จัดทำโดย: Cloud Thunder Threat Intelligence
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคาม (Strategic Threat Actor Analysis)
หัวข้อ: กลุ่มภัยคุกคามขั้นสูง (APT) ระดับรัฐเก้ากลุ่มที่เคลื่อนไหวสูงในปี 2569
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: รายงานจาก ESET, Mandiant/Google Threat Intelligence, Proofpoint, Acronis, Trellix, Kaspersky, Recorded Future, สำนักงานความมั่นคงไซเบอร์สิงคโปร์ (CSA), MITRE ATT&CK และฐานข่าวของ Cloud Thunder
บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)
รายงานกิจกรรมกลุ่มภัยคุกคามขั้นสูงในช่วงปลายปี 2568 ถึงกลางปี 2569 ชี้ให้เห็นว่าปฏิบัติการจารกรรมและก่อวินาศกรรมไซเบอร์ระดับรัฐไม่ได้ชะลอตัวลงเลย ตรงกันข้ามกลับทวีความเข้มข้นและกระจายตัวไปตามความตึงเครียดทางภูมิรัฐศาสตร์ที่เกิดขึ้นทั่วโลก บทวิเคราะห์ฉบับนี้คัดเลือกกลุ่มภัยคุกคามขั้นสูง (APT — Advanced Persistent Threat หมายถึงกลุ่มที่มีทรัพยากรสูง ฝังตัวยาวนาน และมักมีรัฐหนุนหลัง) จำนวนเก้ากลุ่มที่มีหลักฐานสาธารณะจากบริษัทข่าวกรองภัยคุกคามระบุว่าเคลื่อนไหวโดดเด่นในช่วงเวลาดังกล่าว เพื่อเป็นข้อมูลตั้งต้นให้ผู้กำหนดนโยบายและหน่วยงานด้านความมั่นคงของไทยเข้าใจภูมิทัศน์ภัยคุกคามระดับรัฐที่กำลังดำเนินอยู่
เก้ากลุ่มนี้แบ่งตามต้นทางได้สี่สาย ได้แก่ สายรัสเซีย (Sandworm และ APT29) ที่ยังทุ่มน้ำหนักไปที่ยูเครนและชาติตะวันตก สายเกาหลีเหนือ (Andariel, ScarCruft และ Konni) ที่ผสมงานจารกรรมเข้ากับการหารายได้และการติดตามบุคคล สายอินเดีย (SideWinder และ Bitter) ที่มุ่งเป้าเอเชียใต้และขยายเข้าสู่เอเชียตะวันออกเฉียงใต้ และ สายจีน (UNC5221 และ UNC3886) ที่เชี่ยวชาญการเจาะอุปกรณ์ขอบเครือข่าย (edge device) และเทคโนโลยีเวอร์ชวลไลเซชัน การกระจายตัวเช่นนี้สะท้อนว่าภัยระดับรัฐไม่ได้จำกัดอยู่ที่มหาอำนาจคู่ใดคู่หนึ่ง แต่เป็นเครื่องมือมาตรฐานของรัฐจำนวนมากในการแข่งขันเชิงยุทธศาสตร์
ภาพที่ 1: ช่วงเวลาที่แต่ละกลุ่มถูกติดตามในที่สาธารณะจนถึงกลางปี 2569 พร้อมเหตุการณ์สำคัญในช่วงปี 2568–2569 จุดสีแดงคือเหตุการณ์ที่เกี่ยวข้องกับประเทศไทยหรือเอเชียตะวันออกเฉียงใต้โดยตรง ได้แก่ การที่ SideWinder เริ่มมุ่งเป้าไทยและอินโดนีเซีย และการที่ UNC3886 เจาะผู้ให้บริการโทรคมนาคมของสิงคโปร์ครบทั้งสี่ราย
ข้อสรุปสำคัญสำหรับประเทศไทยมีสามประการ ประการแรก มีสองกลุ่มที่เกี่ยวข้องกับไทยและภูมิภาคโดยตรงและควรอยู่ในลำดับความสำคัญสูงสุด คือ SideWinder ที่มีหลักฐานว่าเริ่มมุ่งเป้าประเทศไทยตั้งแต่ปลายปี 2568 และ UNC3886 ที่เจาะโครงสร้างพื้นฐานโทรคมนาคมของสิงคโปร์ซึ่งเป็นเพื่อนบ้านและใช้เทคโนโลยีแบบเดียวกับไทย ประการที่สอง กลุ่มสายจีนอย่าง UNC5221 และ UNC3886 พุ่งเป้าอุปกรณ์ขอบเครือข่ายอย่าง Ivanti VPN, Fortinet FortiGate และแพลตฟอร์ม VMware ซึ่งเป็นอุปกรณ์ที่องค์กรไทยจำนวนมากใช้งานอยู่ ประการที่สาม แม้กลุ่มสายรัสเซียและเกาหลีเหนือบางกลุ่มจะไม่ได้มุ่งเป้าไทยโดยตรง แต่เทคนิคที่ใช้ เช่น การเจาะห่วงโซ่อุปทาน (Supply Chain) และการล้างข้อมูล (wiper) เป็นบทเรียนเชิงระบบที่องค์กรไทยต้องเตรียมรับมือ
1. รู้จักกลุ่มทั้งเก้า (Threat Actor Profiles)
1.1 สายรัสเซีย: Sandworm และ APT29
Sandworm (MITRE ATT&CK รหัส G0034) เป็นหน่วยปฏิบัติการที่นักวิจัยเชื่อมโยงกับหน่วยข่าวกรองทางทหารรัสเซีย (GRU หน่วย 74455) ถูกติดตามในชื่อ APT44, Seashell Blizzard, Voodoo Bear และ IRIDIUM ถือกันว่าเป็นกลุ่มระดับรัฐที่มีศักยภาพทำลายล้างมากที่สุดในโลก มีประวัติตั้งแต่เหตุตัดไฟฟ้ายูเครนปี 2558–2559 และมัลแวร์ NotPetya ปี 2560 ที่สร้างความเสียหายทั่วโลกหลายพันล้านดอลลาร์ ต่างจากกลุ่มจารกรรมทั่วไปตรงที่ Sandworm พร้อมก่อวินาศกรรมและทำลายระบบจริง ในช่วงปลายปี 2568 ถึงต้นปี 2569 กลุ่มยังทุ่มน้ำหนักไปที่ยูเครน โดยปล่อยมัลแวร์ล้างข้อมูล (wiper — มัลแวร์ที่ลบหรือทำลายข้อมูลถาวรจนกู้คืนไม่ได้) หลายตัว และมีเหตุทำลายข้อมูลบริษัทพลังงานในโปแลนด์เมื่อเดือนธันวาคม 2568 ซึ่งกระทบโครงสร้างพื้นฐานสำคัญในชาติสมาชิก NATO
APT29 (MITRE ATT&CK รหัส G0016) เป็นกลุ่มจารกรรมที่นักวิจัยเชื่อมโยงกับหน่วยข่าวกรองต่างประเทศรัสเซีย (SVR) ถูกติดตามในชื่อ Cozy Bear, Midnight Blizzard, NOBELIUM และ The Dukes เป็นที่รู้จักจากการเจาะห่วงโซ่อุปทาน (Supply Chain) ของบริษัท SolarWinds ปี 2563 จุดเด่นคือความอดทนและการซ่อนตัว มุ่งจารกรรมระยะยาวเพื่อเก็บข่าวกรองทางการเมือง เศรษฐกิจ และการทหาร ไม่เน้นการทำลายล้างหรือเรียกค่าไถ่ พัฒนาการล่าสุดคือการหันมาใช้บริการคลาวด์และซอฟต์แวร์แบบบริการ (SaaS) ที่ถูกต้องตามกฎหมายเป็นช่องทางปฏิบัติการ ควบคู่กับเทคนิคขโมยโทเคน (token theft) เพื่อสวมรอยเข้าถึงบัญชีโดยไม่ต้องรู้รหัสผ่าน
1.2 สายเกาหลีเหนือ: Andariel, ScarCruft และ Konni
Andariel (MITRE ATT&CK รหัส G0138) เป็นกลุ่มในเครือข่าย Lazarus ภายใต้หน่วยข่าวกรอง RGB ถูกติดตามในชื่อ APT45, Onyx Sleet และ Silent Chollima จุดเด่นคือการผสมภารกิจจารกรรมเข้ากับการหารายได้ด้วยแรนซัมแวร์ เคยถูกกระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหาจากการปล่อยแรนซัมแวร์ Maui ใส่โรงพยาบาล ในช่วงต้นปี 2569 ตามรายงานของบริษัท ESET กลุ่มกลับมาเคลื่อนไหวในเกาหลีใต้ ปล่อยมัลแวร์ TigerRAT และพยายามแพร่แรนซัมแวร์ Rook ในบริษัทวิศวกรรมที่ผลิตอุปกรณ์เกี่ยวกับไฮโดรเจนเหลวและอุตสาหกรรมนิวเคลียร์ ซึ่งเป็นเทคโนโลยีที่เกี่ยวข้องกับความทะเยอทะยานด้านขีปนาวุธและนิวเคลียร์ของเปียงยาง
ScarCruft (MITRE ATT&CK รหัส G0067 ในชื่อ APT37) มุ่งงานจารกรรมและติดตามบุคคลที่รัฐบาลเปียงยางสนใจ เช่น ผู้แปรพักตร์ ผู้ลี้ภัย นักเคลื่อนไหว และหน่วยงานรัฐเกาหลีใต้ ถูกติดตามในชื่อ Reaper, InkySquid และ Ruby Sleet ในช่วงต้นปี 2569 กลุ่มเจาะแพลตฟอร์มเกมที่ให้บริการในเขตหยานเปียน (Yanbian) ของจีนผ่านการโจมตีห่วงโซ่อุปทาน ซึ่งเป็นพื้นที่ที่มีประชากรเชื้อสายเกาหลีจำนวนมากติดชายแดนเกาหลีเหนือ คาดว่าเพื่อเก็บข่าวกรองเกี่ยวกับบุคคลที่รัฐสนใจ เครื่องมือหลักคือแบ็กดอร์ (backdoor — ประตูลับสำหรับควบคุมเครื่องจากระยะไกล) RokRAT และ Chinotto
Konni เป็นกลุ่มสายเกาหลีเหนือที่มีเทคนิคและเป้าหมายทับซ้อนกับ Kimsuky (MITRE ATT&CK รหัส G0094) จนหลายค่ายจัดเป็นคลัสเตอร์ใกล้เคียงกัน ถูกติดตามในชื่อ Opal Sleet, Osmium และ TA406 ลักษณะเด่นคือการโจมตีแบบฉวยโอกาสและรวดเร็ว มุ่งเก็บข่าวกรองจากหน่วยงานรัฐ องค์กรการทูต และบุคคลที่เกี่ยวข้องกับประเด็นคาบสมุทรเกาหลี ผ่านอีเมลฟิชชิงที่แนบเอกสารล่อในธีมนโยบายและความมั่นคง แล้วปล่อยมัลแวร์ควบคุมระยะไกลตระกูล KONNI
1.3 สายอินเดีย: SideWinder และ Bitter
SideWinder (MITRE ATT&CK รหัส G0121) เป็นกลุ่มที่นักวิจัยประเมินว่ารับใช้ผลประโยชน์อินเดีย ถูกติดตามในชื่อ Rattlesnake, RazorTiger, APT-C-17 และ RagaSerpent เป็นหนึ่งในกลุ่มระดับรัฐที่เคลื่อนไหวมากที่สุดในเอเชียใต้ มุ่งเป้าหน่วยงานรัฐ กระทรวงกลาโหม กระทรวงการคลัง หน่วยงานกำกับดูแลโทรคมนาคม และธนาคารกลางในปากีสถาน บังกลาเทศ ศรีลังกา และเนปาล จุดที่ควรจับตาสำหรับไทยคือกลุ่มนี้เริ่มมุ่งเป้ามาที่ไทยตั้งแต่ช่วงปลายปี 2568 และขยายไปอินโดนีเซียในต้นปี 2569 โดยใช้อีเมลฟิชชิงและช่องโหว่ Microsoft Office เก่าปล่อยมัลแวร์ ModuleInstaller และ StealerBot
Bitter (MITRE ATT&CK รหัส G1002 ในชื่อ TA397) เป็นกลุ่มสายเอเชียใต้ที่บริษัท Proofpoint จัดเป็นผู้ก่อภัยที่ได้รับการสนับสนุนจากรัฐเพื่อรับใช้ผลประโยชน์อินเดีย ถูกติดตามในชื่อ APT-C-08 และ Hazy Tiger มุ่งเป้าหน่วยงานรัฐ พลังงาน โทรคมนาคม กลาโหม และวิศวกรรมในภูมิภาค EMEA และเอเชียแปซิฟิก โดยเน้นสถาบันที่เชื่อมโยงกับจีนและปากีสถาน ในแคมเปญที่ผ่านมากลุ่มปลอมตัวเป็นหน่วยงานรัฐบาลจีน สถานทูต และกระทรวงการต่างประเทศเกาหลีใต้เพื่อเพิ่มความน่าเชื่อถือให้อีเมลล่อ และเมื่อเดือนพฤษภาคม 2568 มีแนวโน้มสูงที่จะมุ่งเป้าพนักงานบริษัท Pakistan Telecommunication Company Limited (PTCL) เครื่องมือหลักคือมัลแวร์ควบคุมระยะไกล WmRAT และ MiyaRAT
1.4 สายจีน: UNC5221 และ UNC3886
UNC5221 เป็นกลุ่มจารกรรมสายจีน (ถูกติดตามในชื่อ UTA0178) ที่เชี่ยวชาญการใช้ช่องโหว่ระดับศูนย์วัน (zero-day — ช่องโหว่ที่ยังไม่มีใครรู้และยังไม่มีแพตช์) เจาะอุปกรณ์ Ivanti Connect Secure และ Ivanti VPN ที่องค์กรจำนวนมากใช้เป็นประตูเข้าสู่เครือข่ายภายใน ในช่วงต้นปี 2569 ตามรายงานของบริษัท ESET นักวิจัยพบอิมแพลนต์ (implant — โปรแกรมฝังตัวลับ) ตัวใหม่ชื่อ PhiliKit ซึ่งประเมินว่าเป็นส่วนหนึ่งของชุดเครื่องมือ SPAWN ที่กลุ่มใช้โจมตีอุปกรณ์ Ivanti กลุ่มยังใช้แบ็กดอร์ BRICKSTORM ที่เขียนด้วยภาษา Go เจาะเซิร์ฟเวอร์ VMware vCenter อีกด้วย
UNC3886 เป็นกลุ่มจารกรรมสายจีนที่ประเมินว่าเคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2565 เชี่ยวชาญการเจาะอุปกรณ์ขอบเครือข่ายและเทคโนโลยีเวอร์ชวลไลเซชัน (virtualization) โดยเฉพาะ VMware vCenter และ ESXi รวมถึงไฟร์วอลล์ Fortinet FortiGate และเราเตอร์ Juniper เหตุการณ์สำคัญคือในเดือนกรกฎาคม 2568 นาย K. Shanmugam รัฐมนตรีประสานงานด้านความมั่นคงแห่งชาติของสิงคโปร์ ระบุว่าโครงสร้างพื้นฐานสำคัญของประเทศถูกกลุ่มนี้โจมตี และในเดือนกุมภาพันธ์ 2569 สำนักงานความมั่นคงไซเบอร์สิงคโปร์ (CSA) เปิดเผยว่าผู้ให้บริการโทรคมนาคมรายใหญ่ทั้งสี่ราย ได้แก่ M1, SIMBA, Singtel และ StarHub ล้วนเป็นเป้าหมาย จนสิงคโปร์ต้องเปิดปฏิบัติการตอบโต้ CYBER GUARDIAN ที่ใหญ่ที่สุดของประเทศ กินเวลากว่าสิบเอ็ดเดือน
ภาพที่ 2: การกระจายตัวของเก้ากลุ่มตามประเทศต้นทาง เกาหลีเหนือมีจำนวนกลุ่มมากที่สุดสามกลุ่ม สะท้อนการแบ่งงานภายในหน่วยข่าวกรองที่ทั้งจารกรรม หารายได้ และติดตามบุคคลไปพร้อมกัน ส่วนจีน รัสเซีย และอินเดีย มีอย่างละสองกลุ่ม
2. วิวัฒนาการและไทม์ไลน์ปี 2568–2569
ภาพรวมของทั้งเก้ากลุ่มในช่วงปีที่ผ่านมาแสดงให้เห็นว่าปฏิบัติการระดับรัฐผูกโยงกับเหตุการณ์ทางภูมิรัฐศาสตร์อย่างชัดเจน กลุ่มสายรัสเซียเคลื่อนไหวตามจังหวะสงครามยูเครน โดย Sandworm เร่งกิจกรรมทำลายล้างในช่วงฤดูหนาวปลายปี 2568 ด้วยการปล่อย wiper หลายตัว และขยายการโจมตีไปถึงบริษัทพลังงานในโปแลนด์ ขณะที่ APT29 ยังเดินเกมจารกรรมเงียบ ๆ ผ่านคลาวด์และแคมเปญ GRAPELOADER ที่มุ่งหน่วยงานการทูต
กลุ่มสายเกาหลีเหนือเคลื่อนไหวหลายแนวรบพร้อมกัน Andariel กลับมาในเกาหลีใต้ต้นปี 2569 พร้อม TigerRAT และแรนซัมแวร์ Rook ส่วน ScarCruft เจาะแพลตฟอร์มเกมหยานเปียนผ่านห่วงโซ่อุปทาน และ Konni กับ Kimsuky ยังเดินเกมฟิชชิงแบบฉวยโอกาสต่อเนื่อง กลุ่มสายอินเดียขยายพื้นที่ชัดเจน SideWinder เคลื่อนจากเอเชียใต้เข้าสู่ไทยปลายปี 2568 และอินโดนีเซียต้นปี 2569 ขณะที่ Bitter มุ่งเป้าบริษัทโทรคมนาคมปากีสถานในช่วงความตึงเครียดในภูมิภาค ส่วนกลุ่มสายจีนสร้างผลกระทบระดับภูมิภาคมากที่สุด UNC3886 เจาะโทรคมนาคมสิงคโปร์จนถูกเปิดโปงเป็นทางการต้นปี 2569 และ UNC5221 พัฒนาชุดเครื่องมือ SPAWN เจาะอุปกรณ์ Ivanti อย่างต่อเนื่อง
3. ยุทธวิธี เทคนิค และเครื่องมือ (TTPs)
เมื่อนำเทคนิคของทั้งเก้ากลุ่มมาเรียงเทียบกัน จะเห็นรูปแบบร่วมและความแตกต่างที่สะท้อนภารกิจของแต่ละกลุ่มชัดเจน กลุ่มที่เน้นจารกรรมผ่านคนอย่างสายเกาหลีเหนือและอินเดียพึ่งพา อีเมลฟิชชิงแบบเจาะจงเป้าหมาย (spear-phishing) และ เอกสารล่อที่ใช้ช่องโหว่ Office เป็นช่องทางหลัก ขณะที่กลุ่มสายจีนอย่าง UNC5221 และ UNC3886 ข้ามการหลอกคนไปเลย โดยเจาะ อุปกรณ์ขอบเครือข่ายด้วยช่องโหว่ระดับศูนย์วัน โดยตรง ส่วน APT29 โดดเด่นเรื่องการใช้ คลาวด์และ SaaS ที่ถูกกฎหมาย ผสมกับการขโมยโทเคน และ Sandworm เป็นกลุ่มเดียวที่มีขีดความสามารถ ทำลายข้อมูล (wiper) เป็นเป้าหมายปลายทาง
ภาพที่ 3: เมทริกซ์เทคนิคช่องทางเข้าถึงเริ่มต้นและยุทธวิธีของแต่ละกลุ่ม จุดร่วมที่เห็นชัดคือ “การขโมยข้อมูลรับรองตัวตนและโทเคน” (credential/token theft) ที่ทุกกลุ่มใช้ ขณะที่ช่องทางเริ่มต้นแยกเป็นสองค่ายชัดเจน คือกลุ่มที่หลอกคน (สายเกาหลีเหนือ/อินเดีย) กับกลุ่มที่เจาะอุปกรณ์ (สายจีน)
3.1 ช่องทางเข้าถึงเริ่มต้น (Initial Access)
ช่องทางที่พบบ่อยที่สุดคืออีเมลฟิชชิงแบบเจาะจงเป้าหมาย (MITRE ATT&CK เทคนิค T1566) ซึ่งเจ็ดในเก้ากลุ่มใช้ โดยกลุ่มสายอินเดียและเกาหลีเหนือมักแนบเอกสารที่ใช้ประโยชน์จากช่องโหว่การเรียกใช้งานฝั่งไคลเอนต์ (T1203) หรือหลอกให้ผู้ใช้เปิดไฟล์เอง (T1204) จุดที่แตกต่างและอันตรายเป็นพิเศษคือกลุ่มสายจีนสองกลุ่มที่เจาะแอปพลิเคชันหรืออุปกรณ์ที่เปิดสู่อินเทอร์เน็ตโดยตรง (T1190) โดยเฉพาะอุปกรณ์ Ivanti VPN, Fortinet FortiGate และ VMware vCenter ซึ่งเป็นช่องทางที่ไม่ต้องพึ่งความผิดพลาดของมนุษย์ นอกจากนี้ APT29 และ ScarCruft ยังใช้การเจาะห่วงโซ่อุปทาน (T1195) เพื่อเข้าถึงเหยื่อจำนวนมากผ่านซอฟต์แวร์ที่ไว้วางใจ
3.2 การฝังตัว หลบเลี่ยง และควบคุม
เมื่อเข้าถึงเครือข่ายได้แล้ว กลุ่มเหล่านี้มีรูปแบบร่วมคือการขโมยข้อมูลรับรองตัวตน (credential — เช่น T1003 การดัมป์ข้อมูลรับรองระบบปฏิบัติการ) และการใช้บัญชีที่ถูกต้อง (T1078) เพื่อเคลื่อนตัวภายในโดยไม่ถูกจับได้ง่าย กลุ่มสายจีนโดดเด่นเรื่องการฝังตัวคงทนบนอุปกรณ์ด้วยรูทคิต (rootkit — T1014) และเว็บเชลล์ (web shell — T1505.003) โดย UNC3886 ใช้รูทคิตระดับเคอร์เนล Reptile และ Medusa บนระบบ Linux เพื่อซ่อนโปรเซส ไฟล์ และการเชื่อมต่อจากผู้ดูแลระบบ ส่วน UNC5221 ใช้ชุด SPAWN ที่มีทั้งตัวติดตั้ง SPAWNANT ตัวเจาะอุโมงค์ SPAWNMOLE แบ็กดอร์ SPAWNSNAIL และเครื่องมือลบบันทึก SPAWNSLOTH ด้านการสั่งการและควบคุม (C2 — T1071) กลุ่มส่วนใหญ่ใช้โพรโทคอลชั้นแอปพลิเคชันปกติเพื่อให้ทราฟฟิกกลมกลืน โดย APT29 ยกระดับด้วยการใช้บริการคลาวด์ที่ถูกกฎหมายเป็นช่องทาง (T1550.001 การใช้โทเคนแอปพลิเคชัน)
3.3 เป้าหมายปลายทาง
ปลายทางของแต่ละกลุ่มต่างกันตามภารกิจ กลุ่มจารกรรมล้วน (APT29, ScarCruft, Konni, SideWinder, Bitter, UNC5221, UNC3886) มุ่ง ขโมยข้อมูลและเก็บข่าวกรอง เป็นหลัก ขณะที่ Andariel เพิ่มมิติ แรนซัมแวร์เพื่อหารายได้ (T1486 การเข้ารหัสข้อมูลเพื่อสร้างผลกระทบ) และ Sandworm เป็นกลุ่มเดียวที่มีเป้าหมาย ทำลายข้อมูลถาวร (T1485 การทำลายข้อมูล) เป็นอาวุธก่อวินาศกรรม ความหลากหลายของเป้าหมายปลายทางนี้เองที่ทำให้การประเมินเจตนาของผู้โจมตีทำได้ยาก และเพิ่มความจำเป็นในการเฝ้าระวังตั้งแต่ระยะแรกของการบุกรุก
4. ผลกระทบต่อประเทศไทยโดยตรง
แม้ทั้งเก้ากลุ่มจะเคลื่อนไหวในระดับโลก แต่ระดับความเกี่ยวข้องกับประเทศไทยแตกต่างกันมาก และควรถูกจัดลำดับความสำคัญให้ชัดเจนเพื่อให้หน่วยงานไทยจัดสรรทรัพยากรได้ถูกจุด
ภาพที่ 4: การประเมินระดับความเกี่ยวข้องกับประเทศไทยและเอเชียตะวันออกเฉียงใต้รายกลุ่ม โดย SideWinder และ UNC3886 อยู่ในระดับสูงสุดเพราะมีหลักฐานการโจมตีไทยหรือเพื่อนบ้านโดยตรง ส่วน Sandworm อยู่ในระดับต่ำสุดเพราะมุ่งเป้ายูเครนและ NATO เป็นหลัก
กลุ่มที่เกี่ยวข้องกับไทยโดยตรงและควรอยู่ในลำดับสูงสุดคือ SideWinder เนื่องจากมีหลักฐานสาธารณะว่าเริ่มมุ่งเป้าประเทศไทยตั้งแต่ปลายปี 2568 กลุ่มนี้พึ่งพาช่องโหว่ Microsoft Office เก่าเป็นหลัก ซึ่งหมายความว่าองค์กรไทยที่ยังไม่อัปเดตแพตช์สำนักงานให้ครบถ้วนตกอยู่ในความเสี่ยงทันที รองลงมาคือ UNC3886 ที่แม้จะยังไม่มีรายงานการโจมตีไทยโดยตรง แต่การเจาะผู้ให้บริการโทรคมนาคมของสิงคโปร์ครบทั้งสี่รายเป็นสัญญาณเตือนชัดเจน เพราะไทยใช้อุปกรณ์เครือข่ายและแพลตฟอร์มเวอร์ชวลไลเซชันประเภทเดียวกัน และมีผู้ให้บริการโทรคมนาคมที่เป็นโครงสร้างพื้นฐานสำคัญเช่นกัน
ถัดมาคือกลุ่มสายจีน UNC5221 ที่เจาะอุปกรณ์ Ivanti VPN ซึ่งองค์กรและหน่วยงานไทยจำนวนมากใช้เป็นประตูเข้าสู่เครือข่าย และกลุ่มสายอินเดีย Bitter ที่มุ่งเป้าภาคโทรคมนาคมและหน่วยงานรัฐทั่วเอเชียแปซิฟิก ส่วนกลุ่มสายเกาหลีเหนือ (ScarCruft, Andariel, Konni) และ APT29 มีความเกี่ยวข้องกับไทยในระดับปานกลางถึงต่ำ โดยความเสี่ยงมักมาในรูปของผลกระทบข้างเคียง (spillover) หรือกรณีที่องค์กรไทยทำงานเกี่ยวข้องกับประเด็นเกาหลี การทูต หรือใช้บริการคลาวด์และ SaaS จำนวนมาก สำหรับ Sandworm ความเสี่ยงโดยตรงต่อไทยต่ำที่สุดเพราะมุ่งเป้ายูเครนและ NATO แต่บทเรียนเรื่องภัย wiper ต่อโครงสร้างพื้นฐานพลังงานยังคงมีคุณค่าเชิงระบบ
5. ประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ
ภาพรวมของเก้ากลุ่มนี้ชี้ให้เห็นความจริงเชิงยุทธศาสตร์สามข้อที่ผู้กำหนดนโยบายไทยควรตระหนัก ข้อแรกคือ ภัยระดับรัฐมาจากหลายทิศทางพร้อมกัน ไม่ใช่จากมหาอำนาจเดียว การที่กลุ่มสายอินเดียอย่าง SideWinder เริ่มมุ่งเป้าไทย ควบคู่กับกลุ่มสายจีนที่เจาะเพื่อนบ้านอย่างสิงคโปร์ แสดงว่าไทยอยู่ในสมรภูมิข่าวกรองของหลายรัฐที่มีผลประโยชน์ทับซ้อนในภูมิภาค การป้องกันจึงต้องไม่ผูกติดกับสมมติฐานว่าภัยมาจากแหล่งเดียว
ข้อที่สองคือ อุปกรณ์ขอบเครือข่ายกลายเป็นแนวรบหลัก กลุ่มสายจีนสองกลุ่มพิสูจน์ว่าการเจาะไฟร์วอลล์ อุปกรณ์ VPN และแพลตฟอร์มเวอร์ชวลไลเซชันด้วยช่องโหว่ระดับศูนย์วันเป็นวิธีที่ทรงประสิทธิภาพและตรวจจับยาก เพราะอุปกรณ์เหล่านี้มักไม่มีเครื่องมือป้องกันระดับเครื่อง (endpoint) ติดตั้งอยู่ องค์กรโครงสร้างพื้นฐานสำคัญของไทย โดยเฉพาะภาคโทรคมนาคมและพลังงาน จึงต้องยกระดับการดูแลอุปกรณ์เหล่านี้เป็นลำดับต้น ข้อที่สามคือ เส้นแบ่งระหว่างจารกรรมกับอาชญากรรมและวินาศกรรมเริ่มเลือนราง กรณี Andariel ที่ปล่อยแรนซัมแวร์เพื่อหารายได้ให้รัฐ และ Sandworm ที่พร้อมทำลายระบบ แสดงว่าเหตุที่ดูเหมือนอาชญากรรมไซเบอร์ธรรมดาอาจมีมิติของภัยระดับรัฐซ่อนอยู่ ทำให้การประเมินและตอบสนองต้องรอบด้านมากขึ้น
6. ข้อเสนอเชิงยุทธศาสตร์
6.1 ระยะเร่งด่วน (0–30 วัน)
หน่วยงานและองค์กรโครงสร้างพื้นฐานสำคัญควรเร่งอัปเดตแพตช์อุปกรณ์ขอบเครือข่ายทุกตัวทันที โดยเฉพาะ Ivanti Connect Secure/VPN, Fortinet FortiGate, เราเตอร์ Juniper และแพลตฟอร์ม VMware vCenter/ESXi ซึ่งเป็นเป้าหมายตรงของ UNC5221 และ UNC3886 พร้อมกันนั้นควรอัปเดตแพตช์ Microsoft Office และซอฟต์แวร์สำนักงานให้ครบถ้วนเพื่อปิดช่องทางของ SideWinder และ Bitter และตรวจสอบความสมบูรณ์ของอุปกรณ์เครือข่ายว่ามีการฝังตัวหรือไฟล์แปลกปลอมหรือไม่ ควรเปิดการยืนยันตัวตนหลายชั้น (MFA) ที่ต้านฟิชชิงได้สำหรับการเข้าถึง VPN และบริการคลาวด์ทั้งหมด
6.2 ระยะกลาง (1–3 เดือน)
ควรจัดทำและซ้อมแผนตรวจจับพฤติกรรมผิดปกติบนอุปกรณ์ขอบเครือข่ายและแพลตฟอร์มเวอร์ชวลไลเซชัน เนื่องจากอุปกรณ์เหล่านี้ไม่มีการป้องกันระดับเครื่อง การเก็บและวิเคราะห์บันทึก (log) จึงเป็นวิธีหลักในการเห็นการบุกรุก ควรจำกัดสิทธิ์ของแอปพลิเคชันที่เชื่อมต่อผ่าน OAuth และตรวจสอบการใช้โทเคนจากอุปกรณ์แปลกหน้าเพื่อรับมือรูปแบบของ APT29 รวมถึงฝึกอบรมพนักงานให้ระวังอีเมลที่ปลอมตัวเป็นหน่วยงานราชการหรือสถานทูต ซึ่งเป็นเทคนิคเด่นของ Bitter และ Konni
6.3 ระยะยาว (3–12 เดือน)
ควรลงทุนในการแยกส่วนเครือข่าย (network segmentation) โดยเฉพาะการแยกเครือข่ายไอที (IT) ออกจากเครือข่ายควบคุมอุตสาหกรรม (OT) เพื่อจำกัดการลุกลามและลดผลกระทบหากถูกภัยแบบ Sandworm หรือ Andariel ควรจัดทำระบบสำรองข้อมูลแบบออฟไลน์ที่แก้ไขไม่ได้ (immutable backup) และซ้อมแผนกู้คืนระบบเป็นประจำ ในระดับนโยบายชาติ ควรผลักดันการแบ่งปันข่าวกรองภัยคุกคามระหว่างหน่วยงานภาครัฐและองค์กรโครงสร้างพื้นฐานสำคัญ และสร้างความร่วมมือกับประเทศเพื่อนบ้าน โดยเฉพาะสิงคโปร์ที่มีประสบการณ์ตรงจากปฏิบัติการ CYBER GUARDIAN
7. บทสรุปและมุมมองไปข้างหน้า (Outlook)
เก้ากลุ่มที่วิเคราะห์ในรายงานฉบับนี้สะท้อนภูมิทัศน์ภัยคุกคามระดับรัฐที่ทั้งเข้มข้นและกระจายตัว จากรัสเซียที่พร้อมก่อวินาศกรรม เกาหลีเหนือที่ผสมจารกรรมกับการหารายได้ อินเดียที่ขยายพื้นที่เข้าสู่เอเชียตะวันออกเฉียงใต้ ไปจนถึงจีนที่เชี่ยวชาญการเจาะอุปกรณ์ขอบเครือข่ายจนกระทบเพื่อนบ้านโดยตรง สำหรับประเทศไทย ข้อความสำคัญคือภัยเหล่านี้ไม่ใช่เรื่องไกลตัวอีกต่อไป โดยเฉพาะเมื่อ SideWinder เริ่มมุ่งเป้าไทยและ UNC3886 เจาะโครงสร้างพื้นฐานของสิงคโปร์
มองไปข้างหน้า คาดว่ากลุ่มสายจีนจะยังคงเน้นการเจาะอุปกรณ์ขอบเครือข่ายด้วยช่องโหว่ระดับศูนย์วันต่อไป เพราะพิสูจน์แล้วว่าได้ผลและตรวจจับยาก ขณะที่กลุ่มสายอินเดียน่าจะขยายพื้นที่ในเอเชียตะวันออกเฉียงใต้เพิ่มขึ้น การเตรียมพร้อมของไทยจึงไม่ควรเป็นเพียงการตั้งรับรายกลุ่ม แต่ต้องเป็นการยกระดับความสามารถเชิงระบบ ทั้งการดูแลอุปกรณ์ขอบเครือข่าย การตรวจจับผ่านบันทึก และการแบ่งปันข่าวกรอง เพื่อให้สามารถรับมือภัยที่มาจากหลายทิศทางพร้อมกันได้อย่างยั่งยืน
ภาคผนวก ก: การจับคู่กับกรอบ MITRE ATT&CK
ตารางด้านล่างสรุปรหัสกลุ่ม (MITRE Group ID) และเทคนิคเด่นของแต่ละกลุ่มตามกรอบ MITRE ATT&CK สำหรับกลุ่มที่ยังไม่มีรหัสกลุ่มอย่างเป็นทางการ (UNC5221, UNC3886) อ้างอิงจากรายงานของผู้จำหน่ายด้านความปลอดภัย
| กลุ่ม | MITRE Group ID | เทคนิคเด่น (Technique ID) |
|---|---|---|
| Sandworm | G0034 | T1566 (Phishing), T1190 (Exploit Public-Facing App), T1485 (Data Destruction), T1195 (Supply Chain) |
| APT29 | G0016 | T1566, T1195.002 (Software Supply Chain), T1528/T1550.001 (Token Theft), T1078 (Valid Accounts) |
| Andariel | G0138 | T1566, T1190, T1003 (Credential Dumping), T1486 (Data Encrypted for Impact) |
| ScarCruft (APT37) | G0067 | T1566.001 (Spearphishing Attachment), T1203, T1195, T1071 (App Layer C2) |
| Konni | เชื่อมโยง G0094 (Kimsuky) | T1566.001, T1204 (User Execution), T1059 (Scripting), T1071 |
| SideWinder | G0121 | T1566.001, T1203 (Client Exploit), T1204, T1027 (Obfuscation) |
| Bitter (TA397) | G1002 | T1566.001, T1203, T1204, T1071 |
| UNC5221 | — (อ้าง Mandiant) | T1190 (Ivanti 0-day), T1505.003 (Web Shell), T1014 (Rootkit), T1090 (Proxy) |
| UNC3886 | — (อ้าง Mandiant/CSA) | T1190, T1014 (Rootkit), T1505.003, T1078, T1210 (Exploit Remote Services) |
ภาคผนวก ข: สรุปกลุ่มและเครื่องมือหลัก
| กลุ่ม | ต้นทาง | ชื่อเรียกอื่น | มัลแวร์/เครื่องมือหลัก |
|---|---|---|---|
| Sandworm | รัสเซีย (GRU) | APT44, Seashell Blizzard, Voodoo Bear | NotPetya, Industroyer, CaddyWiper, wiper หลายตัว |
| APT29 | รัสเซีย (SVR) | Cozy Bear, Midnight Blizzard, NOBELIUM | GRAPELOADER, WINELOADER, SUNBURST, cloud/token abuse |
| Andariel | เกาหลีเหนือ (RGB) | APT45, Onyx Sleet, Silent Chollima | TigerRAT, DTrack, Maui/Rook ransomware |
| ScarCruft | เกาหลีเหนือ | APT37, Reaper, Ruby Sleet | RokRAT, Chinotto, Dolphin |
| Konni | เกาหลีเหนือ | Opal Sleet, Osmium, TA406 | KONNI RAT, droppers |
| SideWinder | อินเดีย | Rattlesnake, RazorTiger, RagaSerpent | StealerBot, ModuleInstaller |
| Bitter | อินเดีย | TA397, APT-C-08, Hazy Tiger | WmRAT, MiyaRAT, ArtraDownloader |
| UNC5221 | จีน | UTA0178 | SPAWN toolset (SPAWNANT/MOLE/SNAIL/SLOTH), PhaseJam, PhiliKit, BRICKSTORM |
| UNC3886 | จีน | — | Reptile, Medusa (rootkits), MOPSLED, CASTLETAP, TinyShell |
ภาคผนวก ค: หมายเหตุด้านการระบุต้นทาง (Attribution)
การระบุประเทศต้นทางและการเชื่อมโยงกับหน่วยงานรัฐในรายงานฉบับนี้อ้างอิงจากการวิเคราะห์ของบริษัทข่าวกรองภัยคุกคามและหน่วยงานรัฐที่ระบุในส่วนฐานข้อมูล ไม่ใช่ข้อสรุปอิสระของ Cloud Thunder การระบุต้นทางภัยคุกคามไซเบอร์เป็นกระบวนการที่มีความไม่แน่นอนโดยธรรมชาติ และอาจเปลี่ยนแปลงได้เมื่อมีหลักฐานใหม่
แหล่งอ้างอิง
- ESET APT Activity Report Q4 2025–Q1 2026 — welivesecurity.com
- Mandiant / Google Threat Intelligence — UNC5221 & Ivanti SPAWN/BRICKSTORM — cloud.google.com
- Cyber Security Agency of Singapore (CSA) — UNC3886 telecom campaign — csa.gov.sg
- Acronis Threat Research — SideWinder attacks on South Asia — acronis.com
- Proofpoint — The Bitter End: TA397 espionage — proofpoint.com
- Trend Micro — Revisiting UNC3886 Tactics — trendmicro.com
- MITRE ATT&CK Groups — attack.mitre.org/groups