จัดทำโดย: Cloud Thunder Threat Intelligence
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคาม (Strategic Threat Landscape Analysis)
หัวข้อ: กลุ่มภัยคุกคามขั้นสูง (APT) ที่มีหลักฐานสาธารณะว่ามุ่งเป้าประเทศไทย
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: รายงานจาก Check Point Research, Symantec, Bitdefender, Kaspersky, Group-IB, Recorded Future, Palo Alto Networks Unit 42, Mandiant, MITRE ATT&CK และฐานข่าวของ Cloud Thunder

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

ประเทศไทยไม่ได้เป็นเป้าหมายของกลุ่มจารกรรมไซเบอร์กลุ่มใดกลุ่มหนึ่งเป็นการเฉพาะ แต่อยู่ในสถานะที่ควรกังวลมากกว่านั้น คือเป็น เป้าหมายซ้ำซ้อนของหลายกลุ่มพร้อมกัน บทวิเคราะห์ฉบับนี้รวบรวมกลุ่มภัยคุกคามขั้นสูง (APT — Advanced Persistent Threat หมายถึงกลุ่มที่มีทรัพยากรสูง ฝังตัวยาวนาน และมักมีรัฐหนุนหลัง) จำนวน 9 กลุ่มที่มีหลักฐานสาธารณะจากบริษัทข่าวกรองภัยคุกคามระบุว่าโจมตีหรือมุ่งเป้าองค์กรในประเทศไทย โดยกลุ่มที่เก่าที่สุดปฏิบัติการมาตั้งแต่ปี 2552 และกลุ่มที่ใหม่ที่สุดเพิ่งถูกเปิดโปงในช่วงต้นปี 2569

ข้อค้นพบที่สำคัญที่สุดสามประการมีดังนี้ ประการแรก แปดในเก้ากลุ่มมีต้นทางเชื่อมโยงกับจีน ส่วนกลุ่มที่เหลือคือ Dark Pink ซึ่งยังไม่มีการระบุประเทศต้นทางชัดเจน ประเมินเพียงว่าน่าจะมาจากภูมิภาคเอเชียแปซิฟิก รูปแบบนี้ไม่ใช่เรื่องบังเอิญ แต่สะท้อนว่าไทยอยู่ในตำแหน่งที่ตรงกับวาระข่าวกรองของรัฐหนึ่งเป็นการเฉพาะ ทั้งในฐานะศูนย์กลางการทูตของอาเซียน ประเทศที่มีโครงการโครงสร้างพื้นฐานข้ามพรมแดน และรัฐที่อยู่ในแวดวงข้อพิพาททะเลจีนใต้

ประการที่สอง ความเร็วในการปฏิบัติการเพิ่มขึ้นอย่างชัดเจน กลุ่ม Amaranth-Dragon นำช่องโหว่ CVE-2025-8088 ในโปรแกรม WinRAR มาใช้ในแคมเปญจริงภายในเวลาไม่ถึง 10 วันหลังช่องโหว่ถูกเปิดเผยต่อสาธารณะ นั่นหมายความว่ารอบการอัปเดตแพตช์แบบรายเดือนหรือรายไตรมาสที่หลายหน่วยงานไทยใช้อยู่ ไม่เพียงพออีกต่อไปสำหรับช่องโหว่ที่ถูกนำมาใช้จริงในภูมิภาค

ประการที่สาม และเป็นประเด็นที่ควรถือเป็นสัญญาณเตือนเชิงนโยบาย คือ การเจาะหลายองค์กรในภาคส่วนต่างกันภายในประเทศเดียวกันพร้อมกัน รายงานของ Symantec เกี่ยวกับกลุ่ม Billbug ระบุว่าในแคมเปญเดียวกลุ่มเจาะกระทรวงของรัฐบาล หน่วยงานควบคุมจราจรทางอากาศ ผู้ให้บริการโทรคมนาคม และบริษัทก่อสร้างของประเทศเดียวกันในอาเซียนพร้อมกัน รูปแบบนี้ไม่ใช่การหาผลประโยชน์ทางการเงิน แต่คือการสร้างภาพข่าวกรองรอบด้านของประเทศหนึ่งทั้งด้านการปกครอง การคมนาคม การสื่อสาร และโครงการก่อสร้างขนาดใหญ่ ซึ่งเป็นวิธีทำงานของหน่วยข่าวกรอง ไม่ใช่ของอาชญากร

ภาพที่ 1: ช่วงเวลาปฏิบัติการของกลุ่มทั้งเก้า จุดสีแดงคือปีที่เกิดเหตุการณ์สำคัญซึ่งเชื่อมโยงกับประเทศไทยโดยตรง จะเห็นว่ากลุ่มที่ถูกเปิดโปงใหม่ในปี 2568–2569 (Amaranth-Dragon, Silver Dragon) ทับซ้อนกับกลุ่มเก่าที่ยังไม่หยุดปฏิบัติการ ทำให้จำนวนกลุ่มที่ต้องเฝ้าระวังพร้อมกันเพิ่มขึ้น ไม่ใช่หมุนเวียนแทนที่กัน

1. รู้จักกลุ่มทั้งเก้า (Threat Actor Profiles)

1.1 กลุ่มที่ปฏิบัติการมายาวนาน: Naikon และ Billbug

Naikon เป็นกลุ่มที่รายงานข่าวกรองภัยคุกคามเชื่อมโยงกับกองทัพปลดปล่อยประชาชนจีน (PLA) โดยบางแหล่งระบุเฉพาะเจาะจงถึงหน่วย 78020 กลุ่มปฏิบัติการมาอย่างน้อยหนึ่งทศวรรษ และมีความชัดเจนเรื่องเป้าหมายมากกว่ากลุ่มอื่น คือมุ่งไปที่หน่วยงานทหารและรัฐบาลในอาเซียนเป็นหลัก ประเทศที่ถูกระบุชื่อในรายงานประกอบด้วยไทย เมียนมา เวียดนาม ฟิลิปปินส์ อินโดนีเซีย บรูไน และออสเตรเลีย ปฏิบัติการที่ถูกวิเคราะห์ละเอียดที่สุดกินเวลาตั้งแต่มิถุนายน 2562 ถึงมีนาคม 2564 โดยใช้แบ็กดอร์ (backdoor — ประตูลับสำหรับควบคุมเครื่องจากระยะไกล) สองตัวที่ไม่เคยถูกบันทึกมาก่อน คือ RainyDay และ Nebulae ก่อนหน้านั้นกลุ่มเป็นที่รู้จักจากแบ็กดอร์ Aria-body ที่ใช้โจมตีกระทรวงและสถานทูตในภูมิภาค

หมายเหตุเรื่องชื่อที่ผู้อ่านควรระวัง คือบางฐานข้อมูลระบุชื่อ “Lotus Panda” ไว้เป็นชื่อพ้องของ Naikon ขณะที่รายงานของ Symantec ใช้ชื่อเดียวกันนี้กับกลุ่ม Billbug การค้นข้อมูลข้ามแหล่งจึงอาจได้ข้อมูลของคนละกลุ่ม

Billbug เป็นกลุ่มสายจีนที่ปฏิบัติการต่อเนื่องมาตั้งแต่อย่างน้อยปี 2552 และถูกติดตามในชื่ออื่นอีกหลายชื่อ ได้แก่ Lotus Panda, Lotus Blossom, Thrip, Bronze Elgin และ Spring Dragon แคมเปญที่สะท้อนความเสี่ยงต่อประเทศแบบไทยได้ชัดที่สุดคือปฏิบัติการระหว่างสิงหาคม 2567 ถึงกุมภาพันธ์ 2568 ที่ Symantec เปิดเผย ซึ่งกลุ่มเจาะองค์กรหลายแห่งในประเทศเดียวกันในอาเซียนพร้อมกัน ทั้งกระทรวงของรัฐบาล หน่วยงานควบคุมจราจรทางอากาศ ผู้ให้บริการโทรคมนาคม และบริษัทก่อสร้าง พร้อมกับเจาะสำนักข่าวในอีกประเทศหนึ่ง และธุรกิจขนส่งสินค้าทางอากาศในประเทศเพื่อนบ้าน แบ็กดอร์ประจำตัวของกลุ่มคือ Sagerunex ซึ่งรุ่นใหม่ใช้บริการคลาวด์สาธารณะเป็นช่องทางสั่งการ

1.2 กลุ่มที่เจาะจงหน่วยงานรัฐระดับสูง: Sharp Dragon และ Dark Pink

Sharp Dragon หรือชื่อเดิม Sharp Panda เป็นปฏิบัติการจารกรรมสายจีนที่ Check Point Research ติดตามมาตั้งแต่ปี 2564 ลักษณะเด่นคือความระมัดระวังในการเลือกเป้าหมาย กลุ่มไม่กระจายมัลแวร์เป็นวงกว้าง แต่เจาะจงหน่วยงานรัฐระดับสูงในอาเซียน โดยเฉพาะประเทศที่มีประเด็นข้อพิพาทดินแดนหรือโครงการโครงสร้างพื้นฐานเชิงยุทธศาสตร์เกี่ยวข้องกับจีน ซึ่ง Check Point ระบุชื่อไทย เวียดนาม และอินโดนีเซียไว้ชัดเจน หนึ่งในแคมเปญที่ถูกวิเคราะห์ละเอียดมุ่งเป้ากระทรวงการต่างประเทศของประเทศหนึ่งในอาเซียนโดยตรง เพย์โหลดรุ่นแรกคือแบ็กดอร์ VictoryDll ต่อมาถูกแทนที่ด้วยตัวโหลด SoulSearcher ที่ปล่อยกรอบงานมัลแวร์แบบแยกโมดูลชื่อ Soul และช่วงหลังกลุ่มเปลี่ยนมาใช้ Cobalt Strike Beacon แทนเครื่องมือที่พัฒนาเอง เพื่อไม่ให้เครื่องมือเฉพาะของกลุ่มถูกนักวิจัยเก็บตัวอย่างไปวิเคราะห์

Dark Pink หรือ Saaiwc Group เป็นกลุ่มที่ Group-IB เปิดโปงเมื่อต้นปี 2566 สิ่งที่ทำให้กลุ่มนี้โดดเด่นคือความเฉพาะเจาะจงของเป้าหมาย กลุ่มไม่สนใจองค์กรเอกชนทั่วไป แต่พุ่งไปที่เหล่าทัพ กระทรวง หน่วยงานรัฐ และองค์กรไม่แสวงหากำไรในเอเชียแปซิฟิก เป้าหมายชุดแรกครอบคลุมกัมพูชา อินโดนีเซีย มาเลเซีย ฟิลิปปินส์ เวียดนาม และบอสเนียและเฮอร์เซโกวีนา ต่อมากลุ่มขยายปฏิบัติการมาถึงเบลเยียม บรูไน และไทย โดยมีการโจมตีอย่างน้อยห้าครั้งในช่วงกุมภาพันธ์ 2565 ถึงเมษายน 2566 ที่มุ่งเป้าหน่วยงานในเบลเยียม บรูไน อินโดนีเซีย ไทย และเวียดนาม เครื่องมือหลักคือ TelePowerBot ที่เขียนด้วย PowerShell และ KamiKakaBot ซึ่งเป็นเวอร์ชัน .NET ของตัวเดียวกัน ทั้งสองตัวรับคำสั่งผ่านช่อง Telegram ที่กลุ่มควบคุม

1.3 ระบบนิเวศ APT41: Amaranth-Dragon และ Silver Dragon

APT41 เป็นหนึ่งในกลุ่มสายจีนที่มีความสามารถสูงที่สุด สิ่งที่ทำให้ต่างจากกลุ่มอื่นคือการทำงานสองหน้าที่พร้อมกัน ในเวลาราชการตามเขตเวลาจีนกลุ่มดำเนินการจารกรรมที่สอดคล้องกับผลประโยชน์ของรัฐ ส่วนนอกเวลาทำงานกลับหันไปทำอาชญากรรมไซเบอร์หาเงินให้ตัวเอง จนถูกเรียกในชื่อ Double Dragon จุดแข็งที่อันตรายเป็นพิเศษคือการโจมตีห่วงโซ่อุปทาน (Supply Chain) คือเจาะผู้พัฒนาซอฟต์แวร์แล้วฝังโค้ดอันตรายลงในตัวติดตั้งหรืออัปเดตที่มีลายเซ็นถูกต้อง เพื่อให้มัลแวร์ไหลไปถึงลูกค้าปลายทางนับพันรายพร้อมกัน อีกพฤติกรรมที่ทำซ้ำมาตลอดคือการมุ่งเป้าข้อมูลบันทึกการใช้โทรศัพท์ (call detail records) ในผู้ให้บริการโทรคมนาคม ซึ่งใช้ติดตามความเคลื่อนไหวและเครือข่ายความสัมพันธ์ของบุคคลเป้าหมายได้โดยไม่ต้องเจาะโทรศัพท์ของคนคนนั้นเลย

Amaranth-Dragon เป็นกลุ่มที่ Check Point Research เปิดโปงเมื่อกุมภาพันธ์ 2569 หลังติดตามปฏิบัติการตลอดปี 2568 และเป็นกลุ่มที่มีหลักฐานเชื่อมโยงกับไทยชัดเจนที่สุดในบรรดากลุ่มใหม่ แคมเปญที่มุ่งเป้าไทยและลาวโดยตรงเริ่มตั้งแต่ 3 กรกฎาคม 2568 เป้าหมายคือหน่วยงานรัฐและหน่วยงานบังคับใช้กฎหมายในไทย ลาว กัมพูชา อินโดนีเซีย สิงคโปร์ และฟิลิปปินส์ ชุดเครื่องมือประกอบด้วย Amaranth Loader ที่ส่งเพย์โหลดเข้ารหัส กรอบงานสั่งการ Havoc C2 และโทรจันควบคุมระยะไกลชื่อ TGAmaranth ที่รับคำสั่งผ่าน Telegram

Silver Dragon เป็นกลุ่มที่ Check Point เปิดเผยเมื่อมีนาคม 2569 หลังติดตามมาตั้งแต่กลางปี 2567 ประเมินว่าปฏิบัติการอยู่ใต้ร่ม APT41 เช่นกัน เป้าหมายคือหน่วยงานรัฐในอาเซียนซึ่งมีไทยรวมอยู่ด้วย และขยายไปถึงยุโรป เครื่องมือเด่นคือ GearDoor แบ็กดอร์ที่ใช้ Google Drive เป็นช่องทางสั่งการ ทำให้ทราฟฟิกอันตรายกลมกลืนกับการซิงก์ไฟล์ตามปกติขององค์กร ร่วมกับ SSHcmd สำหรับเข้าถึงเครื่องจากระยะไกล และ SilverScreen สำหรับเฝ้าดูหน้าจอเหยื่อ จุดที่เชื่อมโยงกับ APT41 คือสคริปต์ติดตั้งของตัวโหลด BambooLoader มีลักษณะซ้อนทับกับสคริปต์หลังเจาะระบบที่เคยถูกระบุว่าเป็นของ APT41 โดยตรง

การมีสองกลุ่มใหม่ที่โยงกับ APT41 ปรากฏขึ้นภายในปีเดียวกัน และทั้งคู่มีไทยอยู่ในรายชื่อเป้าหมาย สะท้อนว่า APT41 ไม่ใช่ทีมเดียวโดดๆ แต่เป็นเครือข่ายที่แบ่งปันเครื่องมือ ความรู้ และโครงสร้างพื้นฐานร่วมกันหลายทีม การรับมือจึงต้องมองเป็นระบบนิเวศ ไม่ใช่การเฝ้าระวังชื่อกลุ่มใดกลุ่มหนึ่ง

1.4 กลุ่มที่มุ่งเป้าโครงสร้างพื้นฐาน: Salt Typhoon และ Unfading Sea Haze

Salt Typhoon คือปฏิบัติการจารกรรมสายจีนที่ถือเป็นหนึ่งในแคมเปญที่กว้างที่สุดในรอบหลายปี เป้าหมายคือผู้ให้บริการโทรศัพท์และอินเทอร์เน็ตรายใหญ่ของโลก โดยมีรายงานว่ากลุ่มขโมยข้อมูลบันทึกการใช้โทรศัพท์ของเจ้าหน้าที่รัฐระดับสูงไปหลายสิบล้านรายการ ความเกี่ยวข้องกับไทยไม่ใช่เรื่องอ้อมค้อม รายงานระบุว่านักวิจัยพบอุปกรณ์เครือข่าย Cisco ที่ถูกเจาะซึ่งเป็นของผู้ให้บริการโทรคมนาคมในสหรัฐฯ แอฟริกาใต้ อิตาลี และไทย นอกจากนี้ยังพบว่ากลุ่มเข้าโจมตีเราเตอร์ของมหาวิทยาลัยในบังกลาเทศ อินโดนีเซีย มาเลเซีย และไทย ซึ่งเป็นรูปแบบที่กลุ่มระดับรัฐนิยมใช้ คือยึดอุปกรณ์ของสถาบันการศึกษาที่มักดูแลไม่ทั่วถึงมาเป็นฐานปฏิบัติการหรือทางผ่าน เพื่อให้ทราฟฟิกโจมตีดูเหมือนมาจากแหล่งที่ไม่น่าสงสัย

Unfading Sea Haze เป็นชื่อที่ Bitdefender ตั้งให้กับกลุ่มที่เปิดเผยเมื่อพฤษภาคม 2567 หลังพบว่าเหตุการณ์บุกรุกในองค์กรระดับสูงหลายแห่งของประเทศรอบทะเลจีนใต้เป็นฝีมือของผู้โจมตีรายเดียวกัน กลุ่มปฏิบัติการมาตั้งแต่อย่างน้อยปี 2561 และกระทบหน่วยงานทหารกับหน่วยงานรัฐอย่างน้อย 8 แห่ง โดยฝังตัวอยู่ในเครือข่ายเหยื่อได้นานถึง 6 ปี ประเด็นที่ควรจำที่สุดจากกรณีนี้ไม่ใช่ตัวมัลแวร์ แต่คือสาเหตุที่กลุ่มกลับเข้ามาได้ซ้ำแล้วซ้ำเล่า Bitdefender ระบุชัดว่าผู้โจมตีกลับมาได้เพราะสองอย่าง คือการจัดการรหัสผ่านที่ไม่รัดกุม และการอัปเดตแพตช์ที่ไม่ทั่วถึงบนอุปกรณ์ชายขอบกับบริการเว็บที่เปิดสู่อินเทอร์เน็ต หมายความว่าแม้ทีมตอบสนองจะกวาดล้างมัลแวร์ออกไปแล้ว แต่ถ้าไม่ปิดสองช่องนี้ ผู้โจมตีก็เดินกลับเข้าประตูเดิมได้ทันที

2. ภาคส่วนของไทยที่อยู่ในแนวเสี่ยง

เมื่อนำเป้าหมายของกลุ่มทั้งเก้ามาซ้อนทับกัน จะเห็นภาพว่าความเสี่ยงไม่ได้กระจายเท่ากันทุกภาคส่วน แต่กระจุกอยู่ในกลุ่มองค์กรที่ถือครองข้อมูลเชิงนโยบายและควบคุมโครงสร้างพื้นฐานที่ประเทศพึ่งพา

ภาพที่ 2: ตารางแสดงระดับความสนใจของแต่ละกลุ่มต่อภาคส่วนต่างๆ ประเมินจากเป้าหมายที่ปรากฏในรายงานสาธารณะ ช่องสีแดงคือภาคส่วนที่กลุ่มนั้นมุ่งเป้าเป็นหลัก จะเห็นว่าคอลัมน์ “หน่วยงานรัฐ/กระทรวง” มีสีแดงเกือบทั้งแถว ขณะที่โทรคมนาคมและโครงสร้างพื้นฐานสำคัญเป็นจุดรวมของกลุ่มที่มีขีดความสามารถสูงสุด

หน่วยงานรัฐและกระทรวง เป็นภาคส่วนที่มีกลุ่มสนใจมากที่สุด โดยแปดในเก้ากลุ่มระบุหน่วยงานรัฐเป็นเป้าหมายหลัก กระทรวงการต่างประเทศได้รับความสนใจเป็นพิเศษจาก Sharp Dragon เพราะเป็นแหล่งรวมข้อมูลท่าทีทางการทูตและการเจรจาที่ยังไม่เปิดเผย

หน่วยงานทหารและกลาโหม เป็นเป้าหมายเฉพาะของ Naikon, Dark Pink และ Unfading Sea Haze ซึ่งทั้งสามกลุ่มมีลักษณะร่วมคือเน้นการฝังตัวระยะยาวมากกว่าการสร้างความเสียหาย จุดที่ต้องระวังคือหน่วยงานเหล่านี้มักประเมินความเสี่ยงจากการที่เครือข่ายแยกจากอินเทอร์เน็ต แต่กรณี Unfading Sea Haze แสดงให้เห็นว่าการฝังตัว 6 ปีเกิดขึ้นได้แม้ในองค์กรที่มีมาตรการเข้มงวด หากการจัดการรหัสผ่านและการอัปเดตอุปกรณ์ชายขอบยังหละหลวม

โทรคมนาคมและผู้ให้บริการอินเทอร์เน็ต เป็นเป้าหมายของ APT41, Billbug และ Salt Typhoon ซึ่งเป็นสามกลุ่มที่มีขีดความสามารถสูงที่สุดในรายการนี้ เหตุผลตรงไปตรงมา คือผู้ให้บริการโทรคมนาคมหนึ่งรายถือครองข้อมูลการติดต่อสื่อสารของประชากรทั้งประเทศ การเจาะสำเร็จหนึ่งครั้งจึงให้ผลตอบแทนด้านข่าวกรองมากกว่าการเจาะหน่วยงานรัฐหลายสิบแห่งรวมกัน

หน่วยงานบังคับใช้กฎหมาย ปรากฏเป็นเป้าหมายชัดเจนของ Amaranth-Dragon และเคยมีกรณีของกลุ่มสายจีนอื่นที่มุ่งเป้าสำนักงานตำรวจแห่งชาติของไทยมาก่อน ข้อมูลในระบบของหน่วยงานประเภทนี้มีทั้งข้อมูลบุคคล ข้อมูลคดี และข้อมูลการปฏิบัติงานที่มีมูลค่าทางข่าวกรองสูงมาก

สถาบันการศึกษาและงานวิจัย มักถูกมองข้ามในการจัดลำดับความสำคัญด้านความมั่นคง แต่กรณี Salt Typhoon แสดงให้เห็นบทบาทที่แตกต่างออกไป คือมหาวิทยาลัยไม่ได้ถูกเจาะเพราะข้อมูลในนั้น แต่ถูกยึดเราเตอร์เพื่อใช้เป็นทางผ่านสำหรับโจมตีเป้าหมายอื่น องค์กรที่ไม่คิดว่าตัวเองเป็นเป้าหมาย จึงกลายเป็นเครื่องมือของผู้โจมตีโดยไม่รู้ตัว

3. ยุทธวิธี เทคนิค และรูปแบบร่วม (TTPs)

3.1 ช่องทางเข้าถึงเริ่มต้น

แม้กลุ่มทั้งเก้าจะมีเครื่องมือต่างกัน แต่ช่องทางที่ใช้เข้าสู่เครือข่ายเหยื่อกลับกระจุกตัวอยู่ไม่กี่แบบ

ภาพที่ 3: จำนวนกลุ่มที่ใช้ช่องทางเข้าถึงเริ่มต้นแต่ละแบบ อีเมลหลอกเจาะจงเป้าหมายยังคงเป็นช่องทางอันดับหนึ่งอย่างทิ้งห่าง รองลงมาคือการเจาะอุปกรณ์ชายขอบและบริการที่เปิดสู่อินเทอร์เน็ตโดยตรง ซึ่งเป็นช่องทางที่ไม่ต้องอาศัยความผิดพลาดของผู้ใช้เลย

อีเมลหลอกเจาะจงเป้าหมาย (spear-phishing) ยังเป็นช่องทางหลักของแปดในเก้ากลุ่ม สิ่งที่เปลี่ยนไปคือคุณภาพของเอกสารล่อ กลุ่มอย่าง Amaranth-Dragon ออกแบบชื่อไฟล์และเนื้อหาให้ตรงกับเหตุการณ์การเมืองหรือประกาศราชการที่กำลังเป็นที่สนใจในประเทศนั้นๆ ในช่วงเวลานั้นพอดี เช่น ประกาศปรับเงินเดือนข้าราชการ หรือการซ้อมรบร่วมระดับภูมิภาค ทำให้การฝึกอบรมแบบเดิมที่สอนให้ “ระวังอีเมลจากคนแปลกหน้า” ไม่เพียงพอ เพราะเนื้อหาที่มาถึงดูสมเหตุสมผลกับงานของผู้รับทุกประการ

อุปกรณ์ชายขอบและบริการที่เปิดสู่อินเทอร์เน็ต เป็นช่องทางที่ห้ากลุ่มใช้ และเป็นช่องทางที่น่ากังวลกว่าอีเมล เพราะไม่ต้องอาศัยความผิดพลาดของมนุษย์เลย เพียงมีอุปกรณ์ตัวเดียวที่ตกหล่นจากรอบการอัปเดตแพตช์ก็เพียงพอ กรณี Unfading Sea Haze แสดงให้เห็นว่านี่คือสาเหตุที่ผู้โจมตีกลับเข้ามาได้ซ้ำแม้ผ่านการกวาดล้างแล้ว

ไฟล์บีบอัดที่ถูกดัดแปลง เป็นช่องทางที่กำลังมาแรง ทั้งไฟล์ RAR ที่ใช้ช่องโหว่ WinRAR ของ Amaranth-Dragon และไฟล์ zip ที่ซ่อนไฟล์ทางลัด (.lnk) ปลอมเป็นเอกสารของ Unfading Sea Haze จุดร่วมคือทั้งคู่อาศัยพฤติกรรมปกติของผู้ใช้ที่แตกไฟล์บีบอัดโดยไม่ตรวจสอบสิ่งที่อยู่ข้างใน

3.2 เทคนิคหลบเลี่ยงที่ใช้ร่วมกัน

ภาพที่ 4: เทคนิคหลบเลี่ยงการตรวจจับและช่องทางสั่งการที่กลุ่มต่างๆ ใช้ร่วมกัน การใช้บริการคลาวด์ที่ถูกกฎหมายเป็นช่องทางสั่งการเป็นเทคนิคที่แพร่หลายที่สุด ตามด้วยการยืมโปรแกรมที่มีลายเซ็นถูกต้องมาโหลดมัลแวร์

รูปแบบที่ปรากฏซ้ำมากที่สุดคือ การใช้บริการคลาวด์ที่ถูกกฎหมายเป็นช่องทางสั่งการ (C2) Silver Dragon ใช้ Google Drive, Amaranth-Dragon ใช้ Dropbox เก็บไฟล์และ Telegram รับคำสั่ง, Dark Pink ใช้ Telegram, Billbug ใช้บริการคลาวด์สาธารณะกับ Sagerunex รุ่นใหม่ ผลกระทบเชิงปฏิบัติคือ การเฝ้าระวังที่ตั้งอยู่บนสมมติฐานว่า “ทราฟฟิกไปยังปลายทางที่เชื่อถือได้เท่ากับปลอดภัย” ใช้ไม่ได้อีกต่อไป องค์กรต้องเปลี่ยนคำถามจาก “เครื่องนี้ติดต่อกับที่ไหน” เป็น “กระบวนการไหนบนเครื่องนี้เป็นคนติดต่อ และมีเหตุผลทางธุรกิจหรือไม่”

รูปแบบที่สองคือ การยืมโปรแกรมที่มีลายเซ็นถูกต้องมาโหลดมัลแวร์ (DLL sideloading) ซึ่งกรณีของ Billbug ไปไกลกว่าปกติ คือกลุ่มเลือกใช้ไฟล์ปฏิบัติการของผู้ขายด้านความปลอดภัยเอง ทั้ง tmdbglog.exe ของ Trend Micro และ bds.exe ของ Bitdefender มาโหลดไลบรารีอันตราย นั่นหมายความว่าการมีลายเซ็นดิจิทัลของผู้ขายที่น่าเชื่อถือไม่ใช่หลักประกันว่าสิ่งที่โปรแกรมนั้นโหลดเข้ามาจะปลอดภัยด้วย

รูปแบบที่สามซึ่งเป็นตัวบ่งชี้ระดับรัฐได้ชัดเจนที่สุดคือ การจำกัดโครงสร้างพื้นฐานตามพื้นที่ภูมิศาสตร์ เซิร์ฟเวอร์สั่งการของ Amaranth-Dragon อยู่หลัง Cloudflare และถูกตั้งค่าให้ตอบสนองเฉพาะหมายเลข IP ที่มาจากประเทศเป้าหมายเท่านั้น ทำให้นักวิจัยจากภายนอกวิเคราะห์แทบไม่ได้ และลดโอกาสที่เหยื่อนอกเป้าหมายจะติดมัลแวร์โดยไม่ตั้งใจ วินัยระดับนี้แทบไม่พบในปฏิบัติการอาชญากรรม และมีนัยสำคัญต่อไทยโดยตรง คือ ตัวอย่างมัลแวร์ที่ส่งไปวิเคราะห์ในบริการต่างประเทศอาจไม่แสดงพฤติกรรมอะไรเลย เพราะเซิร์ฟเวอร์ปลายทางไม่ตอบกลับให้ ทำให้องค์กรเข้าใจผิดว่าไฟล์นั้นไม่อันตราย

4. ผลกระทบต่อประเทศไทยโดยตรง

ประเด็นแรกที่ต้องยอมรับอย่างตรงไปตรงมาคือ จำนวนกลุ่มที่ต้องเฝ้าระวังพร้อมกันเพิ่มขึ้น ไม่ใช่หมุนเวียนแทนที่กัน กลุ่มเก่าอย่าง Naikon และ Billbug ยังปฏิบัติการอยู่ ขณะที่กลุ่มใหม่อย่าง Amaranth-Dragon และ Silver Dragon เพิ่มเข้ามาในปี 2568–2569 หน่วยงานที่วางแผนทรัพยากรด้านความมั่นคงไซเบอร์บนสมมติฐานว่าภัยคุกคามคงที่ จึงกำลังประเมินภาระงานต่ำกว่าความเป็นจริง

ประเด็นที่สองคือ ช่องว่างระหว่างวันเปิดเผยช่องโหว่กับวันที่องค์กรอัปเดตแพตช์ กลายเป็นหน้าต่างปฏิบัติการของกลุ่มระดับรัฐ กรณี Amaranth-Dragon ที่ใช้ CVE-2025-8088 ภายในไม่ถึง 10 วัน หมายความว่าองค์กรที่มีรอบอัปเดตรายเดือนจะมีช่วงเวลาเสี่ยงอย่างน้อยสามสัปดาห์ต่อช่องโหว่ที่ถูกใช้จริง และช่องโหว่ที่ถูกเลือกก็ไม่ใช่ช่องโหว่ในระบบเซิร์ฟเวอร์ที่ทีมไอทีจับตาอยู่แล้ว แต่เป็นโปรแกรมบีบอัดไฟล์ที่ติดตั้งอยู่ในเครื่องพนักงานทุกคนและแทบไม่มีใครนึกถึงในแผนอัปเดต

ประเด็นที่สามคือ อุปกรณ์เครือข่ายเป็นจุดบอดเชิงระบบของประเทศ ทั้ง Salt Typhoon ที่ยึดเราเตอร์และอุปกรณ์ Cisco และ Unfading Sea Haze ที่กลับเข้ามาผ่านอุปกรณ์ชายขอบที่ไม่ได้อัปเดต ล้วนอาศัยข้อเท็จจริงเดียวกันคือ อุปกรณ์เครือข่ายส่วนใหญ่ไม่มีเครื่องมือป้องกันระดับเครื่อง (endpoint) ติดตั้งอยู่ ทำให้ไม่มีใครเห็นว่าถูกเจาะ การที่มหาวิทยาลัยไทยถูกระบุชื่อในรายงานยิ่งตอกย้ำว่าปัญหานี้ไม่ได้จำกัดอยู่แค่หน่วยงานความมั่นคง แต่กระจายอยู่ทั่วทั้งระบบนิเวศดิจิทัลของประเทศ

ประเด็นที่สี่คือ ความเสี่ยงแบบเชื่อมโยงข้ามองค์กร รูปแบบของ Billbug ที่เจาะกระทรวง หน่วยงานควบคุมจราจรทางอากาศ ผู้ให้บริการโทรคมนาคม และบริษัทก่อสร้างของประเทศเดียวกันพร้อมกัน มีนัยว่าเมื่อองค์กรหนึ่งในภาคส่วนหนึ่งถูกเจาะ องค์กรอื่นในภาคส่วนใกล้เคียงก็มีแนวโน้มถูกลองด้วยเช่นกัน การที่แต่ละหน่วยงานรับมือแยกกันโดยไม่แลกเปลี่ยนตัวบ่งชี้การถูกโจมตี (IoC) จึงเท่ากับปล่อยให้ผู้โจมตีใช้เครื่องมือชุดเดิมได้ซ้ำหลายรอบ

5. ประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ

จากภาพรวมข้างต้น ประเมินได้ว่าภัยคุกคามที่ไทยเผชิญมีลักษณะเป็น การจารกรรมข้อมูลเชิงยุทธศาสตร์ระยะยาว ไม่ใช่การก่อกวนหรือทำลาย กลุ่มทั้งเก้าไม่มีกลุ่มใดมุ่งเข้ารหัสเรียกค่าไถ่หรือทำลายระบบ วัตถุประสงค์คือการอยู่ในเครือข่ายให้นานที่สุดและส่งข้อมูลออกอย่างเงียบที่สุด ผลที่ตามมาในเชิงปฏิบัติคือ ตัวชี้วัดความสำเร็จด้านความมั่นคงไซเบอร์ที่หลายองค์กรใช้อยู่นั้นวัดผิดเรื่อง การไม่มีเหตุการณ์ระบบล่มไม่ได้แปลว่าไม่ถูกเจาะ และอาจแปลตรงกันข้ามด้วยซ้ำ เพราะกลุ่มเหล่านี้ตั้งใจไม่ให้เกิดอาการที่มองเห็นได้

ความเสี่ยงจึงไม่ใช่เรื่องความปลอดภัยขององค์กรใดองค์กรหนึ่ง แต่เป็นเรื่อง อธิปไตยทางข้อมูล ข้อมูลท่าทีการเจรจา แผนโครงสร้างพื้นฐาน ข้อมูลกำลังพล และข้อมูลการติดต่อสื่อสารของเจ้าหน้าที่ระดับสูง เมื่อรั่วไหลออกไปแล้วไม่สามารถเรียกคืนได้ และให้ประโยชน์แก่ผู้ที่ได้ไปในทุกเวทีเจรจาต่อจากนั้น การตอบสนองจึงต้องมาจากระดับนโยบาย ไม่ใช่ปล่อยให้เป็นภาระของฝ่ายไอทีในแต่ละหน่วยงาน

ข้อจำกัดของการประเมินนี้ที่ควรระบุไว้ คือรายการเก้ากลุ่มนี้สะท้อนเฉพาะสิ่งที่ ถูกค้นพบและเปิดเผยต่อสาธารณะแล้ว เท่านั้น กรณี Unfading Sea Haze ที่ฝังตัวได้ 6 ปีก่อนถูกพบ และกรณี Amaranth-Dragon ที่ปฏิบัติการตลอดปี 2568 ก่อนถูกเปิดโปงในปี 2569 บ่งชี้ว่าช่วงเวลาระหว่างการโจมตีจริงกับการค้นพบมักกินเวลาหลายปี จำนวนกลุ่มที่ปฏิบัติการต่อไทยอยู่จริงในขณะนี้จึงน่าจะมากกว่าเก้ากลุ่ม

6. ข้อเสนอเชิงยุทธศาสตร์

6.1 ระยะเร่งด่วน (0–30 วัน)

ลำดับแรกคือ จัดทำบัญชีรายการอุปกรณ์และบริการที่เปิดสู่อินเทอร์เน็ตให้ครบถ้วน เพราะไม่มีองค์กรใดป้องกันสิ่งที่ตัวเองไม่รู้ว่ามีอยู่ได้ ควบคู่กับการตรวจสอบสถานะแพตช์ของเราเตอร์ สวิตช์ และอุปกรณ์ VPN ทุกตัว ปิดการจัดการอุปกรณ์จากฝั่งอินเทอร์เน็ต เปลี่ยนรหัสผ่านค่าเริ่มต้น และตรวจสอบไฟล์ตั้งค่าว่ามีรายการที่ไม่ได้เพิ่มเอง เช่น บัญชีผู้ใช้ใหม่หรืออุโมงค์ที่ไม่รู้จัก

ลำดับที่สองคือ อัปเดต WinRAR และโปรแกรมบีบอัดไฟล์ทุกเครื่องในองค์กร พร้อมตรวจสอบโฟลเดอร์ Startup ของเครื่องผู้ใช้ว่ามีไฟล์แปลกปลอมหรือไม่ ซึ่งเป็นกลไกฝังตัวที่ Amaranth-Dragon ใช้โดยตรง

ลำดับที่สามคือ บังคับใช้การยืนยันตัวตนหลายปัจจัยกับทุกบัญชีที่เข้าถึงได้จากภายนอก โดยเฉพาะบัญชีผู้ดูแลระบบและบัญชี VPN ซึ่งเป็นช่องที่ทำให้ Unfading Sea Haze กลับเข้ามาได้ซ้ำ

6.2 ระยะกลาง (1–3 เดือน)

ปรับ การเฝ้าระวังจากการดูปลายทางเป็นการดูกระบวนการต้นทาง ตั้งกฎแจ้งเตือนเมื่อกระบวนการที่ไม่ใช่เบราว์เซอร์หรือไม่ใช่ไคลเอนต์ซิงก์อย่างเป็นทางการ ติดต่อไปยัง Google Drive, Dropbox หรือ API ของ Telegram และเฝ้าระวังการเชื่อมต่อบริการเหล่านี้จากเครื่องเซิร์ฟเวอร์ซึ่งไม่ควรมีเหตุผลต้องใช้

สร้าง ความสามารถในการตรวจจับ DLL sideloading โดยตรวจว่าไลบรารีที่โปรแกรมโหลดมาจากตำแหน่งที่คาดหวังหรือไม่ ไม่ใช่ตรวจแค่ว่าไฟล์ปฏิบัติการมีลายเซ็นถูกต้อง และควบคุมกับบันทึกการรันสคริปต์ PowerShell ในเครื่องผู้ใช้ทั่วไป ซึ่งแทบไม่มีเหตุผลทางธุรกิจที่ผู้ใช้ต้องรันสคริปต์เอง

ยกระดับ การฝึกอบรมผู้ใช้จากเนื้อหาทั่วไปเป็นสถานการณ์จำลองตามบริบทไทย โดยใช้ธีมล่อที่กลุ่มเหล่านี้ใช้จริง เช่น เอกสารประกาศราชการ เอกสารความร่วมมือระหว่างประเทศ หรือข่าวเหตุการณ์การเมืองที่กำลังเป็นที่สนใจ แทนตัวอย่างอีเมลหลอกแบบสากลที่ไม่ตรงกับสิ่งที่ผู้ใช้จะเจอจริง

6.3 ระยะยาว (3–12 เดือน)

จัดตั้งหรือยกระดับ กลไกแลกเปลี่ยนตัวบ่งชี้การถูกโจมตี (IoC) ระหว่างหน่วยงานในภาคส่วนเดียวกัน โดยเฉพาะภาคโทรคมนาคม คมนาคม และหน่วยงานความมั่นคง เพื่อไม่ให้ผู้โจมตีใช้เครื่องมือชุดเดิมเจาะหลายองค์กรได้ซ้ำ ซึ่งเป็นรูปแบบที่ Billbug ทำสำเร็จมาแล้ว

พัฒนา ขีดความสามารถในการล่าภัยคุกคามเชิงรุก (threat hunting) แทนการรอให้ระบบแจ้งเตือน เพราะกลุ่มที่วิเคราะห์ในรายงานนี้ออกแบบมาเพื่อไม่ให้เกิดการแจ้งเตือนตั้งแต่ต้น พร้อมกับกำหนดนโยบายเก็บบันทึก (log) การเชื่อมต่อขาออกและการเข้าถึงอุปกรณ์เครือข่ายไว้ย้อนหลังให้นานพอสำหรับการสืบสวนย้อนกลับหลายปี ไม่ใช่หลายสัปดาห์

ทบทวน การตรวจสอบความน่าเชื่อถือของซอฟต์แวร์และผู้ให้บริการภายนอก ทั้งซอฟต์แวร์ที่นำเข้ามาใช้ในองค์กรและผู้รับเหมาที่มีสิทธิ์เข้าถึงระบบ เพราะการโจมตีห่วงโซ่อุปทาน (Supply Chain) เป็นจุดแข็งที่ APT41 ใช้มาตลอด และเป็นช่องทางที่มาตรการป้องกันขอบเขตเครือข่ายแบบเดิมมองไม่เห็นเลย

สำหรับ ผู้ให้บริการโทรคมนาคมโดยเฉพาะ ควรตรวจสอบสิทธิ์การเข้าถึงฐานข้อมูลบันทึกการใช้บริการอย่างเข้มงวด เก็บบันทึกการเข้าถึงไว้ตรวจสอบย้อนหลัง และตั้งการแจ้งเตือนเมื่อมีการดึงข้อมูลปริมาณผิดปกติ เพราะข้อมูลชุดนี้คือเป้าหมายร่วมของทั้ง APT41 และ Salt Typhoon

7. บทสรุปและมุมมองไปข้างหน้า (Outlook)

ภาพรวมที่ได้จากการรวบรวมกลุ่มทั้งเก้าชี้ว่า ประเทศไทยอยู่ในสถานะเป้าหมายที่ ต่อเนื่อง ซ้ำซ้อน และมีแนวโน้มเพิ่มขึ้น ไม่ใช่เป้าหมายชั่วคราวที่ผ่านมาแล้วผ่านไป เหตุผลเชิงโครงสร้างคือปัจจัยที่ทำให้ไทยน่าสนใจในสายตาผู้เก็บข่าวกรอง ทั้งบทบาทศูนย์กลางการทูตอาเซียน ที่ตั้งทางภูมิศาสตร์ โครงการโครงสร้างพื้นฐานข้ามพรมแดน และความสัมพันธ์ที่ต้องถ่วงดุลระหว่างมหาอำนาจ ล้วนเป็นปัจจัยที่ไม่หายไปในระยะสั้น

แนวโน้มที่คาดว่าจะเห็นในช่วง 12 เดือนข้างหน้ามีสามด้าน ด้านแรกคือ การใช้เครื่องมือ AI ในกระบวนการโจมตีจะแพร่หลายขึ้น โดยมีสัญญาณแล้วจากรายงานปี 2569 ที่พบการใช้ผู้ช่วยเขียนโค้ดด้วย AI ในกระบวนการเจาะระบบหน่วยงานรัฐของไทย อัฟกานิสถาน และไต้หวัน ซึ่งจะยิ่งลดเวลาจากการค้นพบช่องโหว่ถึงการนำมาใช้จริง

ด้านที่สองคือ การแตกตัวของกลุ่มเป็นคลัสเตอร์ย่อยจะทำให้การเฝ้าระวังตามชื่อกลุ่มมีประโยชน์น้อยลง การที่ APT41 มีกลุ่มย่อยสองกลุ่มถูกเปิดโปงในปีเดียว บ่งชี้ว่าองค์กรควรเฝ้าระวังตามพฤติกรรมและเทคนิค (TTPs) มากกว่าตามรายชื่อกลุ่มหรือตัวบ่งชี้แบบตายตัว เพราะชื่อกลุ่มเปลี่ยนได้ แต่วิธีทำงานเปลี่ยนช้ากว่ามาก

ด้านที่สามคือ อุปกรณ์เครือข่ายจะยังเป็นสมรภูมิหลัก ตราบใดที่อุปกรณ์เหล่านี้ยังไม่มีการเฝ้าระวังในระดับเดียวกับเครื่องคอมพิวเตอร์ทั่วไป กลุ่มระดับรัฐจะยังเลือกใช้เป็นทางเข้าและฐานปฏิบัติการต่อไป เพราะให้ผลตอบแทนสูงและความเสี่ยงถูกตรวจพบต่ำที่สุดในบรรดาช่องทางทั้งหมด

ข้อเสนอสุดท้ายในเชิงนโยบายคือ ควรเปลี่ยนคำถามหลักของหน่วยงานจาก “เราถูกโจมตีหรือยัง” เป็น “ถ้าเราถูกฝังตัวอยู่แล้วมาสองปี เราจะรู้ได้อย่างไร” คำถามหลังเป็นคำถามที่นำไปสู่การลงทุนที่ถูกจุด ทั้งการเก็บบันทึกย้อนหลัง การล่าภัยคุกคามเชิงรุก และการมองเห็นอุปกรณ์เครือข่าย ซึ่งเป็นสามสิ่งที่กลุ่มในรายงานฉบับนี้อาศัยช่องว่างของมันมาโดยตลอด

ภาคผนวก ก: การจับคู่กับกรอบ MITRE ATT&CK

ภาคผนวก ข: สรุปกลุ่มและเครื่องมือ

ภาคผนวก