สรุปสั้น
รายงานข่าวกรองภัยคุกคามรายสัปดาห์ของบริษัท CYFIRMA ฉบับวันที่ 1 ตุลาคม 2569 ระบุชื่อประเทศไทยเป็นหนึ่งในเป้าหมายหลักของกลุ่มแรนซัมแวร์ The Gentlemen พร้อมยกกรณีตัวอย่างเป็นบริษัทผู้จัดจำหน่ายและขึ้นรูปพลาสติกวิศวกรรม (engineering plastics) สัญชาติไทย–ญี่ปุ่นที่ถูกนำขึ้นเว็บไซต์ปล่อยข้อมูลของกลุ่ม โดยกลุ่มอ้างว่าได้ข้อมูลลับและข้อมูลอ่อนไหวขององค์กรไปแล้ว ทั้งนี้คำอ้างบนเว็บไซต์ปล่อยข้อมูลยังไม่ได้รับการยืนยันจากบริษัทเหยื่อ และยังไม่มีการเปิดเผยว่าข้อมูลที่ถูกขโมยมีอะไรบ้างหรือกระทบกี่ราย
The Gentlemen (รหัสติดตาม Storm-2697) เป็นกลุ่มแรนซัมแวร์แบบ RaaS ที่เพิ่งเปิดตัวช่วงเดือนกันยายน 2568 แต่เติบโตเร็วที่สุดในรอบปี โดยช่วงกลางปี 2569 อ้างเหยื่อแล้วกว่า 500–580 รายใน 77 ประเทศ และเน้นภาคการผลิตเป็นพิเศษ จุดเด่นคือการแบ่งส่วนแบ่งค่าไถ่ให้สมาชิก (affiliate) สูงถึง 90% ซึ่งมากกว่าค่าเฉลี่ยในวงการที่ 70–80% จึงดึงดูดสมาชิกฝีมือดีเข้าร่วมจำนวนมาก รายงานของ CYFIRMA ระบุว่ากลุ่มนี้พุ่งเป้าไปที่สหรัฐฯ ฝรั่งเศส อินเดีย และไทย เป็นหลัก ซึ่งสอดคล้องกับรายงาน Q1/2569 ของ Check Point ที่เคยชี้ว่า The Gentlemen มีสัดส่วนเหยื่อในไทยเกือบ 11% ของทั้งหมด
รายละเอียดข่าว
เว็บไซต์ CYFIRMA รายงานเมื่อวันที่ 1 ตุลาคม 2569 ในรายงานข่าวกรองภัยคุกคามรายสัปดาห์ (Weekly Intelligence Report) ว่าในรอบสัปดาห์ที่ผ่านมา มีองค์กรในไทยถูกกลุ่มแรนซัมแวร์ The Gentlemen นำขึ้นเว็บไซต์ปล่อยข้อมูล โดยบรรยายเหยื่อว่าเป็น “ผู้จัดจำหน่ายและผู้ขึ้นรูปพลาสติกวิศวกรรมชั้นนำในไทยและเอเชียตะวันออกเฉียงใต้” เป็นกิจการร่วมทุนไทย–ญี่ปุ่นที่ก่อตั้งเมื่อปี 2533 สำนักงานใหญ่อยู่ย่านสมุทรปราการ/กรุงเทพฯ นำเข้าวัตถุดิบจากญี่ปุ่นมาแปรรูปในประเทศ ขายทั้งแผ่น แท่ง ท่อ และชิ้นงานกลึง CNC ตามสั่ง ป้อนให้อุตสาหกรรมยานยนต์ อาหารและบรรจุภัณฑ์ เซมิคอนดักเตอร์ เคมีภัณฑ์ น้ำมันและก๊าซ หุ่นยนต์ และระบบบำบัดน้ำ
จากการตรวจสอบของเว็บไซต์ติดตามภัยคุกคาม GalaxyWarden พบว่าชื่อเหยื่อที่ตรงกับคำบรรยายนี้คือบริษัท Technical Asia ซึ่งถูก The Gentlemen นำขึ้นเว็บไซต์ปล่อยข้อมูลตั้งแต่วันที่ 14 กันยายน 2569 ก่อนที่ CYFIRMA จะหยิบมาวิเคราะห์เป็นกรณีเด่นประจำสัปดาห์ล่าสุด อย่างไรก็ตามทั้งสองแหล่งย้ำตรงกันว่านี่เป็น “คำอ้างที่ยังไม่ได้รับการยืนยัน” จากเว็บไซต์ของกลุ่มแรนซัมแวร์เอง ยังไม่ทราบว่ามีการขโมยข้อมูลจริงหรือไม่ ข้อมูลประเภทใดถูกนำออกไป และบริษัทยังไม่ออกมายืนยันเหตุการณ์ต่อสาธารณะ
ในรอบสัปดาห์เดียวกัน CYFIRMA ยังบันทึกเหยื่อรายอื่นในภูมิภาค ได้แก่ บริษัทผลิตอิเล็กทรอนิกส์ในญี่ปุ่นที่ถูกกลุ่ม Qilin อ้างว่าได้ข้อมูลไป 66 GB และบริษัทรับเหมาก่อสร้างรายใหญ่ในอินเดียที่ถูกกลุ่ม Krybit อ้างว่าได้ข้อมูลไป 222 GB สะท้อนว่ากลุ่มแรนซัมแวร์รายใหญ่กำลังกดดันภาคการผลิตและโครงสร้างพื้นฐานทั่วเอเชียพร้อมกันหลายประเทศ
วิธีการโจมตี
รายงานของบริษัท Palo Alto Networks (Unit 42) ที่ถอดพฤติกรรมกลุ่ม The Gentlemen ไว้ก่อนหน้านี้ระบุว่า กลุ่มนี้เข้าถึงระบบเหยื่อครั้งแรก (initial access) ผ่านการเจาะช่องโหว่อุปกรณ์ขอบเครือข่าย (edge device) อย่างไฟร์วอลล์และ VPN การเดารหัสผ่านแบบ brute force การใช้บัญชีที่รั่วไหล และการซื้อช่องทางจากนายหน้าค้าการเข้าถึง (initial access broker) ช่องโหว่ที่พบว่ากลุ่มนำมาใช้ได้แก่ CVE-2024-55591 (Fortinet FortiOS/FortiProxy), CVE-2025-32433 (เซิร์ฟเวอร์ SSH ของ Erlang/OTP), CVE-2025-33073 (Windows SMB Client), CVE-2025-55182 (React2Shell) และ CVE-2025-7771 (ไดรเวอร์ ThrottleStop.sys สำหรับยกระดับสิทธิ์)
เมื่อเข้าระบบได้แล้ว กลุ่มใช้เครื่องมือเฉพาะชื่อ GentleKiller ซึ่งเป็นเฟรมเวิร์กสำหรับปิดการทำงานของ EDR/AV รวมถึงเทคนิค BYOVD (โหลดไดรเวอร์ที่มีช่องโหว่หรือไม่ได้เซ็นชื่อ) เพื่อข้ามการป้องกันการแก้ไข (tamper protection) จากนั้นสำรวจเครือข่ายภายในด้วย Advanced IP Scanner เคลื่อนตัวด้านข้าง (lateral movement) ผ่าน SMB ที่ตั้งค่า signing อ่อน และใช้ SSH เจาะโฮสต์ ESXi เพื่อยึดสภาพแวดล้อมเวอร์ชวล ก่อนปล่อยแรนซัมแวร์ที่เขียนด้วยภาษา C และ Go ซึ่งทำงานได้ทั้งบน Windows และ Linux พร้อมความสามารถแพร่กระจายและเข้ารหัสด้วยตัวเองแบบ worm และลบ Volume Shadow Copy ด้วยคำสั่ง vssadmin/wmic เพื่อตัดช่องทางกู้คืน ส่วนการติดต่อเซิร์ฟเวอร์ควบคุม (C2) พบการใช้พอร์ตผิดปกติและร่องรอยของมัลแวร์ SystemBC
ผลกระทบต่อไทย
ไทยถูกระบุชื่อตรง ๆ เป็นหนึ่งในเป้าหมายหลักของ The Gentlemen และเหยื่อที่ CYFIRMA ยกเป็นกรณีศึกษาสัปดาห์นี้ก็เป็นบริษัทที่ดำเนินงานในไทย จุดที่น่ากังวลเป็นพิเศษคือลักษณะของเหยื่อ ซึ่งเป็นผู้ผลิตชิ้นส่วนพลาสติกวิศวกรรมที่ป้อนสายการผลิตให้ยานยนต์ เซมิคอนดักเตอร์ และอาหาร อันเป็นหัวใจของห่วงโซ่อุปทานการผลิตไทย หากบริษัทระดับกลางที่เป็นซัพพลายเออร์ถูกเข้ารหัสจนหยุดชะงัก ผลกระทบย่อมลามถึงโรงงานปลายน้ำที่พึ่งพาชิ้นงานตามสั่ง ไม่ต่างจากกรณีองค์กรไทย 10 รายที่เคยถูกหลายกลุ่มรุมขึ้นเว็บปล่อยข้อมูลในช่วง 18 วัน (ดูโพสต์ 2026/09/054 )
อีกประเด็นเชิงโครงสร้างคือ ช่องทางเข้าหลักของกลุ่มนี้คือการเจาะอุปกรณ์ขอบเครือข่าย โดยเฉพาะช่องโหว่ Fortinet (CVE-2024-55591) ซึ่งเป็นยี่ห้อไฟร์วอลล์/VPN ที่องค์กรและโรงงานในไทยใช้งานแพร่หลาย ขณะที่โรงงานขนาดกลางหลายแห่งยังเปิด RDP และบริการจัดการจากระยะไกลสู่อินเทอร์เน็ตโดยไม่ได้ปิดช่องหรือแพตช์ทันเวลา จึงตกเป็นเป้าของทั้งการ brute force และการซื้อการเข้าถึงจากนายหน้าได้ง่าย
คำแนะนำ
ผู้ดูแลระบบควรเร่งแพตช์อุปกรณ์ Fortinet และอุปกรณ์ขอบเครือข่ายอื่น ๆ ให้ครบตามช่องโหว่ข้างต้น โดยเฉพาะ CVE-2024-55591 ปิดการเข้าถึง RDP และคอนโซลจัดการจากอินเทอร์เน็ตโดยตรง บังคับใช้ MFA กับบัญชีที่เข้าถึงจากภายนอกทุกบัญชี และตรวจสอบบัญชีที่อาจมีรหัสผ่านรั่วไหลในตลาดมืด ควรเปิดใช้และทดสอบระบบสำรองข้อมูลแบบออฟไลน์/ไม่สามารถแก้ไขได้ (immutable backup) เพื่อรับมือการลบ Volume Shadow Copy เสริมการป้องกันการปิด EDR ด้วยการเปิด tamper protection และบล็อกไดรเวอร์ที่มีช่องโหว่ (BYOVD) ผ่านบัญชีบล็อกไดรเวอร์ของ Microsoft เฝ้าระวังการใช้เครื่องมืออย่าง Advanced IP Scanner และการเชื่อม SSH เข้าโฮสต์ ESXi ที่ผิดปกติ รวมถึงจำกัดสิทธิ์และแยกส่วนเครือข่าย (segmentation) ระหว่างระบบไอทีสำนักงานกับระบบควบคุมการผลิต