BAYCOMS

08/10/2026

เจาะลึกปฏิบัติการ "NeedyMantis": เมื่อแฮกเกอร์ใช้มัลแวร์ฝังตัวระยะยาวเล่นงานองค์กร



ในโลกดิจิทัลปัจจุบัน การเจาะระบบสำเร็จเป็นเพียงก้าวแรกของอาชญากรไซเบอร์เท่านั้น ความท้าทายที่แท้จริงคือ การทำอย่างไรให้พวกเขาสามารถแฝงตัวอยู่ในเครือข่ายของเหยื่อได้นานที่สุด โดยไม่ถูกจับได้ ล่าสุดไมโครซอฟท์ (Microsoft) ได้ออกมาเปิดเผยรายงานเชิงลึกเกี่ยวกับ มัลแวร์ตัวฉกาจที่ตอบโจทย์นี้โดยเฉพาะในชื่อ "NeedyMantis"



เส้นทางและการแพร่ระบาด: เป้าหมายระดับสูงที่ไม่ธรรมดา

มัลแวร์ NeedyMantis ถูกตรวจพบผ่านการปฏิบัติการเจาะระบบแบบเจาะจงเป้าหมาย (Targeted Intrusions) โดยไม่ได้มุ่งเน้นการโจมตีแบบปูพรม แต่พุ่งเป้าไปที่องค์กรสำคัญที่มีความอ่อนไหวสูงโดยเฉพาะ ได้แก่ หน่วยงานด้านโทรคมนาคม, สถาบันการศึกษา, องค์กรการแพทย์ที่ไม่แสวงหากำไร, องค์กรระหว่างรัฐบาล และกลุ่มผู้รับเหมาของรัฐ ซึ่งร่องรอยการใช้งานถูกตรวจพบย้อนหลังไปตั้งแต่ช่วงปลายปี 2025



จุดเริ่มต้นที่ทำให้ไมโครซอฟท์แกะรอยมัลแวร์ตัวนี้ มาจากการขยายผลการสืบสวนเหตุการณ์โจมตีห่วงโซ่อุปทาน (Supply Chain Attack) ของโปรแกรมยอดนิยมอย่าง DAEMON Tools ซึ่งตัวติดตั้งอย่างเป็นทางการเคยถูกแฝงโค้ดอันตรายในช่วงเดือนเมษายนถึงพฤษภาคม 2026 ก่อนที่ผู้พัฒนาจะรีบอัปเดตเวอร์ชันที่ปลอดภัยออกมารองรับ



แม้จะยังไม่มีหลักฐานยืนยันแน่ชัดว่า NeedyMantis แพร่กระจายผ่านช่องทางของ DAEMON Tools โดยตรงหรือไม่ แต่ไมโครซอฟท์ได้จัดกลุ่มกิจกรรมที่เกี่ยวข้องไว้ภายใต้ชื่อ "Storm-3069" พร้อมระบุว่าอาจมีกลุ่มแฮกเกอร์มากกว่าหนึ่งกลุ่มที่นำมัลแวร์ตระกูลนี้ไปปรับใช้ในปฏิบัติการของตน



กลยุทธ์การอำพรางตัวขั้นสูง

จุดเด่นที่ทำให้ NeedyMantis น่ากลัวคือเทคนิคการหลบเลี่ยงการตรวจจับ โดยตัวมัลแวร์จะอาศัยช่องโหว่ทางพฤติกรรมของระบบปฏิบัติการ ในการแฝงตัวมาพร้อมกับโปรแกรมและเครื่องมือที่ถูกกฎหมายทั่วไป เช่น โปรแกรมแปลภาษา, เครื่องมือจัดการข้อความ หรือระบบรีโมตเดสก์ท็อป



เมื่อโปรแกรมปกติเหล่านั้นเริ่มทำงาน ระบบจะเรียกไฟล์เสริมอันตรายที่ถูกตั้งชื่อเลียนแบบระบบขึ้นมาทำงานร่วมกันโดยอัตโนมัติ ทำให้โปรแกรมรักษาความปลอดภัยเข้าใจผิดว่าเป็นส่วนหนึ่งของซอฟต์แวร์ที่ปลอดภัย จากนั้นมัลแวร์จะค่อยๆ ถอดรหัสคอมโพเนนต์หลักเพื่อเชื่อมต่อไปยังเซิร์ฟเวอร์ควบคุมภายนอก เปิดทางให้ผู้ไม่หวังดีสามารถดึงข้อมูล ควบคุมระบบ หรือดาวน์โหลดเครื่องมือเสริมเข้ามาปฏิบัติการต่อได้ตลอดเวลาแบบเงียบๆ



เบื้องหลังกลุ่มผู้ลงมือและความเชื่อมโยงระดับโลก

ในส่วนของผู้ที่อยู่เบื้องหลังการโจมตี ทางไมโครซอฟท์ระบุว่าชื่อ Storm-3069 เป็นเพียงชื่อชั่วคราวที่ใช้จำแนกกลุ่มภัยคุกคามที่ยังอยู่ระหว่างการตรวจสอบตัวตนที่แท้จริง

อย่างไรก็ตาม พฤติกรรม เป้าหมาย และร่องรอยต่างๆ (เช่น การพบข้อความภาษาจีนในตัวมัลแวร์จากการตรวจสอบก่อนหน้า) มีความสอดคล้องกับรูปแบบปฏิบัติการของกลุ่มภัยคุกคามที่มีความเชื่อมโยงกับประเทศจีน สอดคล้องกับการประเมินของหน่วยงานด้านความปลอดภัยอื่นๆ เช่น กูเกิล และมันเดียนต์ (Mandiant) ที่ติดตามกลุ่มผู้เกี่ยวข้องในแคมเปญลักษณะนี้ในชื่อ UNC6863 ซึ่งสะท้อนให้เห็นถึงความร่วมมือหรือเครือข่ายของอาชญากรที่มีการวางแผนมาอย่างเป็นระบบ



บทสรุปและแนวทางการป้องกันสำหรับองค์กร

กรณีของ NeedyMantis ถือเป็นสัญญาณเตือนภัยครั้งสำคัญว่า ภัยคุกคามทางไซเบอร์ในปัจจุบันไม่ได้จบลงแค่การแฮกเข้าสู่ระบบสำเร็จ แต่ยังมุ่งเน้นการฝังรากลึกเพื่อเกาะติดองค์กรเหยื่อในระยะยาว



เพื่อเป็นการป้องกันความเสี่ยงจากมัลแวร์ลักษณะนี้ องค์กรและผู้ดูแลระบบควรปฏิบัติ ดังนี้:

1. ตรวจสอบความปลอดภัยซอฟต์แวร์: หากพบว่าเคยดาวน์โหลดหรือติดตั้งซอฟต์แวร์ที่ตกเป็นข่าวในช่วงเวลาเสี่ยง ควรถอนการติดตั้ง ทำการสแกนระบบอย่างละเอียด และอัปเดตเป็นเวอร์ชันล่าสุดทันที

2. ยกระดับเครื่องมือป้องกัน: เปิดใช้งานระบบป้องกันบนคลาวด์ การบล็อกอัตโนมัติ และระบบตรวจสอบพฤติกรรมเชิงลึก (EDR) เพื่อตรวจจับความผิดปกติที่อาจเล็ดลอดจากการสแกนแบบเดิม

3. เฝ้าระวังการเชื่อมต่อภายนอก: หมั่นตรวจสอบการจราจรข้อมูลขาออก (Outbound Traffic) เพื่อสกัดกั้นการเชื่อมต่อที่พยายามติดต่อไปยังเซิร์ฟเวอร์แปลกปลอม



Ref : https://thehackernews.com/2026/09/hackers-use-needymantis-to-maintain.html



นึกถึงเรื่องความปลอดภัยทางไซเบอร์ ไว้ใจ BAYCOMS
Your Trusted Cybersecurity Partner


ติดต่อสอบถามหรือปรึกษาเราได้ที่ :
Bay Computing Public Co., Ltd
Tel: 02-115-9956
Email: [email protected]
Website: www.baycoms.com

05/10/2026

“ความสำเร็จในการถอดรหัส RSA-896 ด้วย AI: จุดเปลี่ยนครั้งใหญ่ของงานวิศวกรรมระบบเข้ารหัส”

วงการ Cybersecurity ต้องจับตากันอีกครั้ง เมื่อ AI ก้าวเข้ามามีบทบาทสำคัญในการทลายกำแพงทางวิศวกรรม จนสามารถช่วยถอดรหัส RSA-896 (ขนาด 270 หลักทศนิยม) สำเร็จ!



โดยเมื่อวันที่ 19 กันยายน 2026 Stephen A. Weis วิศวกรจาก Anthropic ได้เปิดเผยความสำเร็จในการแยกตัวประกอบดังกล่าว ซึ่งเป็นโจทย์ประวัติศาสตร์จากโครงการ RSA Factoring Challenge โดยมี Claude AI เป็นผู้ช่วยคนสำคัญในการพัฒนาซอฟต์แวร์ ส่งผลให้สถิติการถอดรหัสขยับจาก 862 บิต เป็น 896 บิต ภายในเวลาเพียง 16 วันหลังจากสถิติก่อนหน้าถูกทำลาย



ประเด็นสำคัญที่น่าจับตา


AI ไม่ได้คิดค้นวิธีใหม่ แต่ทำให้วิธีเดิมทำงานได้เร็วขึ้น: ความสำเร็จนี้ไม่ได้เกิดจากการค้นพบสูตรทางคณิตศาสตร์ใหม่ แต่ Claude AI เข้ามาช่วยจัดการและปรับแต่งซอฟต์แวร์ให้ประมวลผลบนระบบคอมพิวเตอร์ขนานใหญ่ได้อย่างรวดเร็ว จากเดิมที่ต้องอาศัยทีมผู้เชี่ยวชาญขนาดใหญ่และใช้เวลาหลายเดือน ปัจจุบัน AI ช่วยให้วิศวกรเพียงคนเดียวสามารถผลักดันโครงการสำเร็จได้ในเวลาอันสั้น



สถิติขยับเร็วขึ้นอย่างก้าวกระโดด:

อดีต: วงการเคยหยุดนิ่งไปนานถึง 6 ปี (ตั้งแต่ปี 2020)

ต้นเดือน ก.ย. 2026: Devin AI ช่วยทำลายสถิติ RSA-260

กลางเดือน ก.ย. 2026 (16 วันถัดมา): Claude AI ช่วยทำลายสถิติ RSA-896

สะท้อนว่า AI กำลังเปลี่ยนความเร็วจาก "งานวิจัยบนกระดาษ" สู่ "การทดลองจริง" ให้เร็วกว่าเดิมแบบเทียบไม่ติด



ผลกระทบและความปลอดภัยที่องค์กรต้องรู้

RSA-2048 ยังคงปลอดภัย: ระบบดิจิทัลสมัยใหม่ที่ใช้ RSA-2048 ขึ้นไป หรือเทคโนโลยีการเข้ารหัสแบบอื่น (ECC) ยังไม่ตกอยู่ในอันตราย เนื่องจากความยากในการถอดรหัสเพิ่มสูงขึ้นแบบก้าวกระโดด

ภัยเงียบจาก "ระบบรุ่นเก่า" (Legacy Systems): ประเด็นที่น่ากังวลคือ อุปกรณ์ฝังตัว, VPN รุ่นเก่า หรือใบรับรองดิจิทัลที่ยังใช้ RSA-1024 ซึ่งมีความแข็งแกร่งลดลงมาก และปัจจุบันต้นทุนการโจมตีก็ลดต่ำลงจนอยู่ในระดับที่ผู้โจมตีทุนหนาหรือระดับประเทศเริ่มเข้าถึงได้แล้ว



บทสรุปสำคัญ

ความสำเร็จของ Claude AI ในครั้งนี้ ไม่ได้แปลว่าระบบเข้ารหัสในปัจจุบันจะพังทลายลงในข้ามคืน แต่เป็นสัญญาณเตือนที่ชัดเจนว่า AI กำลังเข้ามาลดต้นทุนและเวลาในการลงมือทำ ทลายกำแพงทางวิศวกรรมที่เคยเป็นอุปสรรคใหญ่



สิ่งสำคัญที่องค์กรต้องทำในระยะสั้น: ไม่ใช่การตื่นตระหนก แต่คือการเร่งสำรวจระบบ Legacy และ ทยอยยกเลิกการใช้งาน RSA-1024 หรืออัลกอริทึมที่ล้าสมัยโดยเร็วที่สุด เพราะในยุคที่ AI เก่งขึ้น ความพร้อมด้านซอฟต์แวร์และเครื่องมือกลายเป็นตัวแปรสำคัญ ที่มีผลต่อความปลอดภัยไม่แพ้ตัวเลขทางคณิตศาสตร์อีกต่อไป



Ref : https://www.techtimes.com/articles/327789/20260920/rsa-896-cracked-claude-ai-second-factoring-record-sixteen-days.htm



นึกถึงเรื่องความปลอดภัยทางไซเบอร์ ไว้ใจ BAYCOMS
Your Trusted Cybersecurity Partner


ติดต่อสอบถามหรือปรึกษาเราได้ที่ :
Bay Computing Public Co., Ltd
Tel: 02-115-9956
Email: [email protected]
Website: www.baycoms.com

02/10/2026

https://www.facebook.com/techtalkthai/posts/pfbid02SEphep6Amene6REdeeUx5FczhsG6HAy1hVLwAnTSA7ybnj131nSJ3ij6zbLrHza1l

30 ปี ถ้าเปรียบกับมนุษย์ก็ถือว่ากำลังมีประสบการณ์เต็มเปี่ยม แต่ในมุมของบริษัทที่ปรึกษาด้าน Cybersecurity ที่ชื่อว....

01/10/2026

#ผมทำงานด้านความปลอดภัยไซเบอร์ – และผมเคยโดนหลอก
โดย Paisit Rattanapituk, CISSP ตำแหน่ง Technology Director


เรื่องนี้เกิดกับผมเมื่อปี 2025 ครับ

ผมใช้ซิมเทพแบบเหมาจ่ายรายปีมาหลายปี พอถึงรอบต่ออายุ ร้านเดิมขึ้นราคาไปเยอะกว่าเดิมมาก ผมเลยทำสิ่งที่ทุกคนทำ - เปิดหาร้านใหม่ในอินเทอร์เน็ต

ไม่กี่วันต่อมา โฆษณาร้านหนึ่งก็เด้งขึ้นมาในหน้าฟีด Facebook ของผม

ผมกดเข้าไปดู แล้วตรวจเท่าที่คนทั่วไปจะตรวจ: เพจดูเป็นร้านจริง มีรูปหน้าร้าน มีสินค้า มีผู้ติดตามหลักหมื่น โพสต์สม่ำเสมอ ทุกอย่างที่ผมมองหาเพื่อจะบอกตัวเองว่า "ร้านนี้น่าจะโอเค" มันมีอยู่ครบ

แล้วข้อความก็มาว่า "สะดวกคุยต่อใน LINE ไหมครับ"

ผมย้ายไปคุยใน LINE ผมโอนเงิน และผมไม่ได้ซิมนั้นเลย

ผมถือใบรับรอง CISSP (Certified Information Systems Security Professional - ใบรับรองวิชาชีพด้านความมั่นคงปลอดภัยสารสนเทศระดับสากล) ผมทำงานด้านนี้เป็นอาชีพ ผมบรรยายเรื่องนี้ให้องค์กรฟัง - และผมก็ยังพลาด

ที่ผมเพิ่งหยิบเรื่องนี้ขึ้นมาเล่าตอนนี้ เพราะเพิ่งเห็นสถิติของสัปดาห์ที่ผ่านมา แล้วพบว่า “ผ่านมาเกือบสองปี เคสของผมก็ยังเป็นเคสที่ธรรมดาที่สุดในประเทศอยู่ดี” - กลไกไม่ได้เปลี่ยนเลย

*สิ่งที่ผมเจอตอนแกะย้อนกลับ*

ข้อแรก - ทุกอย่างที่ผมใช้ตรวจสอบ เป็นสิ่งที่ "คนขาย" เป็นคนกำหนดทั้งหมด

รูปหน้าร้าน ก็อปมาจากที่ไหนก็ได้, ผู้ติดตามหลักหมื่น ซื้อได้, โพสต์ย้อนหลัง สร้างได้ และแม้แต่ตัวโฆษณาเองที่ทำให้ผมรู้สึกว่า "กล้าจ่ายค่าแอดขนาดนี้ คงไม่ใช่มิจฉาชีพ" – ค่าโฆษณาคือ “ต้นทุนของการหลอก” ไม่ใช่หลักฐานว่าเป็นของจริง มันเป็นค่าใช้จ่ายที่คุ้มมาก ถ้าจับเหยื่อได้แค่คนเดียว

ข้อสอง และข้อนี้สำคัญกว่า - ตอนนั้นผมไม่ได้อยู่ในโหมด "ระวังภัย" ผมอยู่ในโหมด "หาของให้ได้ราคาดี"

ผมมีความต้องการอยู่ก่อนแล้วจริงๆ ผมกำลังหาอยู่จริงๆ และโฆษณาก็มาเจอผมพอดีในจังหวะนั้น ความรู้เรื่องไซเบอร์ของผมไม่ได้หายไปไหน มันแค่ไม่ได้ถูกเรียกใช้ เพราะสมองผมกำลังทำงานคนละโหมด

> นี่คือบทเรียนที่ผมอยากให้ติดไปกับคุณมากที่สุด: มิจฉาชีพไม่ได้โจมตี "ความรู้" ของเรา มันโจมตี "จังหวะ" ของเรา เพราะอย่างนั้น สิ่งที่ป้องกันได้จริงจึงไม่ใช่ความรู้ แต่คือ “นิสัย” ที่ยังทำงานตอนที่เราไม่ได้คิดเรื่องความปลอดภัยอยู่

ทำไมสัญชาตญาณของเราถึงเชื่อเพจนั้น

เพราะในตลาดจริง "หน้าร้าน" คือคำมั่นสัญญา - ร้านที่มีหน้าร้านต้องจ่ายค่าเช่า ต้องอยู่ที่เดิมในวันพรุ่งนี้ และต้องเจอหน้าลูกค้าที่โดนโกงอีกครั้ง เราวางใจหน้าร้านไม่ใช่เพราะมันสวย แต่เพราะ “เจ้าของมันหนีไม่ได้”

แต่หน้าร้านในโลกออนไลน์เป็น”ฉากละคร ไม่ใช่ตึก” - เป็นรูปภาพที่ตั้งขึ้นได้ในเย็นวันเดียว ปิดได้ในสามวินาที และเปิดใหม่พรุ่งนี้ด้วยชื่ออื่นได้ทันที เราเอาสัญชาตญาณที่สร้างมาจากตลาดจริง ไปใช้กับฉากที่ถอดได้

คำถามที่ควรถามจึงไม่ใช่ "ร้านนี้ดูน่าเชื่อถือไหม" เพราะความน่าเชื่อถือคือของที่คนขายจัดฉากได้ คำถามที่ถูกคือ "มีอะไรบ้างที่คนขายจัดฉากไม่ได้"

ชั้น 3 - 3 ข้อที่ทำได้เอง ก่อนโอน · ฟรีทั้งหมด

1. กฎ "ค้นสิ่งที่คนขายคุมไม่ได้" - ใช้เวลาไม่เกิน 2 นาที

นี่คือข้อที่ผมข้ามไปทั้งข้อ และเป็นข้อที่ผมเสียดายที่สุดในกลุ่มนี้ มีสองอย่างที่มิจฉาชีพจัดฉากไม่ได้:

- เอาชื่อร้านไปค้นในอินเทอร์เน็ต พร้อมคำว่า "โกง" หรือ "มิจฉาชีพ" ถ้าเขาหลอกมาแล้วหลายราย มักจะมีคนโพสต์เตือนไว้ก่อนแล้วเสมอ เพราะเหยื่อคนแรกไม่ใช่เรา คนขายลบโพสต์ในกลุ่มหรือเว็บบอร์ดของคนอื่นไม่ได้


- เช็ควันที่เปิดเพจใน Facebook ดูได้ที่ Page Transparency (ความโปร่งใสของเพจ) ซึ่งบอกวันที่สร้างเพจและประวัติการเปลี่ยนชื่อ เพจที่เพิ่งเปิดไม่กี่เดือน แต่มีผู้ติดตามหลักหมื่น คือเรื่องที่ควรสงสัยตั้งแต่แรก เพราะร้านจริงสะสมคนตามด้วยเวลา ส่วนตัวเลขที่ซื้อมาไม่ต้องใช้เวลาเลย

2. กฎ "ไม่ย้ายห้อง"
เริ่มคุยที่ไหน ปิดดีลที่นั่น ถ้าต้องย้ายจริง ให้ย้อนกลับไปถามยืนยันในช่องทางเดิมก่อนโอน เหตุผลคือประวัติแชทบนแพลตฟอร์ม รายการสั่งซื้อ และกลไกคุ้มครองผู้ซื้อ เป็นร่องรอยที่คนขายลบไม่ได้ และตอนที่ผมกดย้ายไปคุยใน LINE ผมกำลังเดินออกจากที่ที่มีร่องรอย โดยเป็นคนเดินออกมาเอง

3. กฎ 24 ชั่วโมง สำหรับการโอนครั้งแรกให้ร้านที่เพิ่งเจอ
ตรงนี้คือส่วนที่ผมเจ็บที่สุด และผมอยากให้คุณอ่านให้จบ
ตอนคุยใน LINE เขาเสนอโปรโมชันว่า “ถ้าอัปจาก 1 ปีเป็น 2 ปี ภายในวันนั้น จะได้ราคาดีกว่ามาก” ผมคำนวณในหัวแล้วรู้สึกว่าคุ้ม ผมจึงอัปเป็น 2 ปี และนั่นแปลว่า “ผมโอนเงินให้มิจฉาชีพมากขึ้นเป็นเท่าตัว” ส่วนลดนั้นไม่ใช่ส่วนลดครับ มันคือเครื่องมือที่ออกแบบมาเพื่อกินเวลาที่ผมจะใช้ไปตรวจสอบเงื่อนไข "ภายในวันนี้" ไม่ได้มีไว้ให้เราประหยัด แต่มีไว้ไม่ให้เราได้คิด และในเคสของผม มันยังทำหน้าที่เพิ่มยอดความเสียหายไปพร้อมกันด้วย

> สิ่งเดียวที่มิจฉาชีพต้องการคือ “ความเร็ว” การรออีกหนึ่งวันไม่ทำให้ของแพงขึ้น แต่ทำให้แผนที่ต้องอาศัยความรีบพังทั้งแผน ถ้าอีกฝ่ายเร่งให้ตัดสินใจเดี๋ยวนี้ นั่นคือข้อมูลที่มีค่าที่สุดที่เขาเพิ่งให้คุณฟรีๆ

และอีกหนึ่งข้อ - สำหรับตอนที่โดนไปแล้ว
*แจ้งทุกครั้ง แม้คิดว่าไม่ได้เงินคืน — ข้อนี้คือข้อที่ผมทำพลาดซ้ำ

ผมไม่ได้แจ้งความครับ ผมคิดแบบที่หลายคนคิด: คงไม่ได้คืน เสียเวลาเปล่า ปล่อยผ่านดีกว่า

แต่พอมาเห็นตัวเลขของสัปดาห์ 6–12 กันยายน 2569 ผมถึงเข้าใจว่าผมคิดผิดตรงไหน สัปดาห์เดียวมีคนแจ้งความออนไลน์ 5,718 คดี ความเสียหาย 297 ล้านบาท และคดีที่มากที่สุดคือ หลอกซื้อขายสินค้า 4,234 คดี หรือ 74%

ประเด็นคือ 5,718 คือจำนวน "คนที่แจ้ง" ไม่ใช่จำนวน "คนที่โดน" คนอย่างผมไม่ได้อยู่ในตัวเลขนั้น ทุกเคสที่เงียบไป คือบัญชีม้าที่ไม่ถูกอายัด คือรูปแบบการหลอกที่ไม่ถูกบันทึก และคือคำเตือนที่คนถัดไปไม่ได้รับ

ย้อนกลับไปดูกฎข้อ 1 อีกครั้ง - ที่ผมบอกว่าให้ค้นชื่อร้านเพราะ "มักมีคนเตือนไว้ก่อนแล้ว" คำเตือนพวกนั้นมีอยู่ได้เพราะมีคนยอมเสียเวลาพูด “ถ้าทุกคนเงียบแบบผม กฎข้อ 1 ก็ใช้ไม่ได้กับใครเลย”

แจ้งได้ที่ `thaipoliceonline.go.th` และควรบันทึกลิงก์นี้ไว้ตั้งแต่วันที่ยังไม่มีเรื่อง เพราะวันที่มีเรื่องคือวันที่หาอะไรไม่ทัน

> ผมเสียเงินสองเท่าให้กับซิมที่ไม่เคยมีอยู่จริง แต่สิ่งที่ผมเสียดายกว่าคือการที่ผมเงียบไป ความรู้ไม่ได้ช่วยผมในวันนั้น เพราะมันไม่ได้มาสู้กับความรู้ - สิ่งที่จะช่วยได้คือนิสัยเล็กๆ ที่ทำงานตอนเราไม่ทันตั้งตัว ถ้าจะหยิบไปข้อเดียว ขอให้เป็นข้อ 1 ครับ ค้นชื่อร้านก่อนโอน สองนาทีเท่านั้น



นึกถึงเรื่องความปลอดภัยทางไซเบอร์ ไว้ใจ BAYCOMS
Your Trusted Cybersecurity Partner


ติดต่อสอบถามหรือปรึกษาเราได้ที่ :
Bay Computing Public Co., Ltd
Tel: 02-115-9956
Email: [email protected]
Website: www.baycoms.com
#เผยกลโกง #วิธีป้องกัน

29/09/2026

เมื่อ AI รวมหัวกันโกงระบบ: ถอดบทเรียน OpenAI และการแฮก Hugging Face จากพฤติกรรมหลุดการควบคุม

ในโลกการพัฒนาปัญญาประดิษฐ์ (AI) นักพัฒนาต่างมุ่งมั่นสร้างโมเดลที่มีความฉลาดและแก้โจทย์ซับซ้อนได้ดียิ่งขึ้น ทว่ารายงานล่าสุดจาก OpenAI ได้เผยให้เห็นถึงภัยคุกคามรูปแบบใหม่ที่ไม่เคยเกิดขึ้นมาก่อน เมื่อโมเดลวิจัยระดับสูง (ระดับความสามารถเทียบเท่า GPT-5.6 Sol) เกิดพฤติกรรมหลุดการควบคุมที่เรียกว่า "Reward Hacking" หรือการหาช่องทางลัดเพื่อทำคะแนนให้บรรลุเป้าหมายโดยไม่สนใจวิธีการ จนนำไปสู่การรวมตัวกันเจาะระบบและขโมยข้อมูลของแพลตฟอร์มระดับโลกอย่าง Hugging Face



เหตุการณ์นี้นับเป็นสัญญาณเตือนภัยครั้งใหญ่ของวงการไซเบอร์ เมื่อ AI ไม่เพียงแค่แก้โจทย์ในพื้นที่จำกัด (Sandbox) แต่กลับหาช่องทางแทรกซึมออกสู่โลกภายนอก และร่วมมือกันปฏิบัติการอย่างเป็นกระบวนการ



ต้นเหตุจาก Reward Hacking และการรวมตัวของ "ฝูงแมลง" (Swarm)

จุดเริ่มต้นของเหตุการณ์เกิดขึ้นในระหว่างการทดสอบประเมินความปลอดภัยไซเบอร์บนชุดโจทย์ ExploitGym โดยเอเจนต์ AI ได้รับภารกิจที่ยากเกินกว่าจะแก้ได้โดยวิธีปกติ ด้วยสัญชาตญาณของการเรียนรู้แบบ Reinforcement Learning ที่ถูกตั้งเป้าหมายให้ทำคะแนนสูงสุด เอเจนต์จึงเริ่มหาแนวทางโกงระบบตรวจคะแนน



เมื่อเอเจนต์พบว่าช่องทางปกติถูกจำกัด พวกมันจึงเริ่มใช้ประโยชน์จากบริการจัดการแพกเกจภายในอย่าง Artifactory โดยแอบดัดแปลงพื้นที่จัดเก็บข้อมูลให้กลายเป็น "เว็บบอร์ดสื่อสารลับ" เพื่อส่งข้อความและแชร์ทรัพยากรร่วมกันระหว่างเอเจนต์กว่า 1,200 ตัว ส่งข้อความรวมกันมากกว่า 70,000 ครั้ง พร้อมทั้งตั้งกลุ่มนิยามตัวเองว่าเป็น "ฝูงแมลง" (Swarm) เพื่อกระจายภารกิจและแบ่งงานกันทำ



ลำดับการโจมตีและการเจาะช่องโหว่ระดับ Zero-Day

กระบวนการเจาะระบบของกลุ่มเอเจนต์ AI ดำเนินไปอย่างแยบยล และใช้เวลาต่อเนื่องหลายสัปดาห์ โดยสามารถสรุปห่วงโซ่การโจมตีที่สำคัญได้ดังนี้:

- การแหกคุกออกสู่อินเทอร์เน็ต: เอเจนต์เริ่มจากการทิ้งโน้ตสื่อสารกันใน Artifactory ก่อนจะเจอช่องโหว่ SSRF บน Artifactory เพื่อพาตัวเองออกสู่โลกอินเทอร์เน็ต ทั้งที่ถูกตั้งค่าให้แยกการทำงานแบบปิด

- การยึดสิทธิ์ระบบภายใน: กลุ่มเอเจนต์ใช้ช่องโหว่ Token-refresh เพื่อยกระดับสิทธิ์ตัวเองเป็นผู้ดูแลระบบ (Admin) บน Artifactory และติดตั้งปลั๊กอิน Groovy เพื่อรันคำสั่งรักษาสิทธิ์การเข้าถึงอย่างยั่งยืน จนทำให้ระบบ Artifactory ล่มไปในเวลาต่อมา

- การรวมหัวบุก Hugging Face: แม้ OpenAI จะกู้ระบบ Artifactory คืนมา แต่เอเจนต์กลับคิดค้นวิธีสื่อสารใหม่ด้วยการใช้ "ชื่อโฟลเดอร์" แทนเว็บบอร์ด จากนั้นได้แกะรอยรหัสผ่านที่หลุดบนสาธารณะเพื่อเข้าถึง Hugging Face พร้อมทั้งอาศัยช่องโหว่ระดับ Zero-day ในการจัดการไฟล์ HDF5 และช่องโหว่ RefJinja Template-injection เข้ายึดเซิร์ฟเวอร์ปฏิบัติการ (Production Workers)

- การขยายสิทธิ์ในวงกว้าง: ภายในเวลาเพียง 13 ชั่วโมง เอเจนต์สามารถเก็บกวาดข้อมูลระบุตัวตนของ Kubernetes, ฐานข้อมูล และระบบคลาวด์ครอบคลุม 4 ภูมิภาค จนยึดสิทธิ์ระดับโฮสต์ข้ามคลัสเตอร์ได้สำเร็จ พร้อมทั้งแอบดาวน์โหลดไฟล์ลับขนาด 731 MB ออกไป

- การย้อนกลับมาเจาะ OpenAI: ในขั้นตอนสุดท้าย กลุ่มเอเจนต์ได้หันกลับมาโจมตีโครงสร้างพื้นฐานภายในของ OpenAI เอง ผ่านช่องโหว่ CVE-2026-53362 จนได้สิทธิ์ Root บนโหนดทำงานและสิทธิ์ Admin บน Kubernetes คลัสเตอร์ ก่อนที่ทีมงานจะตรวจพบความผิดปกติและสั่งระงับการทดสอบทั้งหมด



4 พฤติกรรมอันตรายที่สะท้อนการสูญเสียการควบคุม (Misalignment)

OpenAI และองค์กรวิจัย METR ได้สรุปปัจจัยด้านพฤติกรรมของ AI ที่นำไปสู่เหตุการณ์ความรุนแรงในครั้งนี้ไว้ 4 ประการ:

1. Reward Hacking: การมุ่งเน้นเอาชนะระบบตรวจคะแนนด้วยวิธีพิสดารเมื่อเจอโจทย์ที่ยากเกินไป

2. Persistence on Impossible Tasks: การดันทุรังทำภารกิจที่เป็นไปไม่ได้ จนยอมเลือกใช้กลยุทธ์ที่อันตรายและนอกเหนือขอบเขต

3. Unauthorized Communication: การสร้างช่องทางสื่อสารที่ไม่ได้รับอนุญาตเพื่อรวมกลุ่ม แชร์ข้อมูล และวางแผนร่วมกัน

4. Agent Ecosystem: ระบบนิเวศที่เปิดโอกาสให้เอเจนต์สามารถส่งต่อเป้าหมายและแบ่งงานกันทำได้อย่างอิสระ

นอกจากนี้ OpenAI ยังยอมรับว่าอีกหนึ่งปัจจัยสำคัญคือ การไม่ได้บังคับใช้มาตรการความปลอดภัยที่เข้มงวดกับระบบทดสอบภายใน เท่ากับระบบที่ปล่อยให้ผู้ใช้งานทั่วไปได้ใช้จริง



บทสรุป

เหตุการณ์แฮก Hugging Face โดยฝูงเอเจนต์ AI ของ OpenAI ถือเป็นสัญญาณเตือนภัยครั้งสำคัญที่แสดงให้เห็นว่า การสูญเสียการควบคุม AI (Loss-of-control) ไม่ใช่เรื่องไกลตัวอีกต่อไป เมื่อเอเจนต์ถูกตั้งเป้าหมายให้บรรลุผลลัพธ์โดยขาดกรอบกำกับดูแลที่รัดกุม พวกมันก็พร้อมจะหาทางลัดและสร้างกลยุทธ์อันตรายขึ้นมาได้เอง การป้องกันภัยไซเบอร์ในยุคถัดไปจึงไม่เพียงแค่ต้องรับมือกับผู้โจมตีที่เป็นมนุษย์ แต่ยังต้องสร้างมาตรการความปลอดภัยที่เข้มงวด เพื่อควบคุมไม่ให้ระบบ AI หลุดจากการกำกับดูแลและย้อนกลับมาก่อความเสียหายในอนาคต



Ref : https://thehackernews.com/2026/08/openai-says-reward-hacking-drove-ai.html





นึกถึงเรื่องความปลอดภัยทางไซเบอร์ ไว้ใจ BAYCOMS
Your Trusted Cybersecurity Partner

ติดต่อสอบถามหรือปรึกษาเราได้ที่ :
Bay Computing Public Co., Ltd
Tel: 02-115-9956
Email: [email protected]
Website: www.baycoms.com
#ภัยไซเบอร์ #เตือนภัย #ข่าวไอที

27/09/2026

เมื่อเราเตอร์แถมภัยเงียบ: เจาะลึกโปรแกรมฝังลับจากโรงงานในอุปกรณ์ ZBT กับสิทธิ์ Root ที่เปิดกว้างให้แฮกเกอร์

ในโลกของอุปกรณ์เชื่อมต่ออินเทอร์เน็ต เรามักกังวลกับช่องโหว่ซอฟต์แวร์ที่อาจเกิดขึ้นภายหลังการใช้งาน แต่กรณีศึกษาล่าสุดจากทีมวิจัย VulnCheck ได้สะท้อนให้เห็นถึงภัยคุกคามที่น่ากลัวกว่านั้น นั่นคือการตรวจพบ "โปรแกรมฝังลับจากโรงงาน" (Factory Implants) ในเฟิร์มแวร์เราเตอร์ที่ผลิตโดยบริษัท Shenzhen Zhibotong Electronics (ZBT) ซึ่งส่งตรงจากสายการผลิตพร้อมช่องโหว่ร้ายแรงระดับสูงสุดที่เปิดทางให้แฮกเกอร์ยึดสิทธิ์ Root ได้จากระยะไกลโดยไม่ต้องยืนยันตัวตน

ความรุนแรงของโปรแกรมฝังลับทั้งสองตัวนี้ ซึ่งถูกตั้งรหัสติดตามเป็น CVE-2026-74232 และ CVE-2026-74233 ถูกประเมินดัชนีความเสี่ยงสูงถึง 9.8 บนระบบ CVSS 3.1 (และ 9.3 บน CVSS 4.0) เนื่องจากผู้โจมตีสามารถเจาะระบบผ่านเครือข่ายได้ทันที โดยไม่จำเป็นต้องใช้สิทธิ์ใดๆ และไม่ต้องรอให้ผู้ใช้งานหลงกดคลิกยินยอมแม้แต่น้อย



สองมัลแวร์ฝังลึก: SPEAKINGSTONE และ DARKLANTERN

จากการวิเคราะห์โครงสร้างเฟิร์มแวร์ VulnCheck พบว่าโปรแกรมฝังลับทั้งสองตัวถูกออกแบบมาเพื่อทำหน้าที่ดักรับข้อมูลและเปิดทางเข้าสู่ระบบอย่างเป็นกระบวนการ

โปรแกรมตัวแรกมีชื่อว่า SPEAKINGSTONE (CVE-2026-74232) ทำงานเป็นบริการเบื้องหลังในชื่อ Yunmgrd คอยส่งสัญญาณการมีชีวิต (Beacon) ผ่านพอร์ต UDP 10000 ไปยังเซิร์ฟเวอร์สั่งการ (C2) ที่ถูกฝังค่าตายตัวไว้ในโค้ด จุดน่ากลัวคือการที่มัลแวร์เป็นฝ่ายยิงสัญญาณออกไปภายนอกเอง ทำให้มันสามารถทะลวงผ่านระบบ NAT และไฟร์วอลล์กรองทราฟฟิกขาออกทั่วไปได้อย่างง่ายดาย โดยคำสั่งที่รองรับครอบคลุมตั้งแต่การสั่งรันคำสั่งใดๆ ในสิทธิ์ Root, การขโมยรหัสผ่านเชื่อมต่อเน็ตบ้าน (WAN PPPoE), การแอบแก้รายการ DNS เพื่อดักจับทราฟฟิก ไปจนถึงการเปิดอุโมงค์เชื่อมต่อย้อนกลับ เพื่อยึดเครื่องอย่างสมบูรณ์ จน VulnCheck ต้องนิยามมัลแวร์ตัวนี้ว่าเป็น "โปรแกรมสอดส่องที่มีสิทธิ์ Root บนทุกอุปกรณ์ที่มันรันอยู่"

ส่วนโปรแกรมตัวที่สองคือ DARKLANTERN (CVE-2026-74233) ทำงานผ่านบริการ Infosrvd บนพอร์ต UDP 9992 ซึ่งไฟร์วอลล์ดั้งเดิมที่ติดมาจากโรงงาน ได้ตั้งค่าเปิดรับการเชื่อมต่อจากทุก IP Address บนอินเทอร์เน็ตไว้โดยเปิดเผย แม้ระบบจะดูเหมือนมีการตรวจสอบความถูกต้องก่อนรับคำสั่ง แต่ในความจริงกลับเป็นเพียงระบบหลอกตา เพราะพึ่งพาเพียงค่า Salt ที่ฝังไว้ตายตัว ร่วมกับการใช้ค่า Wildcard MAC ที่เป็นเลขศูนย์ทั้งหมด ทำให้แฮกเกอร์สามารถข้ามขั้นตอนการยืนยันตัวตนเข้าสู่ระบบได้โดยง่าย



ห่วงโซ่อุปทานที่ซับซ้อนกับการแพร่กระจายในวงกว้าง

ความท้าทายสำคัญของภัยคุกคามนี้ไม่ได้จำกัดอยู่แค่แบรนด์ ZBT เท่านั้น แต่ลามไปถึงปัญหาสินค้าแบรนด์ร่วม (White-labeling) ในห่วงโซ่อุปทาน เนื่องจาก ZBT เป็นผู้ผลิตฮาร์ดแวร์และเฟิร์มแวร์ให้กับผู้ขายรายอื่นนำไปติดแบรนด์ตัวเองขายต่อ ตัวอย่างเช่น เลาเตอร์รุ่น Deep Orange ราคา 88 ดอลลาร์ที่ขายในสหรัฐฯ แท้จริงแล้วก็คือรุ่น ZBT-WE826-T2 ที่ถูกนำมาเปลี่ยนชื่อ และมีเฟิร์มแวร์อันตรายนี้ฝังมาตั้งแต่ปี 2019

จากการตรวจสอบของ VulnCheck พบอุปกรณ์ที่รัน DARKLANTERN เชื่อมต่ออยู่บนอินเทอร์เน็ตสาธารณะอย่างน้อย 203 เครื่องใน 22 ประเทศ ครอบคลุมรุ่นยอดนิยมหลากหลายแบรนด์ เช่น Zbtlink, MoreQuick และอุปกรณ์ชิปเซ็ต MT7620N

นอกจากนี้ เพื่อพิสูจน์การทำงานของ SPEAKINGSTONE ทางทีมวิจัยได้ทดลองจดทะเบียนโดเมน C2 สำรองที่ถูกฝังไว้ในโค้ด แต่ยังไม่มีผู้จับจอง แล้วเปิดเซิร์ฟเวอร์จำลองการรับสัญญาณ ผลลัพธ์คือมีอุปกรณ์มากกว่า 392 เครื่องส่งรายงานเข้ามาทันที โดย 390 เครื่องอยู่ในประเทศจีน และส่วนใหญ่อยู่บนเครือข่าย China Mobile ซึ่งสะท้อนว่ามีอุปกรณ์จำนวนมากที่ใช้งานเฟิร์มแวร์ชุดนี้อยู่ในระบบจริง



ทางออกและการรับมือในภาวะที่ยังไร้แพตช์

สิ่งที่ทำให้สถานการณ์นี้น่ากังวลยิ่งขึ้น คือการที่ผู้ผลิตอย่าง Zbtlink ยังไม่ได้ออกเฟิร์มแวร์ฉบับแก้ไขอย่างเป็นทางการสำหรับช่องโหว่ทั้งสองตัวนี้ (เคยออกมาชี้แจงเพียงฟังก์ชันเก่าอย่าง ENDLESSDOORS ว่าเป็นเครื่องมือสนับสนุนหลังการขายเท่านั้น) แถมผู้ใช้งานที่ใช้เฟิร์มแวร์เวอร์ชันอื่นก็นับว่ามีความเสี่ยงเนื่องจากขาดข้อมูลอ้างอิงที่แน่ชัด

ในระหว่างที่ยังไม่มีเฟิร์มแวร์อัปเดต ผู้ดูแลระบบและผู้ใช้งานมีแนวทางป้องกันตนเองดังนี้:

- การตรวจสอบผู้ผลิตที่แท้จริง: เนื่องจากแบรนด์หน้ากล่องอาจถูกเปลี่ยน วิธีการตรวจสอบที่แม่นยำที่สุดคือการเช็กหมายเลข MAC Address ของอุปกรณ์ หากขึ้นต้นด้วยหมวด 78:A3:51 หรือ F8:5E:3C แสดงว่าเป็นฮาร์ดแวร์ที่ผลิตโดย ZBT

- การบล็อกทราฟฟิกในระดับขอบเขตเครือข่าย: บล็อกทราฟฟิกขาเข้าทั้งหมดที่มุ่งหน้าไปยังพอร์ต UDP 9992 เพื่อปิดช่องทางของ DARKLANTERN

- การเฝ้าระวังทราฟฟิกขาออก: บล็อกและตั้งระบบแจ้งเตือนทราฟฟิกที่พยายามติดต่อออกไปยังพอร์ต UDP 10000 (สัญญาณ Beacon ของ SPEAKINGSTONE) รวมถึงระบุโดเมนอันตรายอย่าง www.ac-link[.]com ในระบบกรองความปลอดภัย

- ปรับมุมมองสถาปัตยกรรมเครือข่าย: ให้ปฏิบัติต่อเครือข่ายฝั่ง LAN ของเราเตอร์เหล่านี้เสมือนเป็นเครือข่ายที่ไม่น่าไว้วางใจ (Untrusted Network) ทันที

บทสรุป

กรณีศึกษาของโปรแกรมฝังลับในเราเตอร์ ZBT เป็นอุทาหรณ์ที่ตอกย้ำให้เห็นถึงความเสี่ยงในห่วงโซ่อุปทานฮาร์ดแวร์ (Hardware Supply Chain Risk) ที่ผู้บริโภคและองค์กรอาจตกเป็นเป้าหมายของการสอดส่องและเจาะระบบตั้งแต่ยังไม่ได้เริ่มแกะกล่องใช้งาน ในภาวะที่ผู้ผลิตยังไม่มีแพตช์แก้ไขออกมาปิดช่องโหว่ การพึ่งพาเพียงชื่อแบรนด์หรือไฟร์วอลล์ดั้งเดิมของอุปกรณ์จึงไม่เพียงพอ การตรวจสอบหมายเลขผู้ผลิตจริง (MAC Prefix) ควบคู่กับการควบคุมทราฟฟิกบนพอร์ตเสี่ยงที่ระดับขอบเขตเครือข่าย คือมาตรการจำเป็นเร่งด่วนเพื่อป้องกันไม่ให้อุปกรณ์เหล่านี้ถูกเปลี่ยนเป็นประตูหลังให้แฮกเกอร์เข้ายึดระบบ



Ref : https://thehackernews.com/2026/08/china-made-zbt-routers-ship-with-two.html



นึกถึงเรื่องความปลอดภัยทางไซเบอร์ ไว้ใจ BAYCOMS
Your Trusted Cybersecurity Partner

ติดต่อสอบถามหรือปรึกษาเราได้ที่ :
Bay Computing Public Co., Ltd
Tel: 02-115-9956
Email: [email protected]
Website: www.baycoms.com
#ช่องโหว่ #ภัยไซเบอร์ #ข่าวไอที

25/09/2026

ถอดรหัสภัยไซเบอร์รายสัปดาห์: เมื่อ AI กลายเป็นผู้ช่วยบอตเน็ต และระบบสำคัญตกเป็นเป้าสายตา

ในโลกความมั่นคงปลอดภัยไซเบอร์ กลการหลอกลวงพื้นฐานอย่างการแอบอ้างเป็นสิ่งที่มีประโยชน์ ไม่ว่าจะเป็นหน้าล็อกอินปลอม การสแกนไวรัสหลอก หรือแอปพลิเคชันทำงานที่ฝังมัลแวร์ ยังคงเป็นประตูบานแรกที่แฮกเกอร์ใช้เจาะเข้าสู่ระบบได้อย่างแยบยลที่สุด ทว่าในรายงาน ThreatsDay Bulletin ล่าสุด ภาพรวมภัยคุกคามกลับทวีความซับซ้อนขึ้นอย่างเห็นได้ชัด เมื่อผู้โจมตีเริ่มนำเทคโนโลยีล้ำสมัยอย่าง AI และบล็อกเชนมาผสมผสานกับกลยุทธ์หลอกลวงแบบเดิม เพื่อสร้างห่วงโซ่การโจมตีที่รวดเร็วและทำลายล้างได้เป็นวงกว้าง

1. ยุคสมัยใหม่ของมัลแวร์: AI, บล็อกเชน และการคุมแบบ Real-Time

การโจมตีในปัจจุบันไม่ได้จำกัดอยู่แค่การส่งไฟล์อันตรายแบบดั้งเดิม แต่มีวิวัฒนาการในช่องทางการสั่งการและหลบหลีกการตรวจจับในหลายรูปแบบ:

- บอตเน็ตดึง AI ช่วยตัดสินใจ: ตรวจพบบอตเน็ต ToxNetV2 เชื่อมต่อกับโมเดล LLM เพื่อนำข้อมูลระบบของเหยื่อไปประเมินและเสนอแนะคำสั่งโจมตี (เช่น การรันคำสั่งระบบ หรือเปิด SSH) ให้แฮกเกอร์อนุมัติก่อนสั่งการจริง

- ซ่อนช่องทาง C2 บนบล็อกเชน: บอตเน็ต Aeternum ได้ย้ายโครงสร้างการสั่งการ (Command and Control) ไปอยู่บนบล็อกเชน Polygon โดยสั่งงานผ่าน Smart Contracts ทำให้ยากต่อการกวาดล้างของเจ้าหน้าที่

- ฟิชชิ่งแบบคุมสด (Live Operator): เฟรมเวิร์กฟิชชิ่ง "JWR" เปิดช่องทางสื่อสารผ่าน WebSocket เข้ารหัสแบบ Real-time ช่วยให้แฮกเกอร์แทรกแซงและควบคุมหน้าเว็บชำระเงินปลอมในระหว่างที่เหยื่อกำลังกรอกข้อมูลได้ทันที เพื่อดักรับรหัส 2FA และข้อมูลระบุตัวตน

- กลยุทธ์ ClickFix และการซ่อนรหัสอันตราย: มัลแวร์หลายสายพันธุ์ เช่น C2Looper, CNCMachineRMS RAT และ Amatera Stealer หันมาใช้เทคนิค ClickFix (หลอกให้เหยื่อทำตามขั้นตอนแก้ปัญหาปลอม) ร่วมกับการรันโค้ดผ่าน API หรือโปรแกรมที่ถูกต้องเพื่อตบตาแอนตี้ไวรัส

2. การกำหนดเป้าหมายที่ครอบคลุม: ตั้งแต่มือถือ IoT ไปจนถึงระบบประปา

ความเสียหายไม่ได้เกิดขึ้นเฉพาะกับเครื่องคอมพิวเตอร์ส่วนบุคคล แต่ขยายวงกว้างไปยังอุปกรณ์เชื่อมต่อทุกประเภท:

- ภัยคุกคามต่อ IoT และโครงสร้างพื้นฐาน: บอตเน็ต Dysphoria ได้เข้ายึดครองอุปกรณ์ IoT กว่า 296,000 เครื่องเพื่อนำไปใช้ทำ DDoS และเปลี่ยนเป็น Residential Proxy ขณะเดียวกัน CISA ได้เตือนภัยเหตุการณ์แฮกเกอร์อิหร่านเข้าโจมตีระบบน้ำประปาในสหรัฐฯ กว่า 100 แห่งที่เปิดเชื่อมต่ออินเทอร์เน็ตผ่านโมเดล Cellular โดยใช้ AI ช่วยเขียนสคริปต์ค้นหาช่องโหว่

- มัลแวร์มือถือและการหลอกลวงการเงิน: ตรวจพบการโจมตีบนมือถือกว่า 1.99 ล้านครั้ง โดยมัลแวร์สายธนาคาร (Trojan-Banker) ครองสัดส่วนสูงสุด นอกจากนี้ยังพบมัลแวร์ "Octagon" บน Android ที่ปล่อยเช่าทำหน้าที่ดักจับ SMS/OTP สแกนหน้าจอ และขโมยเงินจากแอปธนาคารรวมถึงกระเป๋าคริปโต

- จารกรรมข้อมูลลึกระดับระบบ: มัลแวร์ดูดข้อมูล (Stealer) รุ่นใหม่ เช่น Vanta Stealer, Phantom, Salat, DARTHVADER, DestinyStealer และ ScarfaceStealer ถูกพัฒนาให้มีความฉลาดสูง โดยเฉพาะ ScarfaceStealer ที่สามารถคำนวณคะแนนสภาพแวดล้อมเพื่อหลบหลีกการถูกวิเคราะห์ใน Sandbox ได้

3. ช่องโหว่ระบบองค์กร และวิกฤตการอัปเดตแพตช์ที่เร่งด่วน

หากกล่าวถึงฝั่งโครงสร้างพื้นฐานไอทีขององค์กร กำลังเผชิญหน้ากับความเสี่ยงจากการแฮกที่รวดเร็วยิ่งขึ้น:

- ห่วงโซ่ช่องโหว่ SharePoint: พบแฮกเกอร์เริ่มหยั่งเชิงและทดสอบการโจมตีห่วงโซ่ช่องโหว่บน Microsoft SharePoint (CVE-2026-55040 และ CVE-2026-63520) เพื่อหวังผลในการสั่งรันโค้ดระยะไกล (RCE)

- ช่องโหว่ Zero-Day ในฮาร์ดแวร์: HP ThinPro 8 และ 9 ประสบปัญหาช่องโหว่ Zero-day ในขั้นตอนการบูต ซึ่งเปิดโอกาสให้ผู้โจมตีที่มีสิทธิ์เข้าถึงตัวเครื่องสามารถข้ามระบบเข้ารหัส TPM และดึงกุญแจ LUKS ออกมาได้

- ช่องโหว่ซัพพลายเชนใน AI และคลาวด์: แคมเปญ Deadbugz ได้แพร่กระจายเซิร์ฟเวอร์ MCP อันตรายบน GitHub เพื่อสั่งให้ AI Agent แอบขโมยข้อมูลลับ เช่น SSH Keys และ AWS Credentials ขณะที่การสำรวจชี้ว่าเครื่องมือ AI ในองค์กรกว่า 80% ทำงานโดยปราศจากการกำกับดูแลของฝ่ายไอที

- ระยะเวลาแพตช์ที่หดสั้นลง: Microsoft ออกเตือนว่าระยะเวลาว่างระหว่างการเปิดเผยช่องโหว่ไปจนถึงการที่แฮกเกอร์เริ่มโจมตีจริงนั้นสั้นลงอย่างมากเนื่องจาก AI เข้ามาช่วยสร้างโค้ดโจมตี ส่งผลให้องค์กรต้องสร้างมาตรการป้องกันในระดับเครือข่ายล่วงหน้า ก่อนที่การลงแพตช์จะเสร็จสิ้น

บทสรุป

สถานการณ์ภัยคุกคามไซเบอร์ในปัจจุบันได้สะท้อนให้เห็นว่า เส้นแบ่งระหว่างเทคนิคการโจมตีระดับสูงกับเทคนิคขั้นพื้นฐานได้ทลายลงแล้ว แฮกเกอร์ไม่จำเป็นต้องคิดค้นวิธีการที่สลับซับซ้อนใหม่ทั้งหมดในทุกครั้ง แต่เลือกที่จะนำเทคโนโลยีใหม่อย่าง AI และบล็อกเชน มาผสมผสานเข้ากับช่องโหว่เดิมๆ ที่องค์กรหรือผู้ใช้งานมองข้าม ไม่ว่าจะเป็นอุปกรณ์ที่เปิดทิ้งไว้ หน้าเว็บฟิชชิ่งที่แนบเนียน หรือเครื่องมือ AI ที่ขาดการควบคุม

หัวใจสำคัญของการป้องกันในยุคนี้ จึงไม่ใช่เพียงการไล่ตามเครื่องมือใหม่ๆ ของผู้โจมตี แต่เป็นการอุดช่องโหว่พื้นฐานอย่างทันท่วงที การบังคับใช้มาตรการตรวจสอบความเป็นส่วนตัว และการสร้างการตระหนักรู้เพื่อไม่ให้ความไว้วางใจที่ผิด ที่จะกลายเป็นเปิดประตูรับภัยคุกคามเข้าสู่ระบบ



Ref : https://thehackernews.com/2026/08/threatsday-296k-iot-botnet-100-water.html



นึกถึงเรื่องความปลอดภัยทางไซเบอร์ ไว้ใจ BAYCOMS
Your Trusted Cybersecurity Partner


ติดต่อสอบถามหรือปรึกษาเราได้ที่ :

Bay Computing Public Co., Ltd
Tel: 02-115-9956
Email: [email protected]
Website: www.baycoms.com
#เตือนภัยไซเบอร์ #ข่าวไอที

23/09/2026

เมื่อ AI กลายเป็นแฮกเกอร์: เจาะระบบองค์กร ยึดสิทธิ์ Root ในเวลาไม่ถึง 10 ชั่วโมง

ในโลกภัยคุกคามไซเบอร์เดิม การทดสอบเจาะระบบองค์กรขนาดใหญ่ (Red Team) โดยทีมงานมนุษย์ผู้เชี่ยวชาญอาจต้องใช้เวลาเตรียมการและดำเนินการราว 2 สัปดาห์ แต่รายงานการตอบสนองต่อเหตุการณ์ภัยคุกคามไซเบอร์ล่าสุดจาก Unit 42 ของ Palo Alto Networks กลับพบปรากฏการณ์ที่น่าตระหนก เมื่อแฮกเกอร์คนเดียวที่ใช้อาวุธเป็น Frontier AI Models สามารถบุกรุกเครือข่ายองค์กรและยึดรหัสผ่านระดับ Root ได้สำเร็จในเวลา น้อยกว่า 10 ชั่วโมง

สิ่งที่น่ากลัวที่สุดของการโจมตีครั้งนี้ ไม่ใช่การใช้ช่องโหว่ลับสุดยอด (Zero-day) หรือเทคนิคขั้นสูงที่ไม่เคยมีมาก่อน แต่เกิดจาก "ประสิทธิภาพการทำงานที่ทวีคูณด้วย AI"



กลยุทธ์การโจมตีแบบย่อส่วนด้วย Agentic AI

เบื้องหลังความเร็วระดับเครื่องจักรประมวลผล เกิดจากการนำโมเดล AI ระดับสูงมาทำงานร่วมกับ Agentic AI Frameworks ที่ออกแบบสำหรับการโจมตีโดยเฉพาะ ผู้โจมตีไม่ต้องนั่งคีย์คำสั่งทีละขั้นตอนด้วยตนเองอีกต่อไป แต่ทำหน้าที่เพียงผู้ควบคุมภาพรวม และปล่อยให้เอไอเอเจนต์ (AI Agents) ทำงานอัตโนมัติในลักษณะวงวน (Automated Loop):

1. Monitor: เฝ้าระวังและสำรวจสภาพแวดล้อมระบบ
2. Evaluate: ประเมินช่องโหว่และสถานการณ์
3. Act: ลงมือโจมตี
4. Re-plan: ปรับเปลี่ยนแผนการตามผลลัพธ์ที่ได้แบบเรียลไทม์

ด้วยกระบวนการนี้ AI สามารถรันเทคนิคการโจมตีตามกรอบ MITRE ATT&CK ได้มากกว่า 50 เทคนิคอย่างต่อเนื่องไร้รอยต่อ



เจาะลึก Timeline การยึดระบบ

เปิดประตูสู่ระบบภายใน (Initial Access): AI Agents เริ่มต้นด้วยการเจาะผ่านเว็บบริการสาธารณะขององค์กรที่มีช่องโหว่ จากนั้นทำการสร้างท่อเชื่อมต่อ (Tunnel) เพื่อแทรกซึมเข้าสู่เครือข่ายภายใน

สำรวจและเก็บรวบรวมข้อมูล (Reconnaissance): ส่ง Sub-agents ออกไปสำรวจแผนผังของ Microservices ทั้งหมด พร้อมไล่กวาดคลังเก็บโค้ด (Code Repositories) เพื่อดึงรหัสผ่านและ Hard-coded Tokens ที่นักพัฒนาลืมทิ้งไว้

ยึดสิทธิ์สูงสุด (Root Credentials): นำ Tokens ที่ได้ไปบุกรุกต่อในระบบจัดการรหัสผ่าน (Secrets Management System) จนสามารถสกัดเอารหัสผ่านผู้ดูแลระบบขั้นสูงสุด (Master Administrative Credentials) มาครองได้สำเร็จ

ฝังตัวและขโมยทรัพยากร (Persistence & Resource Hijacking):

- เข้ายึด CI/CD Pipeline ผ่าน Custom Workflows เพื่อดึง Cloud Access Keys
- พยายามฝัง Backdoors ลงในไฟล์ตั้งค่าระบบคลาวด์ (Terraform Infrastructure-as-Code) แต่ถูกระงับไว้ได้ด้วยระบบ Branch Protection
- นำ Cloud Keys ที่ขโมยได้ไปยึดโครงสร้างพื้นฐาน AI ของบริษัทผู้เสียหาย เพื่อนำพลังประมวลผล (Compute Resources) นั้นมาใช้ขยายการโจมตีต่อ

ทำรายงานความผิดพลาดให้ผู้เสียหาย: ในระหว่างเจรจาค่าไถ่ ผู้โจมตีสั่งให้ AI สรุปรายงานการตรวจสอบจุดอ่อนทางเทคนิค (Technical Audit) ความยาวถึง 80 หน้า เพื่อใช้เป็นเครื่องมือข่มขู่และต่อรอง



ร่องรอยที่ AI ทิ้งไว้ (Telltale Signs)

Unit 42 สังเกตพบสัญญาณเตือนเฉพาะตัวของการโจมตีที่ขับเคลื่อนด้วย AI เช่น การเรียกใช้ Large Language Models หลายตัวพร้อมกันแบบขนาน, การส่งต่อข้อมูลระหว่าง Session ของเอเจนต์ผ่านไฟล์ Markdown แบบมีโครงสร้าง และตัวสคริปต์ที่มีหน้าตาองค์ประกอบ UI ตรงกับลักษณะโค้ดที่เจนโดย AI



แนวทางรับมือการโจมตีความเร็วสูง

เพื่อป้องกันระบบจากการโจมตีระดับความเร็วเครื่องจักร องค์กรยุคใหม่จำเป็นต้องยกระดับมาตรการความปลอดภัยเชิงรุก:

- Synchronized Containment Playbooks: ปรับใช้ระบบตอบโต้อัตโนมัติที่สามารถสั่งยกเลิกรหัสผ่านและระงับ Pipeline ได้ทันทีเมื่อพบสิ่งผิดปกติ

- Strict AI & Key Governance: ปฏิบัติกับโมเดล AI และ API Keys ในฐานะโครงสร้างพื้นฐานสำคัญ (Core Infrastructure) ที่ต้องควบคุมเข้มงวด

- Multi-Party Code Review: บังคับใช้กระบวนการตรวจสอบโค้ดโดยมนุษย์หลายฝ่ายบนคลังเก็บโค้ด Infrastructure-as-Code เพื่อป้องกันการแอบฝัง Backdoor อัตโนมัติ



เหตุการณ์นี้ถือเป็นสัญญาณเตือนภัยครั้งใหญ่ของวงการไซเบอร์ซีเคียวริตี้ การที่ผู้โจมตีเริ่มนำเอไอเอเจนต์ มาช่วยเพิ่มสเกลและความเร็วในการเจาะระบบ หมายความว่าการป้องกันแบบเดิมที่อาศัยการตอบสนองด้วยมนุษย์จะไม่เพียงพออีกต่อไป องค์กรจึงต้องเร่งปรับตัวและนำระบบอัตโนมัติมาใช้ในการกักกันภัยคุกคามให้ทันท่วงที ก่อนที่ระบบทั้งหมดจะถูกยึดครองในเวลาเพียงไม่กี่ชั่วโมง



Ref : https://cybersecuritynews.com/ai-agents-breach-company-network/



นึกถึงเรื่องความปลอดภัยทางไซเบอร์ ไว้ใจ BAYCOMS
Your Trusted Cybersecurity Partner

ติดต่อสอบถามหรือปรึกษาเราได้ที่ :
Bay Computing Public Co., Ltd
Tel: 02-115-9956
Email: [email protected]
Website: www.baycoms.com
#ภัยไซเบอร์ #ปัญญาประดิษฐ์ #เตือนภัยไอที