รายงานการเฝ้าระวังความมั่นคงปลอดภัยไซเบอร์ภาคการขนส่งและโลจิสติกส์ ประจำสัปดาห์

ตรวจพบเซิร์ฟเวอร์พักข้อมูลและคลังเครื่องมือเจาะระบบเปิดโล่ง เชื่อมโยงการโจมตีฐานข้อมูล MSSQL ของสายการบิน Viva Aerobus

นักวิจัยจาก ThreatMon ตรวจพบเซิร์ฟเวอร์ควบคุมและพักข้อมูล (Staging and Loot Server) ที่ไอพี 151.243.232.123 ถูกเปิดทิ้งไว้บนอินเทอร์เน็ตสาธารณะโดยไม่มีระบบยืนยันตัวตน เชื่อมโยงกับเหตุการณ์แทรกซึมระบบของสายการบิน Viva Aerobus ในช่วงปลายเดือนกันยายน 2569 ผู้โจมตีอาศัยสิทธิ์บน Microsoft SQL Server เพื่อรันคำสั่งระบบผ่าน xp_cmdshell และสั่งการ PowerShell แบบ Base64 ภายในเซิร์ฟเวอร์พบเครื่องมือโจมตี 17 รายการ เช่น สคริปต์สกัดรหัสผ่านเบราว์เซอร์ Mimikatz และสคริปต์ทดสอบสิทธิ์ SQL โดยใช้วิธีแบ่งไฟล์เป็นชิ้นส่วน Base64 ส่งผ่านผลลัพธ์คิวรีฐานข้อมูลเพื่อเลี่ยงระบบตรวจจับ แม้ยังไม่พบหลักฐานการขโมยข้อมูลผู้โดยสารหรือบัตรเครดิตออกไปสำเร็จ แต่เซิร์ฟเวอร์ที่เปิดโล่งทำให้ไอพีภายนอกเข้ามาดาวน์โหลดเครื่องมือและข้อมูลออกไปได้

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อสายการบินพาณิชย์ ผู้ให้บริการท่าอากาศยาน และระบบขนส่งมวลชนในประเทศไทย ที่ติดตั้งใช้งาน Microsoft SQL Server สำหรับระบบบริหารเที่ยวบิน การจองตั๋ว หรือระบบสนับสนุนหลังบ้าน หากไม่มีการปิดใช้งานฟังก์ชัน xp_cmdshell หรือใช้รหัสผ่าน sa ที่คาดเดาได้ง่าย อาจตกเป็นเป้าหมายการเจาะระบบเพื่อดึงรหัสผ่านและขยายขอบเขตการเข้าถึงเครือข่ายภายในองค์กร

ยุทธศาสตร์: โครงสร้างพื้นฐานระบบฐานข้อมูลของสายการบินเป็นเป้าหมายมูลค่าสูงที่ความผิดพลาดในการตั้งค่าความปลอดภัยเพียงจุดเดียวสามารถนำไปสู่การเปิดเผยข้อมูลการดำเนินงานขององค์กร
ยุทธการ: ผู้โจมตีเลือกเจาะลึกระบบฐานข้อมูลด้วยการรันคำสั่งระบบปฏิบัติการผ่านกลไกภายในของซอฟต์แวร์ และใช้วิธีส่งข้อมูลแฝงผ่านผลลัพธ์คิวรีเพื่อหลีกเลี่ยงการเชื่อมต่อ C2 ภายนอก
ยุทธวิธี: สกัดรหัสผ่านจากหน่วยความจำและ DPAPI ด้วย PowerShell และ Mimikatz พร้อมเตรียมเครื่องมือ sqlspray.ps1 และ exfil.py เพื่อทดสอบเจาะระบบเครื่องอื่นในเครือข่าย

การบินพาณิชย์ (Civil Aviation), สายการบิน (Airlines), การขนส่งทางอากาศ (Air Transport) และระบบฐานข้อมูลองค์กร (Enterprise Database Systems)

T1059.001 PowerShell T1059.003 Windows Command Shell T1003 OS Credential Dumping T1555 Credentials from Password Stores T1552.001 Credentials In Files T1021 Remote Services T1074 Data Staged T1041 Exfiltration Over C2 Channel 151.243.232[.]123 c38f49ba68b891bb476510704cddf080798f3c70075e2a517e98e04e833f64fa 33aeaaa3d57b7785ef2be5b8ccd39d534b8af50e0cd32a5036fdb64601a52fc9 8b6c53e3d57b4c3049f3d0765a44d9a52feb6af78f1eaa5aff19daf1b9665998

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

สถาบัน FDD เผยรายงานวิเคราะห์ความเสี่ยงด้านความมั่นคงไซเบอร์และห่วงโซ่อุปทานจีนต่อโครงข่ายเส้นทางระดมพลและโลจิสติกส์ยุโรป

สถาบัน Foundation for Defense of Democracies (FDD) เผยแพร่รายงานวิเคราะห์ความเสี่ยงเชิงยุทธศาสตร์ ระบุว่าขีดความสามารถในการส่งกำลังบำรุงและเคลื่อนย้ายยุทโธปกรณ์ของพันธมิตร NATO ในยุโรปต้องพึ่งพาโครงสร้างพื้นฐานคมนาคมขนส่งพลเรือน เช่น ท่าเรือพาณิชย์ เครือข่ายทางรถไฟ และระบบควบคุมการเดินเรือ ซึ่งมีช่องว่างด้านมาตรฐานความมั่นคงไซเบอร์ที่กระจัดกระจาย โดยชี้ถึงความเสี่ยงจากการที่รัฐวิสาหกิจจีนถือหุ้นในท่าเรือยุโรปกว่า 30 แห่ง (รวมถึงท่าเรือหลัก เช่น Rotterdam, Antwerp, Hamburg, Piraeus) และการพึ่งพาแพลตฟอร์มสารสนเทศโลจิสติกส์การขนส่งระดับชาติ (เช่น LOGINK) ซึ่งอาจเปิดช่องทางให้เกิดการสอดแนมข้อมูลการขนส่งสินค้า หรือการขัดขวางการดำเนินงานของระบบจัดการท่าเรือ (TOS) และระบบอาณัติสัญญาณรถไฟในภาวะวิกฤต

ความเสี่ยงเชิงนโยบายและยุทธศาสตร์ต่อระบบโลจิสติกส์ ท่าเรือพาณิชย์หลักของไทย (เช่น ท่าเรือแหลมฉบัง และท่าเรือกรุงเทพ) รวมถึงโครงข่ายระบบรางและศูนย์เปลี่ยนถ่ายสินค้า ที่มีการเชื่อมต่อระบบแลกเปลี่ยนข้อมูลการขนส่งตู้สินค้ากับแพลตฟอร์มดิจิทัลระดับสากล หากขาดการประเมินความเสี่ยงด้านห่วงโซ่อุปทานเทคโนโลยีและการแบ่งแยกเครือข่ายระบบปฏิบัติการท่าเรือ อาจเปิดช่องทางให้เกิดการดักรับข้อมูลการค้าและสร้างความล่าช้าต่อห่วงโซ่อุปทานการขนส่งของประเทศ

ยุทธศาสตร์: การพึ่งพาระบบดิจิทัลและเทคโนโลยีห่วงโซ่อุปทานต่างชาติในโครงสร้างพื้นฐานคมนาคมขนส่งพลเรือน อาจถูกฉวยใช้เป็นเครื่องมือสงครามลูกผสมเพื่อตัดขาดเส้นทางส่งกำลังบำรุงในภาวะขัดแย้ง
ยุทธการ: ระบบควบคุมการเดินเรือ การจัดตารางรางรถไฟ และระบบจัดการตู้สินค้าที่ขาดการประสานนโยบายความมั่นคงร่วมกัน เปิดช่องให้ผู้ไม่หวังดีแทรกแซงข้อมูลการปฏิบัติการ
ยุทธวิธี: ผู้ก่อเหตุสามารถใช้ช่องทางการเข้าถึงระบบบริการเครือข่ายทางไกลหรือซอฟต์แวร์บริหารจัดการตู้สินค้า เพื่อส่งคำสั่งขัดขวางการทำงาน (Denial of Service) หรือดักรับข้อมูลการเคลื่อนย้ายสินค้าที่มีความสำคัญ

ท่าเรือพาณิชย์และพาณิชยนาวี (Ports & Maritime), ระบบรางและการขนส่งสินค้า (Rail & Cargo Freight), ระบบโลจิสติกส์และห่วงโซ่อุปทาน (Logistics & Supply Chain) และโครงสร้างพื้นฐานคมนาคม (Transportation Infrastructure)

T1195 Supply Chain Compromise T1498 Network Denial of Service T1584 Compromise Infrastructure

ไม่มี IOCs เชิงเทคนิคเนื่องจากเป็นรายงานการประเมินเชิงยุทธศาสตร์และนโยบายความมั่นคงด้านโลจิสติกส์คมนาคม (Strategic & Policy Assessment)

ดูรายละเอียดรายงานฉบับเต็มที่ลิงก์ด้านล่าง

กลุ่ม ShinyHunters มุ่งเป้าโจมตีอุตสาหกรรมการบินพาณิชย์และเจาะระบบผ่านช่องโหว่ Oracle PeopleSoft Zero-Day (CVE-2026-35273)

นักวิเคราะห์จาก Sekoia.io เผยแพร่งานวิจัยเจาะลึกวิวัฒนาการของกลุ่มอาชญากรไซเบอร์ ShinyHunters โดยชี้ว่ากลุ่มดังกล่าวได้เปิดฉากคลื่นการโจมตีพุ่งเป้าอุตสาหกรรมการบินพาณิชย์ (Aviation Sector Wave) อย่างต่อเนื่อง ส่งผลกระทบต่อสายการบินชั้นนำระดับโลก เช่น Qantas (กระทบข้อมูลผู้โดยสารกว่า 5.7 ถึง 6 ล้านราย), Air France-KLM, Hawaiian Airlines, WestJet และ Vietnam Airlines จน FBI ต้องออกประกาศเตือนภาคการบินอย่างเป็นทางการ นอกจากนี้รายงานยังเปิดเผยผลการสอบสวนการรับมือเหตุการณ์ล่าสุดในปี 2569 ที่ ShinyHunters ฉวยใช้ช่องโหว่ Zero-Day บน Oracle PeopleSoft (CVE-2026-35273) ข้ามระบบ WAF เพื่อวางไฟล์เว็บเชลล์ JSP รันสคริปต์ปิดระบบ EDR และดาวน์โหลดรีโมตเอเจนต์ MeshAgent จากโดเมนปลอม azurenetfiles[.]net เพื่อยึดครองระบบองค์กรระยะยาว

ความเสี่ยงสูงต่อสายการบินที่ให้บริการในไทย ตัวแทนจำหน่ายตั๋วโดยสาร และองค์กรด้านการบินและโลจิสติกส์ ที่มีการเชื่อมโยงข้อมูลผู้โดยสารหรือใช้งานระบบบริหารจัดการทรัพยากรบุคคลและการเงิน Oracle PeopleSoft หากระบบเปิดให้ออนไลน์สู่เครือข่ายภายนอกโดยไม่มีการปิดกั้นช่องทางผ่าน WAF หรือไม่มีการตรวจสอบทราฟฟิก MeshAgent ที่แปลกปลอม อาจเสี่ยงต่อการถูกเจาะระบบ ขโมยข้อมูลประวัติการเดินทางของผู้โดยสาร และถูกกรรโชกทรัพย์

ยุทธศาสตร์: กลุ่มอาชญากรไซเบอร์ทางการเงินที่มีทักษะสูงมุ่งเป้าอุตสาหกรรมการบินพาณิชย์เพื่อขโมยฐานข้อมูลลูกค้าขนาดใหญ่และใช้เป็นเครื่องมือขู่กรรโชกทรัพย์มูลค่ามหาศาล
ยุทธการ: ผสมผสานการทำ Social Engineering เข้ากับการวิจัยช่องโหว่ Zero-Day บนระบบ ERP หลักขององค์กร เพื่อแทรกซึมเข้าสู่เครือข่ายแกนกลางโดยไม่ต้องพึ่งพามัลแวร์แบบดั้งเดิม
ยุทธวิธี: ใช้เทคนิคข้ามผ่าน WAF เจาะช่องโหว่ CVE-2026-35273 ติดตั้งเว็บเชลล์ JSP ปิดระบบแอนตีไวรัสด้วยแบตช์ไฟล์ และดาวน์โหลดเครื่องมือบริหารระยะไกล MeshAgent เชื่อมต่อ C2 ผ่านไอพี 142.11.200[.]186

การบินพาณิชย์ (Civil Aviation), สายการบินพาณิชย์ (Commercial Airlines), การขนส่งผู้โดยสาร (Passenger Transport) และระบบองค์กรขนาดใหญ่ (Enterprise ERP)

T1190 Exploit Public-Facing Application T1505.003 Web Shell T1562.001 Disable or Modify Tools T1219 Remote Access Software T1071.001 Web Protocols T1041 Exfiltration Over C2 Channel 142.11.200[.]186 azurenetfiles[.]net hxxps://azurenetfiles[.]net/meshagents?id=4 fa210f015399de16bf7cb1e05856d179dfaabb1ecc9bb5fd277f94972a3bdc43 d5efdf6f35e9c6edcad5fbec707e6c88570c9d8796bf089c29303d591b94e384 a4e525d8825c1bac6dd934ef2c008b5fb9988289190b5b98d854799e07e207e4

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง

กลุ่มจารกรรมไซเบอร์ Earth Sirrush (UAC-0099) ยกระดับเครื่องมือจารกรรมพุ่งเป้าผู้ประกอบการขนส่งและโครงสร้างพื้นฐานโลจิสติกส์

ศูนย์วิจัยความมั่นคง Trend Micro เผยแพร่รายงานวิเคราะห์กลุ่มภัยคุกคามที่มีความเชื่อมโยงกับรัสเซีย Earth Sirrush (หรือกลุ่ม UAC-0099) ซึ่งปฏิบัติการจารกรรมทางไซเบอร์ต่อเนื่องยาวนานกว่า 4 ปี โดยข้อมูลตรวจวัดทางเทคนิคยืนยันว่าผู้ก่อเหตุได้ขยายเป้าหมายการโจมตีไปยังผู้ประกอบการด้านการขนส่งและโลจิสติกส์ (Transport and Logistics Operators) เพื่อสอดแนมเส้นทางและวางแผนขัดขวางห่วงโซ่อุปทานการขนส่งยุทธปัจจัย โดยกลุ่มนี้พัฒนาคลังมัลแวร์กว่า 10 ตระกูล เช่น LONEPAGE, THUMBCHOP, CLOGFLAG, SEAGLOW, OVERJAM และ MATCHBOIL ผ่านการส่งอีเมลฟิชชิ่งแนบไฟล์เอกสารคำสั่งทางราชการปลอมเพื่อสั่งรันสคริปต์ Mshta, PowerShell และ Golang พร้อมทั้งใช้เทคนิคสร้างความคงทนผ่าน Scheduled Task ที่แฝงตัวอยู่นานนับเดือนโดยไม่มีการเชื่อมต่อกลับ C2 เพื่อรอจังหวะส่งข้อมูลเส้นทางการขนส่งออกไป

ความเสี่ยงทางอ้อมเชิงยุทธศาสตร์ต่อผู้ให้บริการคลังสินค้า ตัวแทนขนส่งสินค้าระหว่างประเทศ (Freight Forwarders) และระบบจัดการโลจิสติกส์ในไทย ที่มีเครือข่ายพันธมิตรหรือการรับส่งเอกสารขนส่งข้ามพรมแดน หากบุคลากรเปิดไฟล์เอกสารแนบที่แฝงสคริปต์อันตรายโดยไม่มีการตรวจสอบ อาจเปิดโอกาสให้มัลแวร์ฝังตัวขโมยข้อมูลใบกำกับสินค้า (Bill of Lading) รายการตู้คอนเทนเนอร์ และข้อมูลระบบจัดการคลังสินค้า (WMS)

ยุทธศาสตร์: การจารกรรมไซเบอร์ที่มุ่งเป้าผู้ประกอบการขนส่งและโลจิสติกส์สะท้อนความพยายามในการควบคุมและสอดแนมการเคลื่อนย้ายสินค้าและยุทธปัจจัยในระดับโครงสร้างพื้นฐาน
ยุทธการ: ผู้โจมตีใช้เทคนิคฟิชชิ่งแนบเอกสารปลอมแปลงที่สอดคล้องกับภารกิจด้านการขนส่ง และเลือกใช้มัลแวร์หลายภาษาโปรแกรมเพื่อกระจายการทำงานและลดโอกาสถูกบล็อก
ยุทธวิธี: ฉวยใช้สคริปต์ Mshta และ PowerShell ในการดาวน์โหลดเพย์โหลด แอบซ่อนข้อมูลด้วย Steganography และใช้ Scheduled Tasks ตั้งเวลาคงทนแบบ Sleep ระยะยาวเพื่อหลบเลี่ยงการตรวจจับความผิดปกติของทราฟฟิกเครือข่าย

ผู้ให้บริการการขนส่งและโลจิสติกส์ (Transport & Logistics Operators), การขนส่งสินค้าข้ามพรมแดน (Freight & Cargo), หน่วยงานควบคุมด่านศุลกากรและชายแดน และห่วงโซ่อุปทานทางยุทธศาสตร์

T1566.001 Spearphishing Attachment T1218.005 Mshta T1059.001 PowerShell T1053.005 Scheduled Task T1027.003 Steganography T1574.001 DLL Search Order Hijacking T1555.003 Credentials from Web Browsers T1041 Exfiltration Over C2 Channel 55d8b1951e1ce8b3aea07ee3a3fb9f0e8f0cd345d08096806ddad9a6691510ec 00b7e464b190dc3ee8847e214857b83180f948b5c887466f09bb91a3352b889a 06564bd863c772ca700b2f4472538fbfa52b96bdaef20c2a1daa11a2a08d61fd f4f6beea11f21a053d27d719dab711a482ba0e2e42d160cefdbdad7a958b93d0 9c68e5d111a581a195284f884d29c5576723264a01d80a20729e09510fb6078b

ดู IOC ฉบับเต็มที่ลิงก์ด้านล่าง