Information Technology (IT) Sector Monitoring Weekly Report
ห้วงเวลา: 26 ตุลาคม - 1 พฤศจิกายน 2569
TLP:CLEARในรอบสัปดาห์ระหว่างวันที่ 26 ตุลาคม ถึง 1 พฤศจิกายน 2569 ภาพรวมสถานการณ์ภัยคุกคามทางไซเบอร์ในกลุ่มอุตสาหกรรมเทคโนโลยีสารสนเทศ (IT) อยู่ในระดับความเสี่ยงสูง (HIGH RISK) โดยตรวจพบว่าผู้ไม่ประสงค์ดีได้มุ่งเน้นการโจมตีห่วงโซ่อุปทานการพัฒนาซอฟต์แวร์ (Software Supply Chain) และโครงสร้างพื้นฐานเว็บเซิร์ฟเวอร์หลักที่ขับเคลื่อนระบบไอทีทั่วโลกอย่างมีนัยสำคัญ ประการแรก ทีมนักวิจัย Upwind Security และ ThreatMon ตรวจพบการไฮแจ็กไปป์ไลน์การเผยแพร่ซอฟต์แวร์ของโครงการ LiteLLM เวอร์ชัน 1.107.0 บน PyPI และ Docker Hub โดยคนร้ายแอบฝังไฟล์ hook เริ่มต้นการทำงานของ Python เพื่อปล่อยมัลแวร์ PRIVCOLLECT ขโมยข้อมูลระบุตัวตน คอนฟิกคลาวด์ และ API Keys ของนักพัฒนา ประการที่สอง มีการเปิดเผยและตรวจพบความพยายามแสวงหาประโยชน์เชิงรุกจากช่องโหว่ระดับวิกฤตของแกนภาษา PHP ในชื่อ PHP2Shell (CVE-2026-109618 และ CVE-2026-109619) ที่เปิดทางให้ผู้โจมตีจากระยะไกลสั่งรันคำสั่งอันตราย (RCE) บนเว็บเซิร์ฟเวอร์ที่ใช้งาน PHP-FPM และ Apache ทั่วโลก ประการที่สาม Open Source Malware Research ตรวจพบมัลแวร์ตระกูล PolinRider ที่แทรกซึมในแพ็กเกจ npm ยอดนิยม โดยใช้เทคนิค EtherHiding ดึงคำสั่ง C2 จากธุรกรรมบนสมาร์ตคอนแทรกต์บล็อกเชนเพื่อหลบเลี่ยงการบล็อกโดเมน และประการสุดท้าย CloudSEK ตรวจพบปฏิบัติการของบอตเน็ตสายพันธุ์ Doorway ที่พัฒนาด้วยภาษา Rust ทำการสแกนและเจาะช่องโหว่อุปกรณ์ขอบเขตเครือข่าย เราเตอร์ MikroTik และเซิร์ฟเวอร์ Java/Spring เพื่อสร้างโครงข่ายพร็อกซีเชิงพาณิชย์ขนาดใหญ่ องค์กรในภาคไอทีจึงต้องยกระดับการตรวจจับความผิดปกติในกระบวนการ CI/CD บังคับใช้นโยบายตรวจรับรองแพ็กเกจโอเพนซอร์ส และเร่งอัปเดตแพตช์ระบบเซิร์ฟเวอร์อย่างเร่งด่วน
ทีมนักวิจัยด้านความปลอดภัยไซเบอร์จาก Upwind Security และ ThreatMon รายงานเหตุการณ์การโจมตีห่วงโซ่อุปทานต่อไลบรารีเกตเวย์ AI ยอดนิยม LiteLLM เวอร์ชัน 1.107.0 โดยผู้โจมตีได้สิทธิ์เข้าถึงโทเคน GitHub CLI ของผู้ดูแลโครงการและแทรกซึมไปป์ไลน์การบิลด์ ทำให้มีการอัปโหลดไฟล์ wheel และ Docker image ที่มีโค้ดอันตรายขึ้นสู่ PyPI และ Docker Hub โค้ดดังกล่าวจะสร้างไฟล์ hook เริ่มต้นระบบของไพทอนในไดเรกทอรี site-packages ได้แก่ cook.pth, cook.py และ sitecustomize.py ซึ่งจะทำงานโดยอัตโนมัติทันทีที่อินเทอร์พรีเตอร์ไพทอนถูกเรียกใช้งาน มัลแวร์ PRIVCOLLECT จะลักลอบขโมยข้อมูลลับ ข้อมูลรับรอง AWS, GCP, Azure, โทเคน Kubernetes, กุญแจ SSH และ API Keys แล้วส่งกลับไปยังโดเมนเลียนแบบ www.litellm[.]dev
ความเสี่ยงตรงและทางอ้อมต่อทีมนักพัฒนาซอฟต์แวร์และผู้ให้บริการคลาวด์ในไทย - องค์กรด้านไอที สตาร์ทอัพ และผู้พัฒนาแอปพลิเคชันปัญญาประดิษฐ์ในประเทศไทยที่มีการติดตั้งหรืออัปเดตแพ็กเกจ LiteLLM ในช่วงเวลาดังกล่าว มีความเสี่ยงสูงที่กุญแจ API และสิทธิ์การเข้าถึงโครงสร้างพื้นฐานคลาวด์ขององค์กรจะถูกขโมยไปใช้งานโดยไม่ได้รับอนุญาต ส่งผลกระทบต่อความลับของข้อมูลและการเรียกเก็บค่าบริการคลาวด์ส่วนเกิน
ยุทธศาสตร์: การโจมตีห่วงโซ่อุปทานต่อไลบรารีโอเพนซอร์สแกนกลางของระบบ AI และ Cloud Integration กำลังกลายเป็นเป้าหมายหลักของผู้ไม่ประสงค์ดีในการเก็บเกี่ยวข้อมูลรับรองสิทธิ์เข้าถึงคลาวด์ระดับองค์กร
ยุทธการ: ผู้โจมตีอาศัยการคอมโพรไมส์กระบวนการ CI/CD และใช้กลไกการเอ็กซิคิวต์อัตโนมัติของไฟล์ .pth ในไพทอน ทำให้เพย์โหลดทำงานได้แม้ผู้ใช้จะไม่เคยสั่งอิมพอร์ตโมดูลเข้าสู่แอปพลิเคชันโดยตรง
ยุทธวิธี: ดำเนินการตรวจสอบและลบไฟล์ cook.pth, cook.py และ sitecustomize.py ในไดเรกทอรี site-packages ทันที พร้อมทั้งเพิกถอนและสร้างกุญแจ AWS, GCP, Azure และ API Keys ใหม่ทั้งหมด
นักพัฒนาซอฟต์แวร์, วิศวกร DevOps, องค์กรผู้ให้บริการไอทีคลาวด์, และหน่วยงานที่ใช้งานไลบรารี LiteLLM ในสภาพแวดล้อมระบบงาน
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
CyberXtron ร่วมกับหน่วยงานเฝ้าระวังภัยคุกคามทางไซเบอร์ รายงานการตรวจพบการแสวงหาประโยชน์เชิงรุกจากกลุ่มช่องโหว่ร้ายแรงระดับวิกฤตบนรันไทม์ภาษา PHP หรือ "PHP2Shell" ประกอบด้วย CVE-2026-109618 ซึ่งเป็นช่องโหว่ความเสียหายของหน่วยความจำนอกขอบเขตระหว่างการเคลียร์คำขอ และ CVE-2026-109619 ซึ่งเป็นข้อผิดพลาดแบบ Use-After-Free ในกลไก Session Upload Progress ช่องโหว่ทั้งสองเปิดทางให้ผู้โจมตีส่งแพ็กเก็ต HTTP แบบพิเศษเพื่อรันโค้ดอันตรายจากระยะไกล (RCE) ภายใต้สิทธิ์ของเว็บเซิร์ฟเวอร์ โดยพบว่ากลุ่มผู้โจมตีที่คาดว่าเชื่อมโยงกับกลุ่มจารกรรมระดับรัฐกำลังระดมสแกนหาเป้าหมายและส่งเพย์โหลดเว็บเชลล์จากโฮสต์ไอพี 92.118.112[.]100
ความเสี่ยงสูงมากต่อโครงสร้างพื้นฐานเว็บเซิร์ฟเวอร์ในไทย - ภาษา PHP เป็นแกนกลางในการประมวลผลของเว็บแอปพลิเคชัน เว็บไซต์หน่วยงานภาครัฐ ผู้ให้บริการเว็บโฮสติ้ง และระบบพาณิชย์อิเล็กทรอนิกส์ในประเทศไทยเป็นจำนวนมาก หากเซิร์ฟเวอร์ที่เปิดสู่สาธารณะยังไม่ได้ปรับปรุงเวอร์ชัน PHP จะตกเป็นเป้าหมายของการเจาะระบบเพื่อฝังเว็บเชลล์และเข้ายึดครองเซิร์ฟเวอร์ทันที
ยุทธศาสตร์: ความเปราะบางของโครงสร้างพื้นฐานเว็บเทคโนโลยีพื้นฐานอย่าง PHP ส่งผลกระทบเป็นวงกว้างในระดับมหภาค ทำให้ผู้โจมตีสามารถยึดครองเซิร์ฟเวอร์เว็บเพื่อใช้เป็นสะพานเจาะเข้าสู่เครือข่ายภายในองค์กร
ยุทธการ: ผู้ไม่ประสงค์ดีใช้เครือข่ายไอพีแบบกระจายตัวในการสแกนตรวจสอบพอร์ตเว็บและยิงคำขอเพื่อทดสอบช่องโหว่แบบอัตโนมัติ ก่อนจะดาวน์โหลดเพย์โหลดจากเซิร์ฟเวอร์จัดเก็บไฟล์เพื่อควบคุมระบบ
ยุทธวิธี: อัปเกรดเวอร์ชัน PHP ไปยัง 8.5.12, 8.4.27, 8.3.36 หรือ 8.2.35 โดยด่วน และบล็อกการเชื่อมต่อขาเข้าและขาออกจากไอพีปลายทาง 92.118.112[.]100 รวมถึง 146.70.114[.]180 และ 146.70.114[.]182
ผู้ให้บริการเว็บโฮสติ้ง, ผู้ดูแลระบบโครงสร้างพื้นฐานไอที, ผู้พัฒนาเว็บแอปพลิเคชัน PHP, และองค์กรธุรกิจที่ใช้งานเว็บเซิร์ฟเวอร์ PHP-FPM และ Apache
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัยจาก Open Source Malware Research ตรวจพบการแพร่ระบาดของแคมเปญมัลแวร์ขโมยข้อมูลและควบคุมระยะไกล PolinRider ที่แฝงตัวอยู่ในแพ็กเกจ npm สำหรับนักพัฒนาเว็บ เช่น itsa-utils, itsa-jsext และ itsa-react-button จุดเด่นของแคมเปญนี้คือการใช้เทคนิค EtherHiding โดยผู้โจมตีจะนำข้อมูลคำสั่งการเชื่อมต่อและที่อยู่เซิร์ฟเวอร์ควบคุม C2 ไปบันทึกไว้ในสมาร์ตคอนแทรกต์บนบล็อกเชนสาธารณะ ตัวโหลดของมัลแวร์ในแพ็กเกจจะทำการอ่านข้อมูลจากบล็อกเชนมาถอดรหัสเพื่อรันโค้ดมัลแวร์ PolinRider RAT และโทรจันขโมยข้อมูลลับ ซึ่งทำให้ระบบตรวจจับความปลอดภัยไม่สามารถปิดกั้น C2 ได้ด้วยการระงับโดเมนตามวิธีทั่วไป
ความเสี่ยงตรงต่อนักพัฒนาเว็บและระบบนิเวศซอฟต์แวร์จาวาสคริปต์ในไทย - เนื่องจากระบบนิเวศของ Node.js และแพ็กเกจ npm มีการใช้งานกันอย่างกว้างขวางในหมู่วิศวกรซอฟต์แวร์ไทย การพึ่งพาแพ็กเกจที่มีการฝังเพย์โหลดอันตรายอาจส่งผลให้เครื่องคอมพิวเตอร์ของนักพัฒนาหรือเซิร์ฟเวอร์ระบบทดสอบถูกควบคุมจากระยะไกล และเสี่ยงต่อการถูกขโมยข้อมูลซอร์สโค้ดและข้อมูลระบุตัวตน
ยุทธศาสตร์: การใช้เทคโนโลยีบล็อกเชนแบบกระจายศูนย์มาเป็นโครงสร้างพื้นฐานสำหรับซ่อน C2 สะท้อนถึงการปรับเปลี่ยนยุทธวิธีของกลุ่มภัยคุกคามเพื่อลดผลกระทบจากการถูกยึดหรือระงับโดเมนจากเจ้าหน้าที่ผู้บังคับใช้กฎหมาย
ยุทธการ: ผู้โจมตีหลีกเลี่ยงการใช้สคริปต์ postinstall ที่เป็นเป้าหมายการตรวจจับของเครื่องมือความปลอดภัย โดยเลือกแทรกโค้ดอันตรายลงในไฟล์หลักของแพ็กเกจที่จะทำงานทันทีที่มีการรันโปรแกรม
ยุทธวิธี: ตรวจสอบรายการแพ็กเกจ dependency ในโครงการซอฟต์แวร์เพื่อค้นหาและลบแพ็กเกจตระกูล itsa-* ออกจากระบบ และปิดกั้นการสื่อสารทางเครือข่ายไปยังไอพี 154.91.0[.]103 และ 85.239.62[.]36
นักพัฒนาเว็บแอปพลิเคชัน, บริษัทพัฒนาซอฟต์แวร์, วิศวกร Front-end/Node.js, และองค์กรที่ใช้งานแพลตฟอร์ม npm ในระบบ CI/CD
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมนักวิจัย CloudSEK เปิดเผยข้อมูลเชิงลึกจากการตรวจพบเซิร์ฟเวอร์ปฏิบัติการที่เปิดเผยข้อมูลของบอตเน็ตสายพันธุ์ใหม่ชื่อ Doorway ซึ่งพัฒนาขึ้นด้วยภาษา Rust โดยบอตเน็ตนี้มีโมดูลโจมตีอัตโนมัติถึง 59 โมดูล พุ่งเป้าอุปกรณ์เครือข่ายตามแนวขอบเขต เช่น เราเตอร์ MikroTik RouterOS, กล้องวงจรปิด, อุปกรณ์ไฟเบอร์ และเซิร์ฟเวอร์แอปพลิเคชันระดับองค์กร เช่น Openfire, Tomcat, Spring และ ActiveMQ ผู้โจมตีใช้เทคนิคผสมผสานระหว่างการสแกนหาช่องโหว่ Command Injection และการเดารหัสผ่านเริ่มต้นเพื่อฝังตัวโหลดสคริปต์สถาปัตยกรรมต่างๆ (wtg83, stage2.so, ofvalid.jar) โดยมีเป้าหมายหลักในการผนวกอุปกรณ์ที่ถูกยึดเข้าสู่เครือข่าย Residential Proxy สำหรับขายบริการในตลาดมืด
ความเสี่ยงสูงต่อผู้ให้บริการอินเทอร์เน็ต (ISP) และอุปกรณ์เราเตอร์ในไทย - เราเตอร์ MikroTik และกล้องไอพีได้รับความนิยมอย่างแพร่หลายในเครือข่ายสำนักงานและผู้ให้บริการในไทย หากอุปกรณ์เหล่านี้ใช้รหัสผ่านเริ่มต้นหรือยังไม่ได้อัปเดตเฟิร์มแวร์ จะถูกบอตเน็ต Doorway แอบเข้าควบคุมเพื่อใช้เป็นเส้นทางแฝงตัวในการปล่อยการโจมตีทางไซเบอร์ต่อไป
ยุทธศาสตร์: อุปกรณ์ขอบเขตเครือข่ายและเกตเวย์ยังคงเป็นเป้าหมายยอดนิยมในการสร้างเครือข่ายพร็อกซีเพื่อช่วยอำนวยความสะดวกให้อาชญากรไซเบอร์หลบเลี่ยงการตรวจสอบพิกัดทางภูมิศาสตร์
ยุทธการ: ผู้ปฏิบัติการใช้ระบบสแกนประสิทธิภาพสูงที่เขียนด้วยภาษา Rust สามารถทดสอบช่องโหว่และส่งตัวโหลดไปยังแพลตฟอร์มปลายทางทั้ง Linux, Windows, MIPS และ ARM ได้อย่างยืดหยุ่น
ยุทธวิธี: เปลี่ยนรหัสผ่านผู้ดูแลระบบบนอุปกรณ์เครือข่ายและเราเตอร์จากค่าเริ่มต้นทันที, ปิดพอร์ตการจัดการระยะไกลที่ไม่จำเป็น, และบล็อกการเชื่อมต่อไปยังไอพี 45.90.13[.]169, 45.205.1[.]9 และ 151.243.11[.]210
ผู้ให้บริการอินเทอร์เน็ต (ISP), ผู้ดูแลระบบเครือข่ายองค์กร, องค์กรที่ใช้งานเราเตอร์ MikroTik, และระบบเซิร์ฟเวอร์ Java/Spring
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง