทคนิค BYOVD ปิดระบบความปลอดภัย

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 26 ตุลาคม ถึง 1 พฤศจิกายน 2569 สถานการณ์ภัยคุกคามทางไซเบอร์ต่อภาคสาธารณสุขและการแพทย์ทวีความซับซ้อนและส่งผลกระทบต่อความต่อเนื่องทางธุรกิจอย่างมีนัยสำคัญ ไฮไลต์เด่นเริ่มต้นจากการเปิดเผยการเจาะระบบเซิร์ฟเวอร์เว็บของโรงพยาบาลผ่านแพลตฟอร์ม DesRedTeam ที่ขับเคลื่อนด้วยเทคโนโลยี AI ช่วยลดระยะเวลาทดสอบยกระดับสิทธิ์สู่ SYSTEM เหลือเพียง 57 นาทีและฝังประตูลับโมดูล IIS เสร็จสิ้นใน 19 นาที ขณะที่กลุ่มแรนซัมแวร์ Qilin ได้ยกระดับการโจมตีโครงสร้างพื้นฐานเสมือนจริง VMware ESXi และระบบสุขภาพด้วยกลยุทธ์กรรโชกสองชั้นผ่านเครือข่าย Clearnet และ Tor ด้านกลุ่มอาชญากร n0n ได้ประยุกต์ใช้โมเดลภาษาขนาดใหญ่ (LLM) ในการสังเคราะห์มัลแวร์เข้ารหัสข้อมูลและทำลายระบบเพื่อขู่กรรโชกเครือข่ายร้านขายยาและบริการสุขภาพ ปิดท้ายด้วยปฏิบัติการของกลุ่มแรนซัมแวร์ Anubis ที่นำมัลแวร์ประตูลับ Lindnor มาพรางตัวเป็นคอนโทรลเลอร์สุขภาพ (healthcontroller64.exe) พร้อมขนชุดเครื่องมือปิดระบบความปลอดภัยและไดรเวอร์ช่องโหว่แบบ BYOVD มากถึง 13 รายการเพื่อเตรียมการเข้ารหัสเซิร์ฟเวอร์ฐานข้อมูลทางการแพทย์

เหตุการณ์เด่นประจำสัปดาห์

การบุกรุกเซิร์ฟเวอร์เว็บของโรงพยาบาลด้วยแพลตฟอร์ม DesRedTeam ขับเคลื่อนด้วย AI และการฝังตัวผ่านโมดูล IIS

เผยแพร่: 27 ตุลาคม 2569 · แหล่งที่มา: QiAnxin Threat Intelligence Center · Admiralty B2

ทีมนักวิจัย RedDrip จากศูนย์ข่าวกรองภัยคุกคาม QiAnxin เปิดเผยผลการตรวจพิสูจน์พยานหลักฐานดิจิทัล (DFIR) กรณีผู้ไม่ประสงค์ดีใช้แพลตฟอร์ม DesRedTeam ซึ่งผสานขีดความสามารถของ AI Agent เข้าเจาะระบบเซิร์ฟเวอร์เว็บของโรงพยาบาลผ่านช่องโหว่การอัปโหลดไฟล์เพื่อฝังเว็บเชลล์ โดยระบบ AI ช่วยย่นระยะเวลาการวนลูปทดสอบโค้ดยกระดับสิทธิ์สู่สถานะ SYSTEM ภายใน 57 นาที จากนั้นจึงเริ่มทดสอบการเชื่อมต่อไปยังโหนดโจมตี Node A (198.44.46[.]58) ภายใน 10 นาที และทำการติดตั้งโมดูลแฝง w3cache.dll บน Microsoft IIS พร้อมทั้งรันสคริปต์ลบร่องรอยใน IIS Access Logs เสร็จสิ้นภายในเวลา 19 นาที

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อระบบบริการสุขภาพและโรงพยาบาลในไทย - แม้เหยื่อในกรณีศึกษานี้จะเป็นโรงพยาบาลในต่างประเทศ แต่การสแกนพบโหนด DesRedTeam แพร่กระจายบนเครือข่ายอินเทอร์เน็ตสาธารณะ บ่งชี้ว่าผู้ไม่ประสงค์ดีสามารถนำแพลตฟอร์ม AI แบบเปิดนี้มาใช้เจาะระบบพอร์ทัลบริการผู้ป่วยหรือเว็บเซิร์ฟเวอร์ภายนอกของโรงพยาบาลไทยได้อย่างรวดเร็ว หากยังขาดการเฝ้าระวังโพรเซสเว็บที่เรียกใช้คำสั่งเชิงโต้ตอบและการตรวจสอบโมดูล IIS แปลกปลอม

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การนำ AI และสถาปัตยกรรม Model Context Protocol (MCP) มาใช้ในแพลตฟอร์ม Red Teaming ช่วยให้อาชญากรไซเบอร์ย่นย่อห้วงเวลาการโจมตีจากระดับวันลงเหลือเพียงไม่กี่ชั่วโมง ส่งผลให้กรอบเวลาการตอบสนองของศูนย์เฝ้าระวังความปลอดภัย (SOC) สั้นลงอย่างวิกฤต

ยุทธการ: ผู้โจมตีใช้เว็บเชลล์ในการวนลูปทดสอบคำสั่งร่วมกับการคอมไพล์โค้ดบนเครื่องเป้าหมายเพื่อเลี่ยงการตรวจจับตามพฤติกรรม และอาศัยโมดูล IIS ในการคงสิทธิ์ถาวรในระดับเคอร์เนลของเว็บเซิร์ฟเวอร์

ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องตรวจสอบสิทธิ์ของบัญชี IIS Application Pool, ตรวจสอบรายชื่อโมดูลที่ลงทะเบียนด้วยคำสั่ง appcmd list modules, เฝ้าระวังไฟล์ตระกูล w3svc_*.exe และบล็อกการเชื่อมต่อไปยัง IP 198.44.46[.]58

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคสาธารณสุขและโรงพยาบาล, สถาบันวิจัยการแพทย์, เว็บเซิร์ฟเวอร์ภาครัฐและมหาวิทยาลัย

MITRE ATT&CK

T1190 Exploit Public-Facing Application T1505.003 Web Shell T1505.004 IIS Components T1027.004 Compile After Delivery T1070.006 Timestomp T1070 Indicator Removal T1105 Ingress Tool Transfer

IOC ที่สำคัญ

IP (C2 Node A): 198.44.46[.]58 SHA256 (app_web_zcdjmtmt.dll): e33a08c9bde547d3ef513cb635e979d16db71332c026a46036156b5744eff557 MD5 (w3svc_upd.exe): a6aba265bfd96863398c620462cd8494 MD5 (w3svc_upd2.exe): 30e439cdfeae208bf54f58a6dcef414d MD5 (w3wpmn.exe): b76c0eec7d6a16ee094dd8c990f66021 SHA1 (IIS Module w3cache.dll x64): c1600af8f933bac05c9d848998a8ba38d0de1346

แหล่งที่มา: QiAnxin Threat Intelligence Center - In-Depth Forensics of a Four-Hour Attack Chain and Two Independent Nodes →

ปฏิบัติการแรนซัมแวร์ Qilin พุ่งเป้าโครงสร้างพื้นฐานเสมือนจริง ESXi และระบบสาธารณสุขด้วยกลยุทธ์กรรโชกสองชั้น

เผยแพร่: 28 ตุลาคม 2569 · แหล่งที่มา: Acronis Threat Research Unit (TRU) · Admiralty B2

