Transportation & Logistics Sector Weekly Report
ห้วงเวลา: 21-27 กันยายน 2569
TLP:CLEARในรอบสัปดาห์ที่ผ่านมา (21-27 กันยายน 2569) สถานการณ์ภัยคุกคามไซเบอร์ที่ส่งผลกระทบต่อภาคการขนส่งและโลจิสติกส์ (Transportation & Logistics) ปรากฏการยกระดับความเสี่ยงอย่างมีนัยสำคัญใน 4 มิติหลัก: (1) การกลับมาโจมตีระลอกใหม่ของกลุ่ม UNC6240 (ShinyHunters) ที่ใช้ประโยชน์จากเทคนิคข้าม WAF เพื่อเจาะช่องโหว่ CVE-2026-35273 บนระบบ Oracle PeopleSoft ฝังเว็บเชลล์และแบ็กดอร์ SIDEEYE ยึดครองเซิร์ฟเวอร์บริหารจัดการทรัพยากรองค์กร (2) การตั้งค่าโดเมนและโครงสร้างพื้นฐานใหม่ของกลุ่ม The Com เพื่อปฏิบัติการ Voice Phishing (Vishing) ล่อลวงเจ้าหน้าที่ศูนย์บริการและ Helpdesk ขององค์กรขนส่งในการบายพาส MFA (3) แคมเปญ ClickFix อาศัยหน้าต่าง Cloudflare CAPTCHA ปลอมบนเว็บไซต์ที่ถูกแฮกแพร่กระจาย Psychedelic Stealer มุ่งเป้าขโมยรหัสผ่านและข้อมูลเซสชันเบราว์เซอร์ของผู้ปฏิบัติงาน และ (4) เครือข่ายโดเมนหลอกลวงค่าธรรมเนียมจัดส่งพัสดุ ShipmentsFree ล่อลวงตัดเงินค่าสมาชิกรายเดือนซ้ำซ้อน สร้างความเสียหายทางการเงินและกระทบต่อความน่าเชื่อถือของห่วงโซ่อุปทานโลจิสติกส์
Mandiant และ Google Threat Intelligence Group (GTIG) ตรวจพบการกลับมาโจมตีระลอกใหม่ของกลุ่ม UNC6240 (มีความเชื่อมโยงกับกลุ่ม ShinyHunters) ซึ่งมุ่งเป้าโจมตีระบบ Enterprise Resource Planning (ERP) และ HRMS บนแพลตฟอร์ม Oracle PeopleSoft ผ่านช่องโหว่ CVE-2026-35273 โดยผู้โจมตีใช้เทคนิคบายพาส Web Application Firewall (WAF) ด้วยการแปลงรหัส URL Encoding อักขระตัวแรกของ Request Path เป็น /%50SEMHUB/ เพื่อส่งคำขอต่อไปยังเซิร์ฟเล็ตเป้าหมาย จากนั้นอัปโหลดเว็บเชลล์หลากหลายชนิด เช่น x.jsp, u.jsp และอุโมงค์เชื่อมต่อ Neo-reGeorg เพื่อติดตั้งแบ็กดอร์ SIDEEYE (Ple64.exe) และแพลตฟอร์มบริหารจัดการระยะไกล MeshCentral / MeshAgent ลักลอบควบคุมเครื่องเซิร์ฟเวอร์อย่างถาวร
ประเมินเป็นความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ระดับสูงต่อหน่วยงานและผู้ประกอบการด้านการขนส่ง โลจิสติกส์ ท่าเรือ และสายการบินในประเทศไทยที่มีการติดตั้งใช้งาน Oracle PeopleSoft สำหรับบริหารจัดการทรัพยากรบุคคล การจัดซื้อ และการปฏิบัติการองค์กร หากระบบที่เปิดสู่สาธารณะยังไม่ได้ติดตั้งแพตช์ความปลอดภัย อาจตกเป็นเป้าหมายของการเจาะระบบและขโมยข้อมูลพนักงานหรือข้อมูลการปฏิบัติการเชิงลึก
ยุทธศาสตร์: ผู้บริหารองค์กรด้านการขนส่งและโครงสร้างพื้นฐานต้องตระหนักว่ากฎของ WAF หรือการบล็อก Path ไม่สามารถทดแทนการติดตั้งแพตช์ความปลอดภัยที่แท้จริงได้ และต้องเร่งรัดการปรับใช้มาตรการ Zero Trust Network Access (ZTNA)
ยุทธการ: ทีมดูแลระบบต้องเร่งสำรวจเวอร์ชันของ Oracle PeopleSoft และนำแพตช์แก้ไขช่องโหว่ CVE-2026-35273 มาติดตั้งทันที พร้อมทั้งตรวจสอบบันทึกเว็บเซิร์ฟเวอร์ย้อนหลังเพื่อหาคำขอที่มีลักษณะ URL-encoded ผิดปกติ เช่น /%50SEMHUB/
ยุทธวิธี: ตรวจสอบการสร้างไฟล์ JSP/JSPX ผิดปกติในไดเรกทอรีเว็บแอปพลิเคชัน บล็อกการเชื่อมต่อ C2 ไปยัง 5.199.162[.]157, 104.219.234[.]138, 162.219.30[.]165 และเฝ้าระวังโดเมนพรางตัว azurenetfiles[.]net
ภาคการขนส่งและโลจิสติกส์ (Transportation & Logistics), สถาบันการศึกษาขั้นสูง, หน่วยงานภาครัฐ, ภาคสาธารณสุข และองค์กรเทคโนโลยีขนาดใหญ่
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Palo Alto Networks Unit 42 เผยแพร่รายงานเตือนภัยเร่งด่วนระบุว่ากลุ่มผู้ก่อภัยคุกคามในเครือข่าย The Com (กลุ่มพันธมิตรอาชญากรรมไซเบอร์ที่ใช้วิธีการทางวิศวกรรมสังคมขั้นสูง) ได้จดทะเบียนและตั้งค่าโดเมนใหม่จำนวนมาก เช่น add-mfa.com และ myaccountapps.com พร้อมสร้างระบบซับโดเมนเฉพาะเจาะจงเพื่อมุ่งเป้าโจมตีแบบ Voice Phishing (Vishing) ไปยังเจ้าหน้าที่และศูนย์บริการช่วยเหลือ (Helpdesk) ขององค์กรกว่า 30 แห่งในหลากหลายอุตสาหกรรม รวมถึงภาคการขนส่งและโลจิสติกส์ โดยผู้โจมตีพยายามหลอกล่อให้เหยื่อเข้าสู่หน้าเว็บพรางตัวเพื่อขโมยรหัสผ่าน รีเซ็ตอุปกรณ์ยืนยันตัวตน MFA หรือติดตั้งเครื่องมือควบคุมระยะไกลเพื่อเข้าถึงเครือข่ายองค์กร
ประเมินเป็นความเสี่ยงระดับปานกลางเชิงเฝ้าระวังต่อบุคลากรฝ่ายบริการลูกค้า ศูนย์ควบคุมการเดินรถ/ขนส่งสินค้า และ Helpdesk ของบริษัทโลจิสติกส์ในไทย ซึ่งอาจเผชิญกับการโทรศัพท์แอบอ้างเป็นฝ่ายสนับสนุนด้านไอทีเพื่อหลอกขอข้อมูลประจำตัวหรือให้ยืนยันการตั้งค่า MFA ปลอม
ยุทธศาสตร์: ฝ่ายบริหารความมั่นคงปลอดภัยต้องยกระดับการฝึกอบรมสร้างความตระหนักรู้ด้านการโจมตีแบบ Vishing ให้แก่บุคลากรด่านหน้า และจัดทำระเบียบปฏิบัติมาตรฐาน (SOP) ในการยืนยันตัวตนของผู้ติดต่อฝ่ายบริการไอที
ยุทธการ: กำหนดให้นโยบายการรีเซ็ตหรือลงทะเบียนอุปกรณ์ MFA ต้องมีการตรวจสอบตัวตนแบบพบเห็นหน้า (In-person) หรือผ่านกระบวนการอนุมัติจากผู้บังคับบัญชาโดยตรง ห้ามดำเนินการผ่านการโทรศัพท์เพียงอย่างเดียว
ยุทธวิธี: ทำการบล็อกโดเมน add-mfa[.]com และ myaccountapps[.]com ที่ระดับ Secure Web Gateway (SWG) และ DNS Firewall ทั่วทั้งองค์กร พร้อมเฝ้าระวังการล็อกอินที่ผิดปกติจากสถานที่ที่ไม่เคยใช้งาน
ภาคการขนส่งและโลจิสติกส์ (Transportation), ภาครัฐ, การเงินและการธนาคาร, โทรคมนาคมและไอที, สาธารณสุข และภาคบริการธุรกิจ
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Arctic Wolf Labs ตรวจพบแคมเปญการโจมตีต่อเนื่องที่อาศัยการฝังไอเฟรม (Injected Iframe) บนเว็บไซต์ธุรกิจที่ถูกบุกรุกเพื่อแสดงผลหน้าต่างลวงแบบ ClickFix ซึ่งจำลองเป็นหน้าจอยืนยันความปลอดภัย Cloudflare CAPTCHA ปลอม เมื่อผู้ใช้กดปุ่มตามคำแนะนำบนหน้าเว็บ ระบบจะคัดลอกคำสั่ง PowerShell ที่เข้ารหัสแบบ Obfuscation ลงในคลิปบอร์ดของเหยื่อ และหลอกให้เหยื่อนำไปวางและรันในกล่องโต้ตอบ Run ของ Windows เพื่อดาวน์โหลดและติดตั้งมัลแวร์ Psychedelic Stealer (psychedeliclove.exe) จากเซิร์ฟเวอร์ควบคุม มัลแวร์ดังกล่าวมีความสามารถในการขโมยรหัสผ่านที่บันทึกในเบราว์เซอร์ โทเคนเซสชัน คุกกี้ และข้อมูลกระเป๋าเงินคริปโต ส่งกลับไปยังปลายทาง C2
ประเมินเป็นความเสี่ยงทางอ้อมต่อผู้ปฏิบัติงานและเจ้าหน้าที่ฝ่ายคลังสินค้า/โลจิสติกส์ในไทยที่เข้าชมเว็บไซต์ภายนอก หากเครื่องคอมพิวเตอร์ที่ใช้ประสานงานด้านการขนส่งถูกฝัง Infostealer อาจส่งผลให้บัญชีเข้าถึงระบบติดตามสินค้าและพอร์ทัลคู่ค้าทางธุรกิจถูกขโมย
ยุทธศาสตร์: องค์กรต้องบังคับใช้นโยบายควบคุมสภาพแวดล้อมการทำงานของเครื่องลูกข่าย (Endpoint Hardening) และจำกัดสิทธิการรันสคริปต์คำสั่งระดับระบบบนอุปกรณ์ของผู้ปฏิบัติงานทั่วไป
ยุทธการ: ติดตั้งและตั้งค่า Endpoint Detection and Response (EDR) ให้ตรวจจับและระงับการเรียกใช้งาน PowerShell ที่มีอาร์กิวเมนต์ผิดปกติ หรือคำสั่งที่มีการเรียกใช้จากคลิปบอร์ดทันที
ยุทธวิธี: สกัดกั้นการเชื่อมต่อไปยัง IP 107.175.82[.]242:9000, 193.178.159[.]128:8080 บล็อกการเข้าถึงโดเมน uasputnik[.]com และตรวจสอบแฮชไฟล์ 06f434695f93d7fd11eeff71358ff69fed79d310a66d993bbcc4ff979c117c90
ภาคการขนส่งและโลจิสติกส์ (Transportation & Logistics), ภาคบริการธุรกิจ, ค้าปลีก และสาธารณสุข
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
Malwarebytes Threat Intelligence เปิดเผยการสืบสวนเครือข่ายเว็บไซต์หลอกลวงในกลุ่ม ShipmentsFree ซึ่งอาศัยการจดทะเบียนชื่อโดเมนพรางตัวจำนวนมาก เช่น free-shipments.com, freeshipments.com, freeshpmts.com และ shipmentsfreezone.com เพื่อสร้างข้อเสนอเงินคืนค่าจัดส่งพัสดุ (Shipping Rebate) ปลอม โดยแอบแฝงข้อความในเงื่อนไขบริการเพื่อสมัครสมาชิกรายเดือนอัตโนมัติ (Recurring Subscription) ตัดเงินจากบัตรเครดิตของเหยื่ออย่างต่อเนื่อง ส่งผลกระทบต่อผู้บริโภคและผู้ประกอบการจัดส่งพัสดุขนาดเล็กที่เข้าใจผิดว่าเป็นบริการโปรโมชันของผู้ให้บริการขนส่งพัสดุหลัก
ประเมินเป็นความเสี่ยงเชิงพฤติกรรมต่อผู้ประกอบการ e-Commerce และผู้ใช้บริการขนส่งพัสดุในไทยที่สั่งซื้อหรือจัดส่งสินค้าข้ามพรมแดน ซึ่งอาจหลงเชื่อโฆษณาเงินคืนค่าจัดส่งบนแพลตฟอร์มออนไลน์ ส่งผลให้ข้อมูลบัตรเครดิตถูกนำไปผูกตัดค่าบริการรายเดือนซ้ำซ้อน
ยุทธศาสตร์: ผู้ให้บริการแพลตฟอร์มโลจิสติกส์และ e-Commerce ในไทยควรประชาสัมพันธ์เตือนภัยผู้ใช้บริการเกี่ยวกับรูปแบบการหลอกลวงส่วนลดค่าจัดส่งแอบแฝงค่าบริการรายเดือน
ยุทธการ: ฝ่ายการเงินและบัญชีขององค์กรธุรกิจต้องหมั่นตรวจสอบรายงานรายการเดินบัญชีบัตรเครดิตนิติบุคคลอย่างสม่ำเสมอ เพื่อตรวจหาและยกเลิกรายการตัดเงินซ้ำซ้อนที่ไม่ได้อนุมัติ
ยุทธวิธี: ดำเนินการบล็อกการเข้าถึงเครือข่ายโดเมนหลอกลวง เช่น free-shipments[.]com, freeshipments[.]com, myshipmentsfree[.]com และ shipmentsfreezone[.]com
ผู้ใช้บริการขนส่งพัสดุและโลจิสติกส์ (Transportation & Parcel Logistics), ผู้บริโภคทั่วไป และผู้ประกอบการ e-Commerce
ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง
/%50SEMHUB/ เพื่อหลบเลี่ยงการตรวจจับแบบ String matching ของ WAF ในช่องโหว่ Oracle PeopleSoft สะท้อนว่าอุปกรณ์ป้องกันขอบเขตเครือข่ายไม่สามารถทดแทนการติดตั้งแพตช์จริงได้