ในรอบสัปดาห์ที่ 21-27 กันยายน 2569 ภัยคุกคามไซเบอร์ต่อหน่วยงานภาครัฐและความมั่นคงทวีความรุนแรงทั้งในระดับโครงสร้างพื้นฐานและบริการประชาชน โดยพบกลุ่ม UNC6240 ปรับแต่งเทคนิคเจาะช่องโหว่ Oracle PeopleSoft (CVE-2026-35273) ด้วยการเข้ารหัส URL ข้ามผ่านกฎ Web Application Firewall (WAF) เพื่อวางแบ็กดอร์ SIDEEYE ในระบบบริหารจัดการภาครัฐหลายแห่ง ขณะเดียวกันในภูมิภาคยุโรปพบแคมเปญฟิชชิ่งแอบอ้างพอร์ทัลภาษีรถยนต์ ACI ของอิตาลีเพื่อลวงข้อมูลระบุตัวตนและบัตรเครดิตของประชาชน นอกจากนี้กลุ่ม SilverFox ได้ปฏิบัติการส่งไฟล์ผ่าน WhatsApp หลอกลวงเป้าหมายในประเทศมาเลเซียและอาเซียนด้วยเทคนิค DLL Side-Loading และ Cisco Talos ตรวจพบการใช้ข้อเสนอที่ปรึกษาหลอกลวงผู้เชี่ยวชาญเพื่อเข้าถึงข้อมูลวงในของหน่วยงานเชิงยุทธศาสตร์
ทีม Mandiant และ Google Threat Intelligence Group (GTIG) ตรวจพบกลุ่ม UNC6240 (ShinyHunters) กลับมาโจมตีช่องโหว่ CVE-2026-35273 ใน Oracle PeopleSoft แบบวงกว้าง โดยปรับแต่งคำสั่ง HTTP Request เป็น /%50SEMHUB/ เพื่อหลบเลี่ยงกฎตรวจจับของ Web Application Firewall (WAF) ที่ตรวจจับแบบข้อความตรง จากนั้นจึงวาง Web Shell และฝังแบ็กดอร์ SIDEEYE รวมถึงติดตั้ง MeshAgent เพื่อควบคุมระบบระยะยาว
มีความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อหน่วยงานภาครัฐและรัฐวิสาหกิจไทยที่ใช้งานระบบ Oracle PeopleSoft ในการบริหารทรัพยากรบุคคล การเงิน และการจัดซื้อจัดจ้าง หากระบบที่เปิดสู่สาธารณะอาศัยเพียงกฎ WAF เบื้องต้นโดยยังไม่ได้ปิดบริการ Environment Management Hub (PSEMHUB) หรือไม่ได้ติดตั้งแพตช์จากผู้ผลิต อาจตกเป็นเป้าหมายของการเจาะระบบและขโมยฐานข้อมูลบุคลากรภาครัฐได้
ยุทธศาสตร์: ผู้โจมตีมุ่งเน้นการเจาะระบบ ERP และ HR ภาครัฐเพื่อเข้าถึงโครงสร้างข้อมูลหลักขององค์กรและข้อมูลระบุตัวตนระดับชาติ
ยุทธการ: กลุ่มภัยคุกคามปรับเปลี่ยนวิธีการโจมตีตามคำแนะนำด้านการป้องกัน โดยใช้เทคนิคเข้ารหัส URL ลบล้างประสิทธิภาพของกฎ WAF ที่ตั้งค่าไว้
ยุทธวิธี: ผู้ดูแลระบบต้องปิดเซอร์วิส PSEMHUB หรือลบแอปพลิเคชัน PSEMHUB.war ออกจากระบบ PeopleSoft ทันที พร้อมทั้งตรวจสอบบันทึกการเข้าถึงที่เรียก URL แปลกปลอม
หน่วยงานภาครัฐ, สถาบันอุดมศึกษา, องค์กรด้านสาธารณสุข และภาคการขนส่งที่ติดตั้งใช้งาน Oracle PeopleSoft Application Server
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ศูนย์ CERT-AgID ประเทศอิตาลีออกประกาศเตือนภัยการตรวจพบแคมเปญฟิชชิ่งที่เลียนแบบหน้าเว็บของ Automobile Club d'Italia (ACI) บนโดเมน acitalia[.]info และ acitalia[.]click โดยผู้โจมตีอ้างว่าเหยื่อค้างชำระภาษีรถยนต์ประจำปีและต้องเสียค่าปรับ จากนั้นจะหลอกเก็บข้อมูลรหัสประจำตัวผู้เสียภาษี ป้ายทะเบียนรถ ข้อมูลติดต่อส่วนบุคคล และข้อมูลบัตรเครดิตครบชุด
แม้การโจมตีจะมุ่งเป้าที่ประชาชนในประเทศอิตาลีเป็นหลัก แต่รูปแบบการแอบอ้างบริการภาครัฐด้านภาษีและทะเบียนยานพาหนะเป็นกรณีศึกษาสำคัญสำหรับหน่วยงานรัฐไทย เช่น กรมการขนส่งทางบกและกรมสรรพากร ซึ่งมักถูกผู้ไม่หวังดีนำชื่อและตราสัญลักษณ์ไปสร้างเว็บไซต์ปลอมเพื่อหลอกลวงประชาชนไทยในลักษณะเดียวกัน
ยุทธศาสตร์: ผู้ไม่หวังดีอาศัยความกลัวต่อบทลงโทษทางกฎหมายและค่าปรับของรัฐเป็นกลไกหลักในการบีบบังคับให้ประชาชนส่งมอบข้อมูลสำคัญ