ทีมนักวิจัย Acronis TRU เผยแพร่รายงานเจาะลึกพฤติกรรมและการวิเคราะห์ทางเทคนิคของกลุ่มแรนซัมแวร์ Qilin (หรือ Agenda) ซึ่งยังคงเป็นหนึ่งในกลุ่มอาชญากรไซเบอร์ที่มุ่งเป้าโจมตีภาคส่วนสุขภาพอย่างต่อเนื่อง โดยในปี 2569 กลุ่ม Qilin ขยายเครือข่ายพันธมิตร RaaS ด้วยการแบ่งผลประโยชน์สูงถึง 85% ตัวมัลแวร์เขียนด้วยภาษา Rust มีขนาดไฟล์ใหญ่ถึง 4.69 MB และถูกออกแบบให้สามารถเข้ารหัสทั้งระบบ Windows, สภาพแวดล้อมเสมือนจริง VMware ESXi และเครือข่ายแชร์ไฟล์ ตลอดจนการใช้เว็บบอร์ดรั่วไหล WikiLeaksV2 บนเครือข่าย Clearnet ควบคู่กับเว็บ Tor ในการกรรโชกข้อมูลสองชั้น (Double Extortion)

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อโรงพยาบาลและศูนย์บริการทางการแพทย์ในไทย - ปัจจุบันสถานพยาบาลและโรงพยาบาลรัฐ-เอกชนในไทยพึ่งพาระบบ VMware ESXi ในการรันเซิร์ฟเวอร์เวชระเบียนอิเล็กทรอนิกส์และระบบจัดเก็บภาพทางการแพทย์อย่างแพร่หลาย หากระบบเสมือนจริงถูกเข้ารหัสจะส่งผลให้การรักษาพยาบาลฉุกเฉินและการเข้าถึงประวัติคนไข้ต้องหยุดชะงักลงทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: โมเดลแบ่งรายได้ค่าไถ่สูงถึง 85% ดึงดูดพันธมิตรที่มีทักษะขั้นสูงเข้ามาร่วมปฏิบัติการ ส่งผลให้อัตราและความรุนแรงของการโจมตีเป้าหมายที่มีมูลค่าสูงอย่างระบบสาธารณสุขเพิ่มขึ้นต่อเนื่อง

ยุทธการ: กลุ่มคนร้ายเน้นเจาะระบบขั้นต้นผ่านข้อมูลรับรอง VPN/RDP ที่รั่วไหลและช่องโหว่ของเว็บแอปพลิเคชัน จากนั้นใช้เพย์โหลดภาษา Rust สั่งยุติเซอร์วิสสำคัญก่อนเริ่มกระบวนการเข้ารหัสทั้งบนระบบปฏิบัติการและ Hypervisor

ยุทธวิธี: ผู้ดูแลระบบต้องจำกัดการเข้าถึงคอนโซลการจัดการ ESXi ผ่านการแบ่งเซกเมนต์เครือข่าย บังคับใช้ MFA แบบทนทานต่อการฟิชชิ่งสำหรับบัญชีผู้ดูแล และเฝ้าระวังการเชื่อมต่อไปยังโดเมนรั่วไหล WikiLeaksV2 (wikileaks2[.]site)

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โรงพยาบาล, ศูนย์บริการตรวจวินิจฉัยและห้องปฏิบัติการพยาธิวิทยา, องค์กรด้านสุขภาพ และเครือข่ายธุรกิจข้ามชาติ

MITRE ATT&CK

T1486 Data Encrypted for Impact T1490 Inhibit System Recovery T1021.001 Remote Desktop Protocol T1078 Valid Accounts T1133 External Remote Services T1562.001 Disable or Modify Tools

IOC ที่สำคัญ

SHA256 (Qilin Windows Encryptor): 24a24c5fe9a5dc242b2908d020f890ed5b3afe8146fade4e3ab8a07d19007b6d SHA256 (Qilin Windows Encryptor): 011dcd84bc7b8faa8c32020f3530be599d213888c0e8b750b95595f8ff331756 SHA256 (Qilin Windows Encryptor): 516927b55038c1702bc8a6a0262a39d5fe45f4b07527fdc42415533a9665264a URL (Clearnet Leak Portal): hxxps[://]wikileaks2[.]site/ URL (Tor Negotiation Portal): hxxp[://]kbsqoivihgdmwczmxkbovk7ss2dcynitwhhfu5yw725dboqo5kthfaad[.]onion Domain (Securotrop/Qilin Onion): meuu4pqh6g4aqjk5i6ama4dt5z365qgilwfn53iqcyrdbzkd3d4secyd[.]onion

แหล่งที่มา: Acronis TRU - Inside Qilin ransomware: ESXi attacks, affiliate networks and double extortion →

แรนซัมแวร์กลุ่ม n0n ใช้ประโยชน์จาก Agentic AI และเซิร์ฟเวอร์ LLM ในการกรรโชกข้อมูลและทำลายระบบมุ่งเป้าภาคเภสัชกรรมและสาธารณสุข

เผยแพร่: 28 ตุลาคม 2569 · แหล่งที่มา: SOCRadar · Admiralty B2

SOCRadar เฝ้าระวังและวิเคราะห์การเคลื่อนไหวของกลุ่มกรรโชกข้อมูล "n0n" ซึ่งผสานการทำงานของโมเดลภาษาขนาดใหญ่ (LLM) และเอเจนต์เขียนโค้ดอัตโนมัติเข้ากับวงจรการเจาะระบบเพื่อมุ่งเป้าองค์กรในหลากหลายอุตสาหกรรม รวมถึงเครือข่ายร้านขายยาและระบบสุขภาพ โดยกลุ่มผู้ก่อเหตุติดตั้งเซิร์ฟเวอร์ LLM แบบโฮสต์เองบนพอร์ต 11434 (217.18.55[.]185) และตู้ควบคุมเอเจนต์ (185.157.161[.]148) เพื่อสังเคราะห์โค้ดมัลแวร์เข้ารหัสเฉพาะตัว (อาทิ ซอร์สโค้ด nenc.cpp, nenc2.cpp และ nenc2l.cpp) ควบคู่กับการขโมยข้อมูลลับจากสภาพแวดล้อมคลาวด์และแพลตฟอร์ม SaaS ก่อนขู่ทำลายหรือเปิดเผยข้อมูลต่อสาธารณะ

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อเครือข่ายบริบาลเภสัชกรรมและห่วงโซ่อุปทานยาในไทย - ธุรกิจค้าปลีกยา เภสัชภัณฑ์ และโรงพยาบาลเอกชนในไทยที่หันมาใช้งานโครงสร้างพื้นฐานคลาวด์และแอปพลิเคชัน SaaS มีความเสี่ยงต่อการถูกแทรกซึมด้วยเครื่องมือสร้างโค้ดอัตโนมัติของกลุ่มกรรโชกข้อมูล ซึ่งสามารถปรับเปลี่ยนรูปแบบเพย์โหลดหลบเลี่ยงการตรวจจับได้ตลอดเวลา

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การผสาน Generative AI เข้าสู่กระบวนการเจาะระบบของกลุ่มกรรโชกข้อมูล ช่วยให้อาชญากรไซเบอร์ขนาดเล็กสามารถสร้างมัลแวร์เข้ารหัสข้อมูลและสคริปต์ทำลายระบบได้ในระดับเดียวกับกลุ่มภัยคุกคามชั้นนำ

ยุทธการ: กลุ่มคนร้ายใช้สถาปัตยกรรมแบบกระจายศูนย์ โดยตั้งเซิร์ฟเวอร์ควบคุม C2, ตู้โฮสต์โมเดล AI และโหนด Tor/SOCKS เพื่อเข้าถึงระบบ SaaS ของเหยื่อและควบคุมเพย์โหลดข้ามเครือข่าย

ยุทธวิธี: ทีมความมั่นคงปลอดภัยต้องบล็อกการรับส่งข้อมูลไปยังเครือข่าย C2 (185.157.161[.]148, 217.18.55[.]185) เฝ้าระวังโดเมนส่งอีเมลกรรโชก n0n-cases[.]net และตรวจสอบการสร้างโพรเซสที่คอมไพล์จากซอร์สโค้ดภาษา C++

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคเภสัชกรรม (Pharmacy), ธุรกิจสุขภาพและอีคอมเมิร์ซ, ผู้ให้บริการระบบสารสนเทศ (ISP/MSP) และโครงสร้างพื้นฐานดิจิทัล

MITRE ATT&CK

T1078.004 Cloud Accounts T1133 External Remote Services T1059.001 PowerShell T1562.001 Disable or Modify Tools T1486 Data Encrypted for Impact T1485 Data Destruction T1588.007 Artificial Intelligence

IOC ที่สำคัญ

IP (AI Coding Agent & kserver C2): 185.157.161[.]148 IP (Self-Hosted LLM Server): 217.18.55[.]185 Domain (Beacon Cover): ntpsync[.]io Domain (Extortion Mail Sender): n0n-cases[.]net SHA1 (nenc.exe Windows Encryptor): dc82e9c22c4a06c6bc03701fce2b55f4f490c651 SHA256 (nenc.cpp Locker Source v1): d1fd3a8ac4ada74b8ccbcdf5134797acff401b7fb50e16549b337781dfe1a486

แหล่งที่มา: SOCRadar - n0n ransomware conducts AI-assisted extortion and data destruction across multi-sector organizations →

แรนซัมแวร์ Anubis และกลุ่ม Hawkmoth ปล่อยประตูลับ Lindnor พรางตัวเป็นคอนโทรลเลอร์อุปกรณ์การแพทย์ ผสานเทคนิค BYOVD ปิดระบบความปลอดภัย

เผยแพร่: 29 ตุลาคม 2569 · แหล่งที่มา: Symantec Threat Hunter Team (Broadcom) · Admiralty B2

ทีมนักวิเคราะห์ Symantec Threat Hunter Team ตรวจพบการโจมตีของกลุ่มผู้ไม่ประสงค์ดีที่ใช้งานแรนซัมแวร์ Anubis (กลุ่ม Hawkmoth หรือชื่อเดิม Sphinx) ซึ่งปรับเปลี่ยนกลยุทธ์ด้วยการแอบติดตั้งมัลแวร์ประตูลับตัวใหม่ Backdoor.Lindnor โดยพรางชื่อไฟล์เป็น healthcontroller64.exe (เลียนแบบคอนโทรลเลอร์ควบคุมระบบสุขภาพ/อุปกรณ์ทางการแพทย์) และ svchelper.exe บนเซิร์ฟเวอร์ฐานข้อมูล Microsoft SQL Server เพื่อใช้เป็นฐานที่มั่น จากนั้นคนร้ายได้ปล่อยโปรแกรมทำลายความปลอดภัยมากถึง 13 รายการ โดยใช้เทคนิค Bring Your Own Vulnerable Driver (BYOVD) ร่วมกับไดรเวอร์มีลายเซ็นถูกต้องแต่มีช่องโหว่ 5 ตัว (อาทิ havoc.sys และ xhunter1.sys) ในการสั่งหยุดการทำงานของซอฟต์แวร์ความปลอดภัยระดับเคอร์เนล พร้อมติดตั้ง AnyDesk ที่คอนฟิกให้ทำงานใน Windows Safe Mode (safemode.exe) ก่อนพยายามรันเพย์โหลดเข้ารหัส iservice.exe

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อศูนย์ข้อมูลโรงพยาบาลและระบบสารสนเทศทางการแพทย์ในไทย - เซิร์ฟเวอร์ฐานข้อมูลเวชระเบียนของโรงพยาบาลในไทยมักมีการติดตั้งเซอร์วิสสนับสนุนอุปกรณ์ทางการแพทย์เฉพาะทาง การพรางชื่อไฟล์เป็นคอนโทรลเลอร์สุขภาพและการใช้เทคนิค BYOVD โจมตีในระดับเคอร์เนล สามารถเลี่ยงการตรวจจับของแอนติไวรัสทั่วไปและทำให้ข้อมูลผู้ป่วยตกอยู่ในความเสี่ยงสูง

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: กลุ่มแรนซัมแวร์ Anubis ยกระดับการเตรียมความพร้อมขั้นสูงสุดด้วยการพกพาชุดเครื่องมือปิดระบบความปลอดภัยและไดรเวอร์ช่องโหว่จำนวนมาก เพื่อรับประกันว่าการเข้ารหัสระบบจะสำเร็จแม้เป้าหมายจะติดตั้งโซลูชัน EDR ระดับสูง

ยุทธการ: ผู้โจมตีเน้นยึดครองเซิร์ฟเวอร์ฐานข้อมูล SQL เป็นจุดเริ่มต้น ติดตั้งประตูลับเป็น Windows Service และอาศัยการรีบูตเข้าสู่เซฟโหมดเพื่อให้โปรแกรมรีโมต AnyDesk ทำงานในขณะที่ระบบป้องกันหลักของเครื่องไม่ทำงาน

ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องเปิดใช้งานฟีเจอร์ Driver Blocklist ของไมโครซอฟท์เพื่อป้องกันการโหลดไดรเวอร์ช่องโหว่ (เช่น havoc.sys, bdapiutil64.sys) เฝ้าระวังการตั้งค่าเซอร์วิสชื่อ healthcontroller64.exe และบล็อกโดเมน C2 msrcontrib[.]com

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

โรงพยาบาลและสถานพยาบาล, ผู้ดูแลเซิร์ฟเวอร์ฐานข้อมูลทางการแพทย์, องค์กรธุรกิจและโครงสร้างพื้นฐานสำคัญ

MITRE ATT&CK

T1562.001 Disable or Modify Tools T1562.009 Safe Mode Boot T1068 Exploitation for Privilege Escalation T1036.005 Match Legitimate Resource Name or Location T1543.003 Windows Service T1219 Remote Access Tools T1486 Data Encrypted for Impact

IOC ที่สำคัญ

SHA256 (Backdoor.Lindnor healthcontroller64.exe): fc200686175559f4544a5de826905f09a68476d889690a3be40ac32356790cb8 SHA256 (Anubis Ransomware Payload iservice.exe): e69b882218fa2a19fd351741874bfcd10a6ae91076e6a8483795e0e357f8d026 SHA256 (Safe Mode AnyDesk Tool safemode.exe): 47a864736764112d7897c76e56d51111ce75b3e46fdbac6933df8a5b29507d17 SHA256 (Vulnerable Driver havoc.sys): 5abe477517f51d81061d2e69a9adebdcda80d36667d0afabe103fda4802d33db Domain (Backdoor.Lindnor C2): msrcontrib[.]com Hostname (Backdoor.Lindnor Azure Relay): cfgsync-relay.eastus.cloudapp.azure[.]com

แหล่งที่มา: Symantec Threat Hunter Team - New Lindnor Backdoor and Glut of Security Killers Used in Ransomware Attack on U.S. Org →

ข้อสังเกตประจำสัปดาห์

การปรับลดห้วงเวลาการโจมตี (Attack Window) ด้วยเทคโนโลยี Agentic AI ในสภาพแวดล้อมโรงพยาบาล: กรณีศึกษาการเจาะระบบเว็บเซิร์ฟเวอร์โรงพยาบาลด้วย DesRedTeam สะท้อนให้เห็นว่าผู้โจมตีสามารถย่นระยะเวลาจากการเจาะระบบขั้นต้นสู่การยึดครองระดับ SYSTEM ภายในไม่ถึง 1 ชั่วโมง และติดตั้งโมดูลแฝงบน IIS พร้อมทำลายร่องรอยในเวลาเพียง 19 นาที ซึ่งสั้นกว่าเวลาเฉลี่ยในการตรวจพบของศูนย์เฝ้าระวังความปลอดภัย (SOC) ทั่วไปอย่างมาก
การผสานเทคนิค BYOVD และการบังคับรีบูตเข้าสู่ Safe Mode เพื่อขัดขวางการทำงานของ EDR: กลุ่มแรนซัมแวร์อย่าง Anubis มีการเตรียมความพร้อมขั้นสูงโดยนำไดรเวอร์ที่มีช่องโหว่และมีลายเซ็นถูกต้องมาใช้ปิดการทำงานของโซลูชันความมั่นคงปลอดภัยระดับเคอร์เนล ควบคู่กับการใช้ AnyDesk ใน Windows Safe Mode เพื่อลดทอนขีดความสามารถของระบบป้องกันแบบเรียลไทม์
การขยายตัวของภัยคุกคามต่อระบบเสมือนจริง Hypervisor และการกรรโชกข้อมูลสองชั้น: กลุ่ม Qilin และ n0n แสดงให้เห็นถึงแนวโน้มที่มุ่งเน้นการเข้ารหัสโครงสร้างพื้นฐานเสมือนจริงระดับองค์กร (VMware ESXi) และการนำข้อมูลผู้ป่วยหรือข้อมูลการดำเนินงานของสถานพยาบาลไปเผยแพร่บนเว็บหลุดสาธารณะอย่าง WikiLeaksV2 เพื่อสร้างแรงกดดันต่อองค์กรเป้าหมายอย่างสูงสุด

ข้อเสนอแนะ

ยกระดับความเข้มงวดในการตรวจสอบการลงทะเบียน IIS Module และสิทธิ์ของ Web Service: ตรวจสอบโมดูลที่ทำงานบนเซิร์ฟเวอร์ IIS เป็นประจำด้วยคำสั่ง appcmd list modules และจำกัดสิทธิ์ของ Application Pool ไม่ให้สามารถคอมไพล์โค้ดหรือเรียกใช้งานโพรเซสเชิงโต้ตอบ (Interactive Shells)
เปิดใช้งาน Microsoft Vulnerable Driver Blocklist และบล็อกเทคนิค BYOVD: กำหนดค่านโยบาย Windows Defender Application Control (WDAC) หรือเปิดใช้ฟีเจอร์ Memory Integrity (HVCI) เพื่อสกัดกั้นการโหลดไดรเวอร์ที่มีช่องโหว่ที่คนร้ายนิยมใช้ปิดระบบความปลอดภัย เช่น havoc.sys และ xhunter1.sys
แบ่งส่วนเซกเมนต์เครือข่ายและควบคุมการเข้าถึงระบบเสมือนจริง VMware ESXi อย่างเข้มงวด: ตัดการเชื่อมต่อพอร์ตการจัดการของ ESXi และเซิร์ฟเวอร์เวชระเบียน (HIS/PACS) ออกจากเครือข่ายสาธารณะ พร้อมบังคับใช้ Multi-Factor Authentication (MFA) ที่ทนทานต่อการฟิชชิ่งสำหรับผู้ดูแลระบบ
เฝ้าระวังการรันเซอร์วิสแปลกปลอมและการเปิดใช้งานรีโมตทูลในเซฟโหมด (Safe Mode): ตั้งค่าระบบตรวจจับพฤติกรรมผิดปกติเมื่อเครื่องเซิร์ฟเวอร์มีการเปลี่ยนแปลงค่ารีจิสทรีสำหรับบูตเข้าสู่ Safe Mode หรือมีคำสั่งติดตั้งเซอร์วิสใหม่ที่พรางชื่อเป็นระบบการแพทย์ เช่น healthcontroller64.exe
สำรองข้อมูลระบบสารสนเทศโรงพยาบาลตามหลักเกณฑ์ 3-2-1 และตัดการเชื่อมต่อแบบออฟไลน์: ดำเนินการสำรองข้อมูลประวัติผู้ป่วยและระบบปฏิบัติการสำคัญโดยจัดเก็บสำเนาแบบ Immutable Backup หรือ Air-Gapped อย่างสม่ำเสมอ เพื่อให้สามารถกู้คืนระบบได้อย่างรวดเร็วในกรณีที่เกิดเหตุแรนซัมแวร์

สรุป: ภัยคุกคามทางไซเบอร์ต่อภาคสาธารณสุขในรอบสัปดาห์ทวีความรุนแรงจากการผสานเทคโนโลยี AI ในการเจาะระบบโรงพยาบาล การใช้เทคนิค BYOVD ปิดระบบความปลอดภัยเพื่อปล่อยแรนซัมแวร์ และการมุ่งเป้าโจมตีโครงสร้างพื้นฐานเสมือนจริง ESXi หน่วยงานทางการแพทย์จำเป็นต้องยกระดับการเฝ้าระวังเว็บเซิร์ฟเวอร์และปกป้องระบบควบคุมหลักอย่างเร่งด่วน

TLP:CLEAR

ห้วงเวลาข้อมูล: 26 ตุลาคม - 1 พฤศจิกายน 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)