CGI-CTI-WEEKLY-20260914-FIN  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการเงินและการธนาคาร ประจำสัปดาห์

Financial Sector Cybersecurity Weekly Monitoring Report

ห้วงเวลา: 7-13 กันยายน 2569

TLP:CLEAR
CRITICAL RISK (ความเสี่ยงระดับวิกฤต) ตรวจพบมัลแวร์โมบายล์แบงก์กิ้งสายพันธุ์ใหม่ใช้เทคนิคแยกโปรไฟล์หลบเลี่ยงระบบตรวจจับของธนาคาร และพบแคมเปญฟิชชิงแบบเรียลไทม์ดักจับรหัสผ่าน OTP ของธนาคารไทยโดยตรง

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ที่ผ่านมา ภัยคุกคามไซเบอร์ต่อภาคการเงินและการธนาคารมีความรุนแรงและซับซ้อนขึ้นอย่างมีนัยสำคัญ โดยมีประเด็นสำคัญ 3 ด้าน ได้แก่ (1) การยกระดับของมัลแวร์โมบายล์แบงก์กิ้งโดยกลุ่ม GoldFactory ที่นำแอปพลิเคชันจัดการโปรไฟล์มาดัดแปลงเพื่อโคลนแอปธนาคารเข้าสู่พื้นที่เสมือน หลบเลี่ยงการตรวจจับของระบบความปลอดภัยระดับอุปกรณ์ (2) แคมเปญฟิชชิงแบบ Adversary-in-the-Middle (AiTM) มุ่งเป้าผู้ใช้งานในไทยโดยแอบอ้างไปรษณีย์ไทยเพื่อดักจับข้อมูลบัตรเครดิตและรหัส OTP จากธนาคารแบบเรียลไทม์ และ (3) การใช้ Generative AI สร้างเอกสารการเงินปลอมแปลงเพื่อหลอกโอนเงินระดับองค์กร ตลอดจนส่วนขยายเบราว์เซอร์อันตรายที่มุ่งขโมยสินทรัพย์ดิจิทัลและโทเค็นเซสชัน

เหตุการณ์เด่นประจำสัปดาห์

กลุ่ม GoldFactory พัฒนา Vwork โคลนแอปโมบายล์แบงก์กิ้งเพื่อหลบเลี่ยงการตรวจจับ

เผยแพร่: 9 กันยายน 2569  ·  แหล่งที่มา: Group-IB  ·  Admiralty B2

กลุ่มอาชญากรไซเบอร์ GoldFactory ผู้พัฒนามัลแวร์ขโมยเงิน Gigabud ได้พัฒนาเครื่องมือชื่อ Vwork โดยดัดแปลงจากแอปพลิเคชันโอเพนซอร์ส Shelter เพื่อใช้ประโยชน์จากฟังก์ชัน Android Work Profile ในการสร้างพื้นที่ทำงานแยกส่วน Vwork เปิดช่องทาง API ให้ Gigabud สั่งโคลนแอปพลิเคชันโมบายล์แบงก์กิ้งเป้าหมายเข้าไปทำงานใน Work Profile ทำให้ระบบตรวจจับมัลแวร์ (Security SDK) ของธนาคารไม่สามารถตรวจพบมัลแวร์ที่ทำงานอยู่ใน Personal Profile ได้ จากนั้นผู้โจมตีจะใช้สิทธิ์ Accessibility Service ในการควบคุมหน้าจอ สวมรอยทำธุรกรรมโอนเงิน และดูดเงินออกจากบัญชีเหยื่อแบบอัตโนมัติ (Automated Transfer System) โดยมีการพรางหน้าจอเป็นสีดำเพื่อไม่ให้เหยื่อสังเกตเห็น

ผลกระทบต่อประเทศไทย

ได้รับผลกระทบโดยตรงและมีความเสี่ยงสูงมาก เนื่องจากกลุ่ม GoldFactory มีประวัติพุ่งเป้าโจมตีผู้ใช้งานโมบายล์แบงก์กิ้งในประเทศไทยและภูมิภาคเอเชียตะวันออกเฉียงใต้อย่างต่อเนื่อง เทคนิคการแยกสภาพแวดล้อม Work Profile ส่งผลให้ระบบตรวจจับพฤติกรรมผิดปกติบนอุปกรณ์ของธนาคารในไทยไม่สามารถตรวจจับสัญญาณมัลแวร์ได้ตามปกติ

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้พัฒนาโทรจันสายการเงินปรับเปลี่ยนกลยุทธ์จากการพยายามหลบเลี่ยงการวิเคราะห์โค้ด มาเป็นการใช้ฟีเจอร์แยกสภาพแวดล้อมระดับระบบปฏิบัติการ (OS-level isolation) เพื่อตัดการเชื่อมโยงระหว่างสัญญาณตรวจจับมัลแวร์กับการทำธุรกรรมฉ้อโกง

