CGI-CTI-WEEKLY-20260928-ENG  ·  VER 1.0  ·  TLP:CLEAR

รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคพลังงานและสาธารณูปโภค ประจำสัปดาห์

Energy & Utilities Sector Weekly Threat Intelligence Report
ห้วงเวลา: 21-27 กันยายน 2569
TLP:CLEAR
HIGH RISK (ความเสี่ยงระดับสูง) ตรวจพบการโจมตีขู่กรรโชกสองทางต่อรัฐวิสาหกิจสำรวจและผลิตก๊าซธรรมชาติ การเจาะช่องโหว่ Zero-Day บนระบบควบคุมโครงข่าย SD-WAN และการควบคุมเกตเวย์โทรมาตรและโครงสร้างพื้นฐานอุตสาหกรรมด้วยเทคนิคหลบเลี่ยงขั้นสูง

ภาพรวมประจำสัปดาห์

ในรอบสัปดาห์ระหว่างวันที่ 21-27 กันยายน 2569 สถานการณ์ภัยคุกคามไซเบอร์ต่อภาคพลังงานและสาธารณูปโภค (Energy & Utilities) ทั่วโลกทวีความรุนแรงและมุ่งเป้าโครงสร้างพื้นฐานระดับชาติอย่างชัดเจน โดยพบการโจมตีจากกลุ่มแรนซัมแวร์ Blue Locker ต่อบริษัท Pakistan Petroleum Limited (PPL) ซึ่งเป็นรัฐวิสาหกิจสำรวจและผลิตก๊าซธรรมชาติชั้นนำของปากีสถาน ส่งผลให้ข้อมูลสัญญาการดำเนินงานของแหล่งผลิตสำคัญถูกขโมยและระบบไอทีถูกเข้ารหัสด้วยยุทธวิธีขู่กรรโชกสองทาง (Double Extortion) จนหน่วยงานความมั่นคงปลอดภัยไซเบอร์แห่งชาติต้องออกประกาศเตือนภัยระดับวิกฤต ขณะเดียวกันเกิดการโจมตีแบบ Zero-Day เจาะช่องโหว่บายพาสการยืนยันตัวตนระดับวิกฤต (CVE-2026-93952) บน Arista VeloCloud Orchestrator ซึ่งทำหน้าที่เป็นศูนย์กลางควบคุมโครงข่าย SD-WAN ที่เชื่อมโยงสถานีย่อย โรงไฟฟ้า และโครงข่ายท่อส่งก๊าซ ทำให้ผู้โจมตีสามารถสั่งการและแก้ไขนโยบายของอุปกรณ์ Edge ได้โดยตรง นอกจากนี้ยังพบการแสวงหาประโยชน์จากช่องโหว่ MikroTrick บนเราเตอร์ MikroTik RouterOS ที่ติดตั้งในสถานีย่อยและจุดเชื่อมต่อโทรมาตรภาคสนามเพื่อเข้ายึดสิทธิ์ผู้ดูแลระบบ ตลอดจนพันธมิตรกลุ่ม INC Ransomware ที่เริ่มนำเทคนิค Bring Your Own Vulnerable Driver (BYOVD) ผสานการดัดแปลงไลบรารี EDR มาปิดกั้นกลไกตรวจจับบนเครื่องควบคุมอุตสาหกรรม

เหตุการณ์เด่นประจำสัปดาห์

กลุ่ม Blue Locker Ransomware โจมตีขู่กรรโชกสองทางต่อ Pakistan Petroleum Limited มุ่งเป้าโครงสร้างพื้นฐานสำรวจและผลิตก๊าซธรรมชาติ

เผยแพร่: 25 กันยายน 2569 · แหล่งที่มา: SOCRadar · Admiralty B2

กลุ่มแรนซัมแวร์ Blue Locker ได้ปฏิบัติการโจมตีระบบไอทีของ Pakistan Petroleum Limited (PPL) รัฐวิสาหกิจด้านการสำรวจและผลิตปิโตรเลียมและก๊าซธรรมชาติรายใหญ่ของปากีสถาน โดยคนร้ายสามารถแทรกซึมเข้าสู่ระบบ จัดการลบชุดข้อมูลสำรอง ขโมยเอกสารสัญญาการดำเนินงานของแหล่งผลิตก๊าซสำคัญ เช่น แหล่ง Sui และ Adhi พร้อมทั้งเข้ารหัสเซิร์ฟเวอร์โดยเติมนามสกุล .blue และทิ้งข้อความเรียกค่าไถ่ restore_file.txt การโจมตีดังกล่าวกระทบต่อระบบงานบัญชีและธุรกรรมขององค์กร จนศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติของปากีสถาน (NCERT) ต้องออกประกาศเตือนภัยฉุกเฉินระดับความเสี่ยงรุนแรง (Severe Risk) แก่หน่วยงานโครงสร้างพื้นฐาน 39 แห่ง

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์: แม้เหตุการณ์ดังกล่าวจะเกิดขึ้นกับรัฐวิสาหกิจพลังงานในภูมิภาคเอเชียใต้และยังไม่พบหลักฐานการโจมตีตรงต่อระบบในประเทศไทย แต่กลุ่มธุรกิจสำรวจ ผลิต และจัดส่งก๊าซธรรมชาติของไทย (เช่น ปตท.สผ. หรือ กฟผ.) รวมถึงโรงแยกก๊าซและโรงไฟฟ้าพลังความร้อนร่วม มีความเสี่ยงต่อการถูกแทรกซึมผ่านห่วงโซ่อุปทานระหว่างประเทศและผู้รับเหมาช่วงด้านวิศวกรรมพลังงาน ทั้งยังต้องเฝ้าระวังการถูกนำรหัสผ่านหรือข้อมูลที่รั่วไหลมาใช้เจาะระบบเชื่อมต่อภายนอก

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์ (Strategic): กลุ่มอาชญากรไซเบอร์และกลุ่มที่อาจได้รับการสนับสนุนจากรัฐมุ่งเป้าโจมตีรัฐวิสาหกิจพลังงานหลักเพื่อข่มขู่เรียกค่าไถ่และกดดันความมั่นคงด้านพลังงานของประเทศ
ยุทธการ (Operational): ผู้โจมตีใช้ยุทธวิธีขู่กรรโชกสองทาง (Double-Extortion) ร่วมกับการทำลายระบบสำรองข้อมูลและขโมยเอกสารสัมปทาน เพื่อเพิ่มแรงกดดันในการเจรจาต่อรองค่าไถ่
ยุทธวิธี (Tactical): การแทรกซึมเริ่มต้นจากฟิชชิงและมัลแวร์ดรอปเปอร์ ก่อนใช้สคริปต์ PowerShell สั่งหยุดการทำงานของเซอร์วิสสำคัญและเข้ารหัสข้อมูลด้วยอัลกอริทึมที่รวดเร็ว

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคอุตสาหกรรมพลังงานและสาธารณูปโภค (Energy, Oil & Gas), รัฐวิสาหกิจด้านพลังงาน, โครงสร้างพื้นฐานสำคัญยิ่งยวดทางสารสนเทศ (CII)

MITRE ATT&CK
T1566: Phishing T1059.001: PowerShell T1547.001: Registry Run Keys T1548.002: Bypass UAC T1489: Service Stop T1490: Inhibit System Recovery T1486: Data Encrypted for Impact T1074: Data Staged
IOC ที่สำคัญ
d3cc6cc4538d57f2d1f8a9d46a3e8be73ed849f7fe37d1d969c0377cf1d0fadc (SHA-256) shinra-encrypt-support[.]xyz (Domain) blue-decryptor[.]site (Domain) 185.225.69[.]140 (IP) 195.3.145[.]99 (IP) 91.243.113[.]21 (IP) 103.150.199[.]23 (IP)
แหล่งที่มา: SOCRadar →

ช่องโหว่บายพาสการยืนยันตัวตนระดับวิกฤตบน Arista VeloCloud Orchestrator (CVE-2026-93952) ถูกเจาะใช้งานจริงในระบบ SD-WAN ของโครงข่ายสาธารณูปโภค

เผยแพร่: 27 กันยายน 2569 · แหล่งที่มา: Zero Hunt · Admiralty C2

นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์เปิดเผยรายละเอียดการโจมตีจริงแบบ Zero-Day ต่อช่องโหว่ CVE-2026-93952 (คะแนน CVSS 10.0 เต็ม) ในระบบ Arista VeloCloud Orchestrator (VCO) On-Premises ซึ่งทำหน้าที่เป็นส่วนควบคุม (Control Plane) ของโครงข่าย SD-WAN ช่องโหว่เกิดจากความบกพร่องในการตรวจสอบอินพุตบน Web Interface ส่งผลให้ผู้โจมตีภายนอกที่มีเพียงใบรับรองสาธารณะ (Public Certificate) ของอุปกรณ์ Edge สามารถเข้าถึงฟังก์ชันระดับผู้ดูแลระบบสูงสุดได้โดยไม่ต้องป้อนรหัสผ่าน และสามารถแพร่กระจายการควบคุมไปยังอุปกรณ์ Edge ทั้งหมดในโครงข่าย พร้อมทั้งฝังแบ็กดอร์ .vcnode.js และสร้างเซอร์วิสระบบ vc-sysmon.service เพื่อคงสิทธิ์ระยะยาว

ผลกระทบต่อประเทศไทย

ความเสี่ยงโดยตรงในระดับสูง: องค์กรในภาคพลังงานและสาธารณูปโภคของไทย ทั้งโรงไฟฟ้า สถานีจ่ายไฟย่อย และระบบท่อส่งก๊าซ มีการใช้งานโซลูชัน SD-WAN เพื่อเชื่อมต่อระบบควบคุมทางไกลและระบบโทรมาตร หากระบบ Orchestrator ติดตั้งแบบ On-Premises และเปิดให้เข้าถึงได้จากอินเทอร์เน็ต จะตกเป็นเป้าหมายของการเจาะระบบเพื่อดักจับหรือบิดเบือนข้อมูลการควบคุมระบบไฟฟ้าและพลังงานได้ทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์ (Strategic): การเข้าควบคุมระบบบริหารจัดการ SD-WAN ส่วนกลางเปิดโอกาสให้ผู้โจมตีเข้าถึงโครงข่ายควบคุมอุตสาหกรรมในทุกสาขาพร้อมกันโดยไม่ต้องโจมตีทีละจุด
ยุทธการ (Operational): ผู้โจมตีสามารถดัดแปลงกฎการกำหนดเส้นทางทราฟฟิก ดักฟังข้อมูล หรือใช้ Orchestrator เป็นสะพานเจาะเข้าสู่เครือข่าย OT ที่มีความอ่อนไหวสูง
ยุทธวิธี (Tactical): การโจมตีอาศัยการส่งค่าใน HTTP Header พิเศษ (x-vc-opt) ร่วมกับ Public Certificate เพื่อบายพาสขั้นตอนตรวจสอบสิทธิ์และสั่งรันคำสั่งบนโฮสต์

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคพลังงาน สาธารณูปโภค โทรคมนาคม และองค์กรที่ใช้งานโครงข่าย Arista/VMware SD-WAN ทั่วโลก

MITRE ATT&CK
T1190: Exploit Public-Facing Application T1543.002: Systemd Service T1078: Valid Accounts T1071.001: Web Protocols
IOC ที่สำคัญ
142.93.149[.]77 (IP) 104.248.126[.]159 (IP)
แหล่งที่มา: Zero Hunt →

การโจมตีจริงผ่านช่องโหว่ลูกโซ่ MikroTrick (CVE-2026-67277 และ CVE-2026-86060) บน MikroTik RouterOS ที่ควบคุมโทรมาตรและสถานีย่อย

เผยแพร่: 25 กันยายน 2569 · แหล่งที่มา: Rescana · Admiralty B1

ศูนย์ประสานงานรักษาความมั่นคงปลอดภัยคอมพิวเตอร์ประเทศโปแลนด์ (CERT Polska) และหน่วยงาน CISA แจ้งเตือนการโจมตีช่องโหว่ลูกโซ่ MikroTrick บนระบบปฏิบัติการ MikroTik RouterOS ที่เชื่อมต่ออินเทอร์เน็ต โดยคนร้ายใช้การโจมตีแบบร้อยเรียงระหว่างช่องโหว่ CVE-2026-67277 (Missing Authentication ในฟังก์ชัน bandwidth-test) และ CVE-2026-86060 (Argument Injection ในเส้นทางเข้าสู่ระบบผ่าน SSH) เพื่อยกระดับสิทธิ์สู่ผู้ดูแลระบบระดับสูงสุด (Full Admin) โดยไม่ต้องผ่านการยืนยันตัวตน จากนั้นจะสร้างบัญชีผู้ใช้ชื่อ ops ดึงไฟล์คอนฟิกูเรชันระบบ (RIF) ออกไป และเปลี่ยนเราเตอร์ให้กลายเป็นจุดสอดแนมหรือฐานโจมตีในเครือข่าย

ผลกระทบต่อประเทศไทย

ความเสี่ยงโดยตรงในระดับสูงมาก: ในประเทศไทย อุปกรณ์ MikroTik RouterOS มีการติดตั้งใช้งานอย่างแพร่หลายในสถานีไฟฟ้าย่อย ระบบควบคุมแผงโซลาร์ฟาร์ม สถานีตรวจวัดระดับน้ำ และระบบส่งสัญญาณโทรมาตรทางไกลของหน่วยงานสาธารณูปโภค การเปิดพอร์ต SSH หรือบริการทดสอบความเร็วเชื่อมต่อสู่อินเทอร์เน็ตสาธารณะโดยไม่มีไฟร์วอลล์กั้น จะทำให้อุปกรณ์ตกเป็นเป้าการยึดครองสิทธิ์ได้ทันที

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์ (Strategic): อุปกรณ์ขอบเครือข่าย (Edge Gateways) ราคาประหยัดที่นำมาใช้ในงานสาธารณูปโภคกลายเป็นเป้าหมายหลักในการแฝงตัวระยะยาวของกลุ่มภัยคุกคาม
ยุทธการ (Operational): การสูญเสียสิทธิ์ควบคุมเราเตอร์เปิดทางให้ผู้โจมตีสามารถดักแปลงทราฟฟิกข้อมูลโทรมาตร สแกนเครือข่ายภายใน และขัดขวางการสื่อสารระหว่างศูนย์ควบคุม SCADA กับสถานีลูกข่าย
ยุทธวิธี (Tactical): ผู้โจมตีส่งแพ็กเกจพิเศษผ่านพอร์ต SSH และ btest เพื่อแก้ไข Policy Mask ในหน่วยความจำ จากนั้นสร้างบัญชีผู้ใช้ ops เพื่อรีโมตควบคุม

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคพลังงาน สาธารณูปโภค โทรคมนาคม ผู้ให้บริการอินเทอร์เน็ต และหน่วยงานที่ใช้อุปกรณ์ MikroTik RouterOS ทั่วโลก

MITRE ATT&CK
T1190: Exploit Public-Facing Application T1068: Exploitation for Privilege Escalation T1136.001: Local Account T1133: External Remote Services
IOC ที่สำคัญ
82.192.72[.]4 (IP) 103.102.31[.]18 (IP)
แหล่งที่มา: Rescana →

พันธมิตร INC Ransomware ใช้เทคนิค BYOVD โค่นระบบป้องกัน EDR และแฝงแบ็กดอร์ในไฟล์ไลบรารี มุ่งเป้าโครงสร้างพื้นฐานอุตสาหกรรม

เผยแพร่: 23 กันยายน 2569 · แหล่งที่มา: Beazley Security Labs · Admiralty B2

ทีมตอบสนองภัยคุกคาม Beazley Security Labs ตรวจพบแคมเปญใหม่ของกลุ่มพันธมิตรแรนซัมแวร์ INC Ransomware ที่มุ่งเป้าโจมตีเครือข่ายองค์กรอุตสาหกรรมและสาธารณูปโภค โดยเริ่มต้นจากการหลอกล่อด้วยเทคนิค ClickFix ก่อนจะยกระดับการโจมตีด้วยการนำแพ็กเกจไดรเวอร์ที่มีช่องโหว่ (Bring Your Own Vulnerable Driver - BYOVD) หลากหลายตัว เช่น IoDrv.sys มาติดตั้งเพื่อตัดการทำงานของซอฟต์แวร์ป้องกัน EDR/XDR ในระดับเคอร์เนล พร้อมทั้งดัดแปลงไฟล์ไลบรารี DLL ของระบบ EDR เองเพื่อแฝงโค้ดแบ็กดอร์และอำพรางการขโมยข้อมูลออกนอกเครือข่ายอย่างแนบเนียน

ผลกระทบต่อประเทศไทย

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์: กลุ่ม INC Ransomware มีประวัติการโจมตีโรงงานอุตสาหกรรม ระบบสาธารณูปโภค และโครงสร้างพื้นฐานทั่วโลก การที่ผู้โจมตีสามารถปลดระบบ EDR ด้วยเทคนิค BYOVD ทำให้ระบบ Workstation ในห้องควบคุมวิศวกรรม (Engineering Workstations) และ Jump Host ที่เชื่อมต่อกับระบบควบคุมอุตสาหกรรมของไทยตกอยู่ในความเสี่ยง หากไม่ได้เปิดใช้งานฟีเจอร์ Driver Blocklist หรือการบังคับเซ็นรับรองไดรเวอร์ที่เข้มงวด

การวิเคราะห์ 3 ระดับ

ยุทธศาสตร์ (Strategic): ผู้พัฒนาแรนซัมแวร์ยกระดับการเจาะระบบสู่ระดับเคอร์เนลเพื่อลบล้างมาตรการป้องกันของซอฟต์แวร์ความปลอดภัยยุคใหม่ในการโจมตีโครงสร้างพื้นฐาน
ยุทธการ (Operational): การปิดกั้น EDR ทำให้ผู้โจมตีสามารถเคลื่อนที่ในแนวราบ (Lateral Movement) และรวบรวมข้อมูลภายในระบบได้โดยไม่สร้างสัญญาณแจ้งเตือนไปยังศูนย์เฝ้าระวัง SOC
ยุทธวิธี (Tactical): โหลดไดรเวอร์เคอร์เนลที่มีช่องโหว่เพื่อสั่งยุติโพรเซสและเซอร์วิสด้านความปลอดภัย ควบคู่กับการทำ DLL Sideloading แฝงโค้ดมัลแวร์ในไฟล์ EDR ที่ถูกต้อง

อุตสาหกรรม/เป้าหมายที่ได้รับผลกระทบ

ภาคพลังงาน ภาคการผลิต อุตสาหกรรมสาธารณูปโภค และองค์กรธุรกิจระดับองค์กร

MITRE ATT&CK
T1204.004: Malicious Copy and Paste T1059.001: PowerShell T1068: Exploitation for Privilege Escalation T1562.001: Disable or Modify Tools T1553.002: Code Signing T1027.009: Embedded Payloads T1567.002: Exfiltration to Cloud Storage
IOC ที่สำคัญ
deliberatst[.]net (Domain) 844304be902d933f0b335b35bebbe620b6c8d613 (SHA-1) 4ccd3c4371efcd373b52c866057108f37b9bf634 (SHA-1) 3a39c748aecaaa76deb8fee285f804cdcea6a04b (SHA-1)
แหล่งที่มา: Beazley Security Labs →

ข้อสังเกตประจำสัปดาห์

ข้อเสนอแนะ

สรุป: รายงานฉบับนี้สรุปสถานการณ์ภัยคุกคามไซเบอร์ภาคพลังงานและสาธารณูปโภครอบสัปดาห์วันที่ 21-27 กันยายน 2569 ครอบคลุมการโจมตี PPL ด้วย Blue Locker, ช่องโหว่ Zero-Day CVE-2026-93952 บน Arista VeloCloud, ช่องโหว่ลูกโซ่ MikroTrick บน MikroTik RouterOS และเทคนิค BYOVD ของกลุ่ม INC Ransomware พร้อมข้อเสนอแนะเชิงป้องกันสำหรับหน่วยงานโครงสร้างพื้นฐานสำคัญ

TLP:CLEAR

ห้วงเวลาข้อมูล: 21-27 กันยายน 2569  ·  CYBER GUARD INTELLIGENCE CO., LTD. (บริษัท ไซเบอร์ การ์ด อินเทลลิเจนซ์ จำกัด)