CGI-CTI-WEEKLY-20260921-CORP - รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคองค์กรธุรกิจ (Corporate) ประจำสัปดาห์

HIGH RISK (ความเสี่ยงระดับสูง) ยืนยันจากหลายแหล่งข้อมูลระดับ tier-1 พบการโจมตีห่วงโซ่อุปทานระดับผู้ให้บริการ SaaS การใช้เทคนิค Device Code Phishing เจาะระบบระบุตัวตนบนคลาวด์ และมัลแวร์เรียกค่าไถ่แบบ Double Extortion

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ที่ผ่านมา ภูมิทัศน์ภัยคุกคามทางไซเบอร์ที่มุ่งเป้าภาคองค์กรธุรกิจ (Corporate) ทวีความซับซ้อนและมีความเข้มข้นขึ้นอย่างมีนัยสำคัญใน 3 มิติหลัก: ประการแรกคือการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ (Supply Chain Compromise) ผ่านผู้ให้บริการแพลตฟอร์มการตลาดระดับโลกอย่าง Brevo ซึ่งส่งผลกระทบต่อเว็บไซต์องค์กรและอีคอมเมิร์ซนับแสนแห่งทั่วโลก ประการที่สองคือการแพร่ระบาดของแคมเปญฟิชชิ่งรุ่นใหม่ที่อาศัยช่องว่างของกระบวนการยืนยันอุปกรณ์ (Device Code Flow Abuse) เช่น ชุดเครื่องมือ GhostCode และ EvilTokens เพื่อหลบเลี่ยงระบบการยืนยันตัวตนหลายปัจจัย (MFA) และสร้างช่องทางคงอยู่ในระบบจัดการสิทธิ์บนคลาวด์ Microsoft Entra ID และประการที่สามคือการพัฒนาเทคนิคของกลุ่มมัลแวร์เรียกค่าไถ่ Settra ที่ผสานการใช้ซอฟต์แวร์บริหารจัดการระยะไกลที่ถูกกฎหมายอย่าง MeshAgent ร่วมกับเทคนิค BYOVD เพื่อปลดอาวุธระบบรักษาความปลอดภัยขององค์กรธุรกิจและภาคการผลิต

เหตุการณ์เด่นประจำสัปดาห์

การโจมตี Supply Chain ต่อแพลตฟอร์ม Brevo แพร่กระจายแบ็คดอร์ WordPress และมัลแวร์ ClickFix สู่เว็บไซต์ลูกค้านับแสนแห่ง

เผยแพร่: 16 กันยายน 2569 · แหล่งที่มา: Sansec · Admiralty B2

Sansec ตรวจพบการโจมตีแบบ Supply Chain ต่อระบบโครงสร้างพื้นฐานคลาวด์ CDN ของ Brevo (ผู้ให้บริการแพลตฟอร์มการตลาดและอีเมลธุรกิจชั้นนำ) โดยผู้โจมตีเข้าแทรกแซงและฝังโค้ดอันตรายลงในไฟล์ JavaScript สำคัญ เช่น sdk-loader.js และ brevo-conversations.js ส่งผลให้เว็บไซต์องค์กรและธุรกิจอีคอมเมิร์ซกว่า 100,000 แห่งที่ติดตั้งวิดเจ็ตของ Brevo ถูกบังคับส่งต่อผู้เข้าชมไปยังมัลแวร์ ClickFix หลอกล่อให้ผู้ใช้งานคัดลอกคำสั่งอันตรายลงใน Clipboard และดาวน์โหลดปลั๊กอินแบ็คดอร์ WordPress (wm.zip) เพื่อเข้าควบคุมเซิร์ฟเวอร์เว็บไซต์

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจและผู้ประกอบการในประเทศไทยที่มีการติดตั้งปลั๊กอินหรือวิดเจ็ตสนทนาของ Brevo (เดิมคือ Sendinblue) บนเว็บไซต์ทางการ ซึ่งอาจส่งผลให้ผู้เยี่ยมชมเว็บไซต์รวมถึงผู้ดูแลระบบตกเป็นเป้าหมายของการถูกหลอกลวงผ่าน ClickFix และระบบหลังบ้านของเว็บไซต์ถูกฝังเว็บเชลล์

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การพึ่งพาบริการ Third-party JavaScript และบริการภายนอกสำหรับการตลาดออนไลน์เพิ่มพื้นผิวการถูกโจมตีระดับ Supply Chain ซึ่งสร้างความเสี่ยงต่อความน่าเชื่อถือและข้อมูลลูกค้าขององค์กร

ยุทธการ: ผู้โจมตีอาศัยความไว้วางใจในโดเมน CDN ของผู้ให้บริการหลักในการกระจายมัลแวร์แบบคู่ขนาน ทั้งการขโมยสิทธิ์ผู้ใช้ผ่าน Client-side ClickFix และการยึดครองเซิร์ฟเวอร์ผ่านปลั๊กอินแบ็คดอร์

ยุทธวิธี: ผู้ดูแลระบบควรเปิดใช้งานมาตรการ Subresource Integrity (SRI) กับสคริปต์ภายนอกทั้งหมด และตรวจสอบความผิดปกติของโฟลเดอร์ปลั๊กอินในระบบจัดการเนื้อหา (CMS) ทันที

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจ (Corporate), ค้าปลีกและอีคอมเมิร์ซ (Retail/eCommerce), ภาคบริการดิจิทัลและการตลาด (Digital Marketing/SaaS)

MITRE ATT&CK

T1195.002 Supply Chain Compromise: Compromise Software Supply Chain T1189 Drive-by Compromise T1204.004 User Execution: Malicious Copy and Paste T1059.007 Command and Scripting Interpreter: JavaScript T1505.003 Server Software Component: Web Shell

IOC ที่สำคัญ

58a5c601c9df7ca2120435588fc39f97712d9b878795f6ee500590099a432308 f67d572d2d30407b3f470904326411450763108980cdad89550fbb221fb06782 cdn[.]sendibt1[.]com cdn2[.]sendibt1[.]com hxxps://cdn10[.]sendibt1[.]com/p/wm.zip

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Sansec - Brevo supply chain attack delivers WordPress backdoors and ClickFix malware →

มัลแวร์เรียกค่าไถ่ Settra ยกระดับการโจมตีภาคการผลิตและองค์กรธุรกิจโดยผสาน MeshAgent RMM และเทคนิค BYOVD

เผยแพร่: 17 กันยายน 2569 · แหล่งที่มา: Huntress · Admiralty B2

Huntress ตรวจพบความเคลื่อนไหวของมัลแวร์เรียกค่าไถ่ Settra สายพันธุ์ใหม่ที่พุ่งเป้าโจมตีภาคอุตสาหกรรมการผลิตและองค์กรธุรกิจ โดยกลุ่มผู้ก่อภัยคุกคามติดตั้งซอฟต์แวร์บริหารจัดการระยะไกลโอเพนซอร์ส MeshAgent RMM เพื่อใช้เป็นช่องทางเข้าถึงและควบคุมเครื่องเป้าหมายอย่างลับๆ พร้อมทั้งนำเทคนิค Bring Your Own Vulnerable Driver (BYOVD) มาใช้ปิดการทำงานของโซลูชันตรวจจับและป้องกันภัยคุกคาม (EDR/AV) ก่อนทำการเข้ารหัสข้อมูลและขู่กรรโชกทรัพย์แบบกรรโชกสองชั้น (Double Extortion)

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อโรงงานอุตสาหกรรม ผู้ผลิตชิ้นส่วน และองค์กรธุรกิจในประเทศไทยที่มีช่องทางการเชื่อมต่อระยะไกลเปิดสู่สาธารณะโดยไม่มีการควบคุมสิทธิ์อย่างเข้มงวด ซึ่งอาจนำไปสู่การหยุดชะงักของกระบวนการผลิตและการสูญเสียข้อมูลความลับทางการค้า

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: ภัยคุกคามจากมัลแวร์เรียกค่าไถ่ยังคงเป็นความเสี่ยงระดับสูงสุดต่อความต่อเนื่องทางธุรกิจ (Business Continuity) ของภาคการผลิตและองค์กรธุรกิจขนาดใหญ่

ยุทธการ: ผู้โจมตีผสมผสานการใช้เครื่องมือ RMM ถูกกฎหมาย (Living-off-the-Land) เข้ากับการโจมตีระดับเคอร์เนลผ่านไดรเวอร์ที่มีช่องโหว่เพื่อขัดขวางการตรวจจับและเพิ่มโอกาสความสำเร็จในการเข้ารหัสข้อมูล

ยุทธวิธี: ฝ่ายความมั่นคงปลอดภัยควรบล็อกการเชื่อมต่อไปยังไอพี C2 ของ MeshAgent ที่ไม่ได้รับอนุญาต และเปิดใช้งานฟีเจอร์ Microsoft Vulnerable Driver Blocklist เพื่อสกัดกั้นการโหลดไดรเวอร์อันตราย

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคอุตสาหกรรมการผลิต (Manufacturing), องค์กรธุรกิจ (Corporate), ภาคการค้าปลีก (Retail)

MITRE ATT&CK

T1486 Data Encrypted for Impact T1490 Inhibit System Recovery T1219 Remote Access Software T1562.001 Impair Defenses: Disable or Modify Tools T1068 Exploitation for Privilege Escalation

IOC ที่สำคัญ

45.13.122[.]7 193.5.65[.]114 settra5ldqwgtw5q7z5awbsvlksakyfojuc5slgrz5lvapune4fantqd[.]onion

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: Huntress - New Settra Ransomware Variant Targets Retail and Manufacturing Sectors →

ตรวจพบชุดเครื่องมือฟิชชิ่ง GhostCode โจมตีบัญชี Microsoft 365 องค์กรธุรกิจผ่านช่องโหว่กระบวนการ Device Code Flow

เผยแพร่: 15 กันยายน 2569 · แหล่งที่มา: eSentire TRU · Admiralty B2

ทีมวิจัยความปลอดภัย eSentire TRU เปิดเผยการวิเคราะห์ชุดเครื่องมือฟิชชิ่งแบบเจาะจงเป้าหมาย "GhostCode" ซึ่งถูกพัฒนาขึ้นเพื่อมุ่งขโมยโทเคนสิทธิ์การเข้าถึงระบบคลาวด์ Microsoft 365 และ Entra ID โดยหลอกล่อให้บุคลากรองค์กรทำการยืนยันรหัสอุปกรณ์ (Device Code Authentication) ตามโปรโตคอล OAuth 2.0 ส่งผลให้ผู้โจมตีสามารถข้ามผ่านการตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA Bypass) และสวมรอยเข้าถึงข้อมูลองค์กรได้อย่างสมบูรณ์

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อองค์กรธุรกิจและสถาบันต่างๆ ในประเทศไทยที่มีการใช้งาน Microsoft 365 เป็นแกนหลักในการติดต่อสื่อสาร เนื่องจากพนักงานอาจถูกหลอกล่อด้วยหน้าเว็บยืนยันสิทธิ์ที่มีการปลอมแปลงชื่อโดเมนองค์กรอย่างแนบเนียน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การย้ายโครงสร้างพื้นฐานการทำงานขึ้นสู่ระบบคลาวด์ทำให้ระบบการบริหารจัดการตัวตนและการเข้าถึง (IAM) กลายเป็นเป้าหมายหลักของการโจมตีระดับองค์กร

ยุทธการ: ผู้โจมตีใช้ประโยชน์จากกระบวนการ Device Code Flow เพื่อหลีกเลี่ยงการสกัดกั้นของระบบตรวจจับฟิชชิ่งแบบเดิม และใช้โดเมนเลียนแบบ (Lookalike Domains) เพื่อสร้างความน่าเชื่อถือ

ยุทธวิธี: ผู้ดูแลระบบไอทีควรพิจารณาจำกัดหรือปิดการใช้งาน OAuth Device Code Flow สำหรับกลุ่มผู้ใช้ทั่วไป และบังคับใช้นโยบาย Conditional Access ตามความน่าเชื่อถือของอุปกรณ์ (Compliant Device)

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจ (Corporate), ภาคบริการวิชาชีพและที่ปรึกษา (Professional Services), การขนส่งและโลจิสติกส์ (Transportation)

MITRE ATT&CK

T1566.002 Spearphishing Link T1528 Steal Application Access Token T1078.004 Valid Accounts: Cloud Accounts T1550.001 Use Alternate Authentication Material: Application Access Token

IOC ที่สำคัญ

870ed09a1dcd95f6d962ae82e348770c0843c76c3a6d4d989e3ab8288726e947 5.230.71[.]51 151.225.227[.]193 chartered.flipbookonlinevault[.]com voewo[.]com

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: eSentire - GhostCode: Dissecting a Novel Device Code Phishing Kit →

แคมเปญ EvilTokens หลอกลวงผ่านไฟล์เอกสารใบแจ้งหนี้เพื่อลงทะเบียนอุปกรณ์แปลกปลอมและสร้างช่องทางคงอยู่ใน Microsoft Entra ID

เผยแพร่: 17 กันยายน 2569 · แหล่งที่มา: CyberProof · Admiralty B2

CyberProof เปิดเผยรายละเอียดการตรวจจับแคมเปญ EvilTokens ที่พุ่งเป้าองค์กรธุรกิจ โดยผู้โจมตีส่งอีเมลแนบไฟล์ PDF ปลอมแปลงเป็นใบแจ้งหนี้ (Invoice) ที่ฝังลิงก์นำทางไปยังพอร์ทัล Adobe Acrobat Sign ปลอมเพื่อหลอกให้ผู้ใช้ทำ Device Code Authentication จากนั้นผู้โจมตีได้นำโทเคนไปลงทะเบียนอุปกรณ์แปลกปลอม (Rogue Device Registration) บน Microsoft Entra ID ทำให้คงอยู่ในระบบคลาวด์ขององค์กรได้อย่างยาวนานโดยไม่ถูกตรวจจับ

ผลกระทบต่อประเทศไทย

มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อแผนกจัดซื้อ การเงิน และฝ่ายบริหารขององค์กรธุรกิจในประเทศไทย ซึ่งมักติดต่อประสานงานและรับส่งเอกสารใบแจ้งหนี้ทางอีเมลอย่างต่อเนื่อง หากไม่มีการตรวจสอบรายการอุปกรณ์ที่ลงทะเบียนใหม่ใน Entra ID อาจถูกผู้โจมตีฝังตัวเป็นเวลานาน

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์: การสร้างช่องทางคงอยู่ถาวร (Persistence) ในระดับ Identity and Access Management บนคลาวด์ ช่วยให้ผู้โจมตีสามารถดึงข้อมูลธุรกิจลับและเข้าถึงอีเมลองค์กรได้อย่างต่อเนื่อง

ยุทธการ: ผู้โจมตีอาศัยช่องว่างของการไม่แจ้งเตือนการลงทะเบียนอุปกรณ์ใหม่อัตโนมัติ (Alert Gap) เพื่อคงสิทธิ์การเข้าถึงแม้ผู้ใช้งานจะมีการเปลี่ยนรหัสผ่านในภายหลัง

ยุทธวิธี: องค์กรควรกำหนดให้นโยบายการลงทะเบียนอุปกรณ์ใน Microsoft Entra ID ต้องผ่านการอนุมัติจากผู้ดูแลระบบเท่านั้น และตั้งค่าตรวจจับการล็อกอินจาก Commercial Hosting IP

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

องค์กรธุรกิจและบริการมืออาชีพ (Corporate), ภาคการเงินและธนาคาร (Financial), ภาคค้าปลีก (Retail)

MITRE ATT&CK

T1566.001 Spearphishing Attachment T1528 Steal Application Access Token T1078.004 Valid Accounts: Cloud Accounts T1098.005 Account Manipulation: Device Registration T1550.001 Use Alternate Authentication Material: Application Access Token

IOC ที่สำคัญ

47af963e2c451dbcd7e38d7bf3e1bc0a15775e4c45f9fc3590853b3262eb8b1c 138.197.82[.]41 smartreceivables[.]lat inv-mla190780rfp-08312067.onrender[.]com hxxps://inv-mla190780rfp-08312067.onrender[.]com/

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

แหล่งที่มา: CyberProof - The Alert Gap: How Threat Hunting Surfaced an Undetected Device Code Phishing Compromise →

ข้อสังเกตประจำสัปดาห์

การมุ่งเป้าโจมตีระบบ Identity Provider (IdP) และการข้ามผ่าน MFA: ผู้ก่อภัยคุกคามหันมามุ่งเน้นการขโมยโทเคนสิทธิ์การเข้าถึงผ่านเทคนิค Device Code Flow (OAuth 2.0 Abuse) เพิ่มขึ้นอย่างมีนัยสำคัญ เนื่องจากเป็นวิธีที่มีประสิทธิภาพในการหลบเลี่ยงการตรวจสอบสิทธิ์หลายปัจจัย (MFA) และช่วยให้ผู้โจมตีสามารถสวมรอยหรือลงทะเบียนอุปกรณ์ปลอมเพื่อสร้างช่องทางคงอยู่ในระบบคลาวด์องค์กรได้ในระยะยาว
ความเสี่ยงจากห่วงโซ่อุปทานระดับบริการบุคคลที่สาม (Third-Party SaaS Supply Chain): กรณีการแทรกแซงโครงสร้างพื้นฐาน CDN ของ Brevo ชี้ให้เห็นว่าโค้ดสคริปต์ภายนอกที่ฝังบนเว็บไซต์องค์กรกลายเป็นจุดเปราะบางที่ส่งผลกระทบในวงกว้างระดับแสนเว็บไซต์ ซึ่งนำไปสู่การกระจายมัลแวร์ทั้งต่อผู้เยี่ยมชมภายนอกและการยึดครองเซิร์ฟเวอร์หลังบ้าน
การผสมผสานซอฟต์แวร์ RMM ถูกกฎหมายและการโจมตีระดับ Kernel (BYOVD): กลุ่มมัลแวร์เรียกค่าไถ่ยุคใหม่ลดการพึ่งพามัลแวร์แบบดั้งเดิม โดยหันมาใช้เครื่องมือรีโมตที่องค์กรใช้งานทั่วไปอย่าง MeshAgent ร่วมกับเทคนิคการโหลดไดรเวอร์ที่มีช่องโหว่เพื่อปิดการทำงานของ EDR/AV ส่งผลให้การตรวจจับด้วยพฤติกรรมพื้นฐานทำได้ยากยิ่งขึ้น

ข้อเสนอแนะ

ควบคุมและจำกัดการใช้งาน Device Code Authentication: ผู้ดูแลระบบ Microsoft Entra ID / M365 ควรปิดการใช้งาน OAuth 2.0 Device Code Flow สำหรับผู้ใช้งานทั่วไป และบังคับใช้นโยบาย Conditional Access ที่อนุญาตเฉพาะอุปกรณ์ที่มีการลงทะเบียนและผ่านเกณฑ์ความปลอดภัย (Compliant / Managed Devices) เท่านั้น
ตรวจสอบและจำกัดสิทธิ์การลงทะเบียนอุปกรณ์ในระบบคลาวด์: กำหนดค่านโยบายใน Entra ID ให้อนุญาตเฉพาะผู้ดูแลระบบที่มีสิทธิ์เท่านั้นในการลงทะเบียนอุปกรณ์ใหม่ พร้อมทั้งตั้งค่าระบบแจ้งเตือนอัตโนมัติเมื่อพบการลงทะเบียนอุปกรณ์จากหมายเลขไอพีของ Commercial Hosting หรือนอกเขตพื้นที่ปกติ
เสริมความปลอดภัยให้กับการเรียกใช้สคริปต์ภายนอก (Subresource Integrity - SRI): องค์กรที่มีการใช้งานสคริปต์หรือวิดเจ็ต Third-party บนเว็บไซต์ ควรบังคับใช้ SRI hash หรือโฮสต์สคริปต์สำคัญบนเซิร์ฟเวอร์ของตนเอง พร้อมทั้งกำหนดนโยบาย Content Security Policy (CSP) เพื่อป้องกันการส่งต่อข้อมูลไปยังโดเมนอันตราย
เปิดใช้งานการป้องกันไดรเวอร์ที่มีช่องโหว่ (Vulnerable Driver Blocklist): เปิดใช้งานฟีเจอร์ Microsoft Recommended Driver Blocklist บนระบบปฏิบัติการ Windows ในระดับองค์กร เพื่อป้องกันไม่ให้ผู้โจมตีสามารถใช้เทคนิค BYOVD ในการปลดอาวุธโซลูชัน EDR/AV
เฝ้าระวังการใช้งานเครื่องมือบริหารจัดการระยะไกล (RMM Tools): ตรวจสอบและขึ้นบัญชีขาว (Whitelist) ซอฟต์แวร์ RMM ที่ได้รับอนุญาตให้ใช้งานภายในองค์กรเท่านั้น พร้อมทั้งตรวจจับและบล็อกการติดตั้งหรือการเชื่อมต่อเครือข่ายของโปรแกรม RMM แปลกปลอมอย่าง MeshAgent ที่ไม่ได้อยู่ในรายการควบคุม

สรุป: ภัยคุกคามในสัปดาห์นี้สะท้อนให้เห็นว่าองค์กรธุรกิจกำลังเผชิญกับการโจมตีแบบผสมผสานระหว่างจิตวิทยาการหลอกลวงกับการเจาะทะลุโครงสร้างความปลอดภัยบนคลาวด์ การเสริมสร้างความตระหนักรู้ของพนักงานควบคู่กับการบังคับใช้นโยบายควบคุมอุปกรณ์ที่เข้มงวดจึงเป็นหัวใจสำคัญในการปกป้องข้อมูลองค์กร

TLP:CLEAR

ห้วงเวลาข้อมูล: 14-20 กันยายน 2569 · CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)