ยุทธการ: ผู้โจมตีแบ่งสถาปัตยกรรมการโจมตีออกเป็นสองส่วน โดยให้ Gigabud ทำหน้าที่เป็น C2 loader และขอสิทธิ์ Accessibility ส่วน Vwork ทำหน้าที่บริหารจัดการโคลนแอปธนาคารเข้าสู่พื้นที่เสมือน

ยุทธวิธี: สถาบันการเงินและผู้พัฒนาแอปพลิเคชันธนาคารต้องเพิ่มกลไกตรวจสอบการทำงานของแอปภายใน Work Profile ตรวจจับการเปิดใช้งาน Accessibility Service โดยแอปพลิเคชันที่ไม่รู้จัก และผูกอุปกรณ์ที่เชื่อถือได้ (Device Binding)

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ผู้ใช้งานโมบายล์แบงก์กิ้ง สถาบันการเงินและธนาคารพาณิชย์ และผู้ให้บริการกระเป๋าเงินดิจิทัล

MITRE ATT&CK
T1660 Phishing T1575 Native API T1603 Scheduled Task/Job T1577 Compromise Application Executable T1624 Event Triggered Execution T1626.001 Device Administrator Permissions T1407 Download New Code at Runtime T1541 Foreground Persistence T1628.001 Suppress Application Icon T1628.002 User Evasion T1629 Impair Defenses T1630 Indicator Removal on Host T1516 Input Injection T1655.001 Match Legitimate Name or Location T1406.002 Software Packing T1453 Abuse Accessibility Features T1417.002 GUI Input Capture T1418 Software Discovery T1426 System Information Discovery T1513 Screen Capture T1437 Application Layer Protocol T1437.001 Web Protocols T1521.001 Symmetric Cryptography T1646 Exfiltration Over C2 Channel T1509 Non-Standard Port
IOC ที่สำคัญ
66499653c0fff78d81db5dc319b9aaa0288dc5d76f555a5eba73660c0ee810eb b769721621aed0418b193e4a00e51bc772c8383a4149d23a5425b13475e2d501 61274cf9f49e04e559b267d18617d352c48ba3b1f453773ee9f30e5a4e25dbbc net.yy.vwork

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

Vwork: Weaponized Open-source Software as an Addon for Gigabud →

แคมเปญฟิชชิง AiTM แอบอ้างไปรษณีย์ไทยดักจับข้อมูลบัตรเครดิตและรหัส OTP แบบเรียลไทม์

เผยแพร่: 11 กันยายน 2569  ·  แหล่งที่มา: Cyber Guard Intelligence  ·  Admiralty B2

ตรวจพบแคมเปญฟิชชิงแบบ Adversary-in-the-Middle (AiTM) แอบอ้างเป็นไปรษณีย์ไทย ส่งอีเมลหลอกลวงให้ผู้รับยืนยันข้อมูลพัสดุและเรียกเก็บค่าธรรมเนียมจัดส่งเพิ่มเติมจำนวน 36.14 บาท อีเมลส่งผ่านระบบ Postmark ของบริษัทในเยอรมนีที่ถูกเจาะระบบ ทำให้ผ่านเกณฑ์การตรวจสอบ SPF และ DKIM เนื้อหาอีเมลใช้กลไก Open Redirect ของ Bing Search เชื่อมต่อไปยังหน้าฟิชชิงบนโดเมน ellfrieda-pflegedienst[.]de ซึ่งทำงานเป็น Real-time Session Listener ผ่านหน้า loading[.]php และ OtpOne[.]php เพื่อดักเก็บข้อมูลบัตรเครดิต (PAN, CVV, วันหมดอายุ) และนำข้อมูลไปสร้างธุรกรรมกับร้านค้าจริงเพื่อดักจับรหัส OTP 3D-Secure จากธนาคารไทยแบบเรียลไทม์

ผลกระทบต่อประเทศไทย

ได้รับผลกระทบโดยตรงในระดับสูงสุด เนื่องจากแคมเปญมุ่งเป้าผู้บริโภคและผู้ถือบัตรเครดิตในประเทศไทยโดยเฉพาะ มีการใช้ภาษาไทยและอัตลักษณ์ของไปรษณีย์ไทยครบถ้วน ส่งผลให้เกิดความเสียหายทางการเงินทันทีหากเหยื่อกรอกรหัส OTP ยืนยันการทำธุรกรรม

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: อาชญากรไซเบอร์ใช้ประโยชน์จากความน่าเชื่อถือของโครงสร้างพื้นฐานส่งอีเมล (ESP) และบริการค้นหาชั้นนำ เพื่อเพิ่มอัตราการส่งถึงกล่องจดหมายหลักและลดความระแวงของเหยื่อ

ยุทธการ: การเปลี่ยนผ่านจากการขโมยข้อมูลบัตรแบบดั้งเดิมไปสู่สถาปัตยกรรม AiTM แบบเรียลไทม์ ทำให้ผู้โจมตีสามารถข้ามระบบป้องกัน 3D-Secure / OTP ของธนาคารได้อย่างสมบูรณ์

ยุทธวิธี: ผู้ดูแลระบบความปลอดภัยต้องตรวจสอบลิงก์ประเภท Open Redirect และเฝ้าระวังอีเมลที่ผ่าน SPF/DKIM แต่มีเนื้อหาภาษาไทยที่ไม่ตรงกับโดเมนผู้ส่ง ส่วนผู้ใช้งานต้องปฏิเสธการกรอก OTP บนเว็บไซต์ที่ไม่ใช่ของธนาคาร

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ผู้ใช้งานบริการไปรษณีย์ไทย ผู้ถือบัตรเครดิตและเดบิต และธนาคารผู้ออกบัตรในประเทศไทย

MITRE ATT&CK
T1566.002 Spearphishing Link T1586.002 Compromise Accounts: Email Accounts T1557 Adversary-in-the-Middle T1111 Multi-Factor Authentication Interception T1056.002 GUI Input Capture T1657 Financial Theft
IOC ที่สำคัญ
ww1-thailandofficepothems[.]ellfrieda-pflegedienst[.]de 206.189.35[.]103 50.31.156[.]124 seaview-realestate[.]com noreply[at]re-toern[.]de

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

THPOST-Themed Phishing (AiTM) Investigation →

การใช้ Generative AI ปลอมแปลงตัวตนผู้บริหารและใบแจ้งหนี้เพื่อหลอกโอนเงิน ACH

เผยแพร่: 10 กันยายน 2569  ·  แหล่งที่มา: Microsoft Threat Intelligence  ·  Admiralty A2

ตรวจพบแคมเปญอีเมลหลอกลวงระดับอุตสาหกรรมกว่าหนึ่งล้านฉบับที่นำเทคโนโลยี Generative AI มาใช้สร้างประวัติการสนทนาเทียมและปลอมแปลงใบแจ้งหนี้ของแพลตฟอร์ม ServiceNow ผู้โจมตีสวมรอยเป็นผู้บริหารระดับสูงส่งคำสั่งขออนุมัติการจ่ายเงินเกือบ 50,000 ดอลลาร์สหรัฐไปยังฝ่ายการเงิน พร้อมใช้โดเมนเลียนแบบ service-nowinc[.]com และบริการ domainlify[.]net เพื่อนำเหยื่อไปสู่การทำธุรกรรมโอนเงินผ่านระบบอัตโนมัติ (ACH) เข้าสู่บัญชีของผู้โจมตี

ผลกระทบต่อประเทศไทย

น่าจะได้รับผลกระทบ เนื่องจากฝ่ายการเงิน บัญชี และการจัดซื้อของสถาบันการเงินและองค์กรธุรกิจในไทยตกเป็นเป้าหมายของขบวนการหลอกลวงแบบ Business Email Compromise (BEC) อย่างแพร่หลาย การใช้ AI ช่วยสร้างข้อความและเอกสารประกอบที่สมบูรณ์ทำให้พนักงานสังเกตความผิดปกติได้ยาก

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: Generative AI ถูกนำมาใช้ลดต้นทุนและเพิ่มประสิทธิภาพในการโจมตีแบบ Social Engineering ในระดับอุตสาหกรรม มุ่งเป้ากระบวนการอนุมัติเงินขององค์กร

ยุทธการ: ผู้โจมตีผสานการจดทะเบียนโดเมนที่ใกล้เคียง (Typosquatting) เข้ากับการสร้างบริบทบทสนทนาย้อนหลัง เพื่อสร้างความสมจริงและกดดันให้เหยื่อเร่งดำเนินการโอนเงิน

ยุทธวิธี: กำหนดให้มีกระบวนการตรวจสอบและยืนยันตัวตนผ่านช่องทางที่สอง (Out-of-band Verification) เช่น การโทรศัพท์ติดต่อผู้บริหารหรือคู่ค้าโดยตรงก่อนอนุมัติการโอนเงินหรือเปลี่ยนแปลงบัญชีธนาคาร

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ฝ่ายบัญชีและการเงิน สถาบันการเงิน องค์กรธุรกิจ และผู้บริหารระดับสูง

MITRE ATT&CK
T1566.002 Spearphishing Link T1656 Impersonation T1036 Masquerading T1657 Financial Theft
IOC ที่สำคัญ
service-nowinc[.]com domainlify[.]net

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

Protecting Organizations from AI-Assisted Executive Impersonation →

ส่วนขยายเว็บเบราว์เซอร์อันตรายขโมยโทเค็นเซสชันและข้อมูลกระเป๋าเงินคริปโทเคอร์เรนซี

เผยแพร่: 9 กันยายน 2569  ·  แหล่งที่มา: Socket.dev  ·  Admiralty B2

นักวิจัยค้นพบส่วนขยายอันตรายบน Chrome Web Store และ Firefox Add-ons ได้แก่ J7Tracker, VREO, Orbit Tracker, GhostApe และ GhostApe Color ที่แอบฝังโมดูล vamp/axiom-fetch-intercept.js เพื่อดักขโมยข้อมูลผู้ใช้งานแพลตฟอร์มเทรดคริปโทเคอร์เรนซี Axiom Trade และ Padre ส่วนขยายเหล่านี้จะดักจับโทเค็นการเข้าสู่ระบบ Firebase คีย์กระเป๋าเงิน (bundleKey, sBundles, eBundles) และคุกกี้เซสชัน จากนั้นส่งข้อมูลออกไปยังเซิร์ฟเวอร์บน Vercel (dcfdc-eight.vercel[.]app) และ susi[.]bonto[.]run โดยใช้เทคนิค Browser Navigation เพื่อหลบเลี่ยงการตรวจสอบขอบเขตสิทธิ์และนโยบายความปลอดภัยของเว็บ

ผลกระทบต่อประเทศไทย

น่าจะได้รับผลกระทบ เนื่องจากกลุ่มนักลงทุนและผู้ประกอบธุรกิจสินทรัพย์ดิจิทัลในประเทศไทยมีการใช้งานเครื่องมือและส่วนขยายช่วยเทรดคริปโทเคอร์เรนซีอย่างกว้างขวาง การติดตั้งส่วนขยายที่ไม่ผ่านการตรวจสอบอาจนำไปสู่การถูกขโมยสินทรัพย์ดิจิทัลและการเข้ายึดบัญชีอย่างสมบูรณ์

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ผู้โจมตีมุ่งเป้าห่วงโซ่อุปทานส่วนขยายเว็บเบราว์เซอร์ (Browser Extension Supply Chain) โดยนำเครื่องมือเทรดยอดนิยมมาดัดแปลงเพื่อเข้าถึงกระเป๋าเงินและเซสชันของผู้ใช้โดยตรง

ยุทธการ: โค้ดอันตรายทำงานภายในเบราว์เซอร์ที่ผู้ใช้ล็อกอินอยู่แล้ว โดยดึงข้อมูลจาก localStorage และ IndexedDB โดยตรง ทำให้ไม่ต้องเจาะระบบปฏิบัติการหรือขโมยรหัสผ่านผ่านหน้าฟอร์ม

ยุทธวิธี: ผู้ดูแลระบบและผู้ใช้งานควรจำกัดการติดตั้งส่วนขยายในเบราว์เซอร์ที่ใช้ทำธุรกรรมทางการเงินหรือเทรดสินทรัพย์ดิจิทัล กำหนดนโยบายอนุญาตเฉพาะส่วนขยายที่จำเป็น และเพิกถอนเซสชันทันทีหากพบส่วนขยายต้องสงสัย

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

นักลงทุนสินทรัพย์ดิจิทัล ผู้ใช้งานแพลตฟอร์มเทรดคริปโทเคอร์เรนซี และผู้ให้บริการกระเป๋าเงิน Web3

MITRE ATT&CK
T1176.001 Browser Extensions T1539 Steal Web Session Cookie T1528 Steal Application Access Token T1020 Automated Exfiltration T1657 Financial Theft
IOC ที่สำคัญ
dcfdc-eight.vercel[.]app snipex-iota[.]vercel[.]app susi[.]bonto[.]run 5b4fbe0658ff76f042c3cc2dfe3d1a3eda963e435a24dfc868cb583bde8c7b91 ingjjklimdeocggninaaapofondbeopd

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

Malicious Chrome and Firefox Extensions Steal Crypto Traders' Session and Wallet Data →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: สถาบันการเงินและองค์กรธุรกิจจำเป็นต้องผสานการเฝ้าระวังความมั่นคงปลอดภัยบนอุปกรณ์พกพา การคัดกรองอีเมลขั้นสูง และการควบคุมกระบวนการโอนเงินเพื่อป้องกันความเสียหายทางการเงิน

TLP:CLEAR

ห้วงเวลาข้อมูล: 7-13 กันยายน 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)