สรุปสั้น

Nefilim และ Hive เป็นแรนซัมแวร์ที่ให้บริการแบบ Ransomware-as-a-Service (RaaS) คือ ผู้ดูแลระบบพัฒนามัลแวร์และโครงสร้างพื้นฐาน แล้วให้ “แอฟฟิลิเอต” หรือผู้ร่วมเครือข่ายไปเจาะเหยื่อจริง จากนั้นแบ่งค่าไถ่กัน ล่าสุดศาลสหรัฐฯ พิพากษาจำคุกนาย Artem Aleksandrovych Stryzhak ชาวยูเครนวัย 36 ปี เป็นเวลา 70 เดือน ฐานสมคบคิดก่ออาชญากรรมคอมพิวเตอร์ ในฐานะแอฟฟิลิเอตของทั้งสองกลุ่ม เขาร่วม Nefilim ระหว่างมิถุนายนถึงตุลาคม 2564 โดยตกลงแบ่งค่าไถ่ 20% ให้ผู้ดูแลระบบ และเป็นหนึ่งในแอฟฟิลิเอตรุ่นแรกของ Hive ซึ่งใช้โจมตีเหยื่อ 7 ราย

เหยื่อของนาย Stryzhak มีทั้งบริษัทในอุตสาหกรรมขนส่งน้ำมันและก๊าซ คลินิกทันตกรรม ผู้ให้บริการด้านสุขภาพ และสำนักงานกฎหมาย FBI ระบุว่ากลุ่มที่เขาร่วมงานด้วยทำให้การรักษาผู้ป่วยหยุดชะงักและสร้างความเสียหายรวมกว่า 100 ล้านดอลลาร์ คดีนี้สะท้อนว่าการไล่ล่าแอฟฟิลิเอตใช้เวลาหลายปีแต่ยังเดินหน้าต่อ แม้กลุ่มแรนซัมแวร์จะเลิกปฏิบัติการไปแล้ว ส่วนนาย Volodymyr Tymoshchuk ผู้ดูแล Nefilim ยังหลบหนีอยู่ และกระทรวงการต่างประเทศสหรัฐฯ ตั้งรางวัลนำจับสูงสุด 10 ล้านดอลลาร์

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 28 ตุลาคม 2569 ว่านาย Artem Aleksandrovych Stryzhak ถูกพิพากษาจำคุก 70 เดือนในสหรัฐฯ จากบทบาทในการโจมตีด้วยแรนซัมแวร์ Nefilim

ไทม์ไลน์ของคดีเริ่มจากช่วงก่อเหตุ นาย Stryzhak ร่วม Nefilim ในฐานะแอฟฟิลิเอตตั้งแต่มิถุนายน 2564 และปฏิบัติการถึงตุลาคม 2564 ช่วงเดียวกันเขาเข้าร่วม Hive ซึ่งโจมตีเหยื่อกว่า 1,500 รายทั่วโลกระหว่างมิถุนายน 2564 ถึงมกราคม 2566 ต่อมาเขาซึ่งอาศัยอยู่ในบาร์เซโลนาถูกจับในสเปนเมื่อมิถุนายน 2567 ถูกส่งตัวให้สหรัฐฯ เมื่อเมษายน 2568 และรับสารภาพเมื่อธันวาคม 2568

ตามเอกสารในชั้นศาล นาย Stryzhak ตกลงกับนาย Volodymyr Tymoshchuk ผู้ดูแลระบบ Nefilim ว่าจะแบ่งค่าไถ่ที่รีดได้ 20% ให้ฝ่ายผู้ดูแล เหยื่อรายหนึ่งของเขา คือ บริษัทในอุตสาหกรรมขนส่งน้ำมันและก๊าซที่ไม่เปิดเผยชื่อ ส่วนฝั่ง Hive เขาใช้แรนซัมแวร์โจมตีองค์กร 7 แห่ง เหยื่อบางรายยอมจ่ายค่าไถ่และได้กุญแจถอดรหัสคืนมา

ด้านนาย Brett Leatherman ผู้อำนวยการฝ่ายปฏิบัติการของ FBI ระบุว่านาย Stryzhak เป็นอาชญากรไซเบอร์ที่ก่อเหตุต่อเนื่อง และทำงานกับกลุ่มแรนซัมแวร์หลายกลุ่มเพื่อโจมตีธุรกิจและโรงพยาบาลในสหรัฐฯ ส่วนกระทรวงการต่างประเทศสหรัฐฯ ตั้งรางวัลนำจับนาย Tymoshchuk สูงสุด 10 ล้านดอลลาร์ และรางวัลสูงสุด 1 ล้านดอลลาร์สำหรับข้อมูลผู้นำคนอื่นของกลุ่มที่เขาดูแล

ด้าน CyberScoop รายงานจากถ้อยแถลงของกระทรวงยุติธรรมสหรัฐฯ ว่าเหยื่อของนาย Stryzhak ยังรวมถึงโรงพยาบาลและหน่วยงานรัฐ และการโจมตีด้วย Hive ทั้ง 7 รายเกิดขึ้นช่วงการระบาดของโควิด-19 ตัวเลขช่วงเวลาก่อเหตุของสองแหล่งไม่ตรงกัน SecurityWeek ระบุช่วง Nefilim ว่ามิถุนายนถึงตุลาคม 2564 ขณะที่ CyberScoop ระบุว่าการโจมตีทั้งชุดเกิดระหว่างกลางปี 2561 ถึงปลายปี 2564

ข้อจำกัดของข้อมูล คือ รายงานไม่ได้เปิดเผยชื่อเหยื่อ จำนวนค่าไถ่ที่นาย Stryzhak ได้รับ หรือวิธีที่เขาใช้เจาะเครือข่ายเหยื่อแต่ละราย

วิธีการโจมตี

โมเดลแอฟฟิลิเอตของ RaaS — ในระบบ RaaS ผู้ดูแลระบบเป็นผู้พัฒนาแรนซัมแวร์ ดูแลเว็บไซต์เจรจาและเว็บไซต์ปล่อยข้อมูล ส่วนแอฟฟิลิเอตเป็นผู้หาช่องทางเข้าเครือข่ายเหยื่อ ขยายสิทธิ์ ขโมยข้อมูล และสั่งเข้ารหัสไฟล์ เมื่อเหยื่อจ่ายค่าไถ่ เงินจะถูกแบ่งตามสัดส่วนที่ตกลงกัน กรณีนี้นาย Stryzhak ได้ 80% และส่งให้ผู้ดูแล Nefilim 20% โมเดลนี้ทำให้แอฟฟิลิเอตคนเดียวย้ายไปทำงานกับหลายกลุ่มได้ ซึ่งตรงกับที่เขาใช้ทั้ง Nefilim และ Hive ในช่วงเวลาใกล้กัน

การกรรโชกด้วยการเข้ารหัส — ทั้ง Nefilim และ Hive เข้ารหัสไฟล์ของเหยื่อแล้วเรียกค่าไถ่แลกกับกุญแจถอดรหัส เอกสารศาลยืนยันว่าเหยื่อของ Hive บางรายจ่ายค่าไถ่และได้กุญแจคืน การที่เป้าหมายมีทั้งคลินิกทันตกรรมและผู้ให้บริการสุขภาพ ทำให้ระบบที่ใช้ดูแลผู้ป่วยหยุดทำงานและเพิ่มแรงกดดันให้จ่ายเงิน

ขนาดของ Hive — Hive เป็นหนึ่งในกลุ่ม RaaS ที่ใหญ่ที่สุดช่วงปี 2564-2566 โจมตีเหยื่อกว่า 1,500 รายทั่วโลก ก่อนถูกปิดปฏิบัติการเมื่อมกราคม 2566 การที่นาย Stryzhak เป็นแอฟฟิลิเอตรุ่นแรกของกลุ่มนี้ แปลว่าเขาอยู่ในเครือข่ายตั้งแต่ช่วงที่ Hive เริ่มขยายตัว

ผลกระทบ

ผู้ที่ได้รับผลกระทบ คือ องค์กรในสหรัฐฯ และต่างประเทศที่ตกเป็นเหยื่อของ Nefilim และ Hive โดยเฉพาะสถานพยาบาลและสำนักงานกฎหมายซึ่งถือข้อมูลอ่อนไหวของลูกค้า FBI ประเมินความเสียหายรวมของกลุ่มที่นาย Stryzhak ร่วมงานด้วยกว่า 100 ล้านดอลลาร์

ในเชิงการบังคับใช้กฎหมาย คดีนี้แสดงว่าแอฟฟิลิเอตไม่ได้ปลอดภัยแม้กลุ่มแรนซัมแวร์จะปิดตัวไปหลายปีแล้ว การจับกุมข้ามประเทศ การส่งตัวผู้ร้าย และการใช้เอกสารจากการยึดโครงสร้างของกลุ่ม ทำให้เจ้าหน้าที่ย้อนตามตัวผู้ร่วมเครือข่ายได้ภายหลัง ขณะเดียวกัน ผู้ดูแลระดับบนอย่างนาย Tymoshchuk ยังลอยนวล ซึ่งแปลว่าความสามารถในการสร้างแรนซัมแวร์ใหม่หรือกลับมาทำงานภายใต้ชื่ออื่นยังไม่หายไป

คำแนะนำ

  • ปิดช่องทางเข้าที่แอฟฟิลิเอตนิยมใช้ — ตรวจว่าระบบ RDP, VPN และอุปกรณ์ขอบเครือข่ายไม่เปิดสู่อินเทอร์เน็ตโดยไม่จำเป็น และบังคับใช้ MFA กับการเข้าถึงระยะไกลทุกช่องทาง
  • ตรวจหาร่องรอยการเตรียมโจมตี — เฝ้าระวังการสร้างบัญชีผู้ดูแลใหม่ การรันเครื่องมือสำรวจเครือข่าย และการส่งข้อมูลออกปริมาณมากผิดปกติ ซึ่งมักเกิดก่อนการเข้ารหัสหลายวัน
  • เตรียมแบ็กอัปที่แยกขาดจากเครือข่าย — ทดสอบการกู้คืนสม่ำเสมอ เพื่อให้กู้ระบบได้โดยไม่ต้องพึ่งกุญแจจากผู้โจมตี
  • สถานพยาบาลและสำนักงานกฎหมายควรมีแผนรับมือเฉพาะ — กำหนดขั้นตอนเมื่อระบบดูแลผู้ป่วยหรือระบบเอกสารคดีใช้งานไม่ได้ และกำหนดช่องทางแจ้งลูกค้าเมื่อข้อมูลรั่ว
  • ส่งข้อมูลให้หน่วยงานบังคับใช้กฎหมายเมื่อถูกโจมตี — หลักฐานจากเหยื่อ เช่น ที่อยู่กระเป๋าเงินคริปโตและบันทึกการเจรจา ช่วยให้ติดตามตัวแอฟฟิลิเอตได้ในภายหลังเหมือนคดีนี้

แหล่งอ้างอิง