ยุทธการ: การออกแบบหน้าเว็บหลอกลวงมีขั้นตอนการเก็บข้อมูลอย่างเป็นระบบ ตั้งแต่ข้อมูลระบุตัวตน ยานพาหนะ ไปจนถึงการชำระเงินจำลอง
ยุทธวิธี: หน่วยงานภาครัฐควรเฝ้าระวังการจดทะเบียนโดเมนเลียนแบบ (Typosquatting) และส่งเสริมให้ประชาชนเข้าใช้งานผ่านแอปพลิเคชันทางการเท่านั้น
หน่วยงานบริการประชาชนภาครัฐ, ผู้ใช้บริการด้านยานพาหนะและภาษี, ภาคธนาคารและผู้ให้บริการบัตรเครดิต
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Pelagos Intel ตรวจพบห่วงโซ่การส่งมัลแวร์ของกลุ่ม SilverFox โดยส่งไฟล์บีบอัด ZIP ธีมการเงินและการตรวจสอบผ่านทาง WhatsApp ไปยังเป้าหมายในประเทศมาเลเซีย ภายในบรรจุไฟล์อิมเมจดิสก์ IMG ที่มีโปรแกรมรันที่ลงลายมือชื่อดิจิทัลถูกต้องของ KuGou เพื่อทำ DLL Side-Loading โหลดมัลแวร์ active_desktop_render_x64.dll จากนั้นทำการถอดรหัสเพย์โหลดและเชื่อมต่อไปยังเซิร์ฟเวอร์ C2 ปลายทาง
มีความเป็นไปได้สูงที่จะส่งผลกระทบต่อบุคลากรภาครัฐและองค์กรธุรกิจในไทย เนื่องจากกลุ่ม SilverFox มีฐานการปฏิบัติการในภูมิภาคเอเชียตะวันออกเฉียงใต้และนิยมใช้แอปพลิเคชันสนทนายอดนิยมเป็นช่องทางล่อลวง หากเจ้าหน้าที่เปิดรับไฟล์แนบทางแชตโดยไม่ตรวจสอบ อาจทำให้เครื่องคอมพิวเตอร์ลูกข่ายในเครือข่ายรัฐถูกควบคุมจากระยะไกล
ยุทธศาสตร์: กลุ่มภัยคุกคามขยายขอบเขตการโจมตีเป้าหมายในภูมิภาคอาเซียนโดยใช้เครื่องมือที่ลงลายมือชื่อดิจิทัลแท้เพื่อหลบเลี่ยงการตรวจสอบด้านความมั่นคง
ยุทธการ: ผู้โจมตีผสมผสานวิศวกรรมสังคมผ่านแอปพลิเคชันรับส่งข้อความเข้ากับเทคนิค DLL Side-Loading เพื่อสร้างช่องทางเชื่อมต่อ C2 ที่ฝังตัวถาวร
ยุทธวิธี: ควรกำหนดนโยบายความปลอดภัยเพื่อควบคุมการรันไฟล์ DLL ที่ไม่ได้ลงนามดิจิทัล และเฝ้าระวังการสร้าง Registry Run Key ชื่อ MicrosoftUpdate ในโฟลเดอร์ AppData
หน่วยงานภาครัฐ, องค์กรด้านการเงิน, หน่วยงานความมั่นคง และผู้ใช้งานระบบปฏิบัติการ Windows ในภูมิภาคเอเชียตะวันออกเฉียงใต้
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
ทีมวิจัย Cisco Talos ได้วิเคราะห์พฤติกรรมของกลุ่มผู้ไม่หวังดีที่ใช้เทคนิค Social Engineering แอบอ้างเป็นบริษัทว่าจ้างที่ปรึกษาผ่านโซเชียลมีเดีย โดยยื่นข้อเสนอค่าตอบแทนสูงเพื่อล่อลวงให้ผู้เชี่ยวชาญหรือเจ้าหน้าที่ส่งมอบข้อมูลลับภายในองค์กร พร้อมทั้งตรวจพบการแอบอ้างเสนองานเพื่อหลอกให้เหยื่อติดตั้งซอฟต์แวร์โทรจันและเครื่องมือควบคุมเครื่องระยะไกล
มีความเสี่ยงทางอ้อมต่อบุคลากรในหน่วยงานความมั่นคง ภาครัฐ และโครงสร้างพื้นฐานสำคัญของไทย โดยเฉพาะเจ้าหน้าที่ที่มีข้อมูลเชิงลึกด้านความมั่นคงไซเบอร์และเทคโนโลยี ซึ่งอาจตกเป็นเป้าหมายของการติดต่อเสนองานวิจัยหรือที่ปรึกษาเฉพาะกิจเพื่อดึงข้อมูลลับของหน่วยงาน
ยุทธศาสตร์: ฝ่ายตรงข้ามใช้ประโยชน์จากความเชื่อมั่นทางวิชาชีพและข้อเสนอผลประโยชน์ทางการเงินเพื่อเจาะทะลุการป้องกันระดับบุคคล
ยุทธการ: แคมเปญเริ่มต้นจากการสัมภาษณ์เพื่อประเมินระดับการเข้าถึงข้อมูลของเหยื่อ ก่อนจะนำไปสู่การขอรายงานพิเศษที่มีข้อมูลลับภายใน
ยุทธวิธี: องค์กรต้องอบรมให้เจ้าหน้าที่ระมัดระวังการติดต่อเสนองานจากบุคคลภายนอกที่ไม่ผ่านการตรวจสอบ และห้ามติดตั้งซอฟต์แวร์จากการสัมภาษณ์งานลงในเครื่องของหน่วยงาน
บุคลากรในหน่วยงานภาครัฐ, หน่วยงานความมั่นคง, องค์กรด้านความปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานสำคัญ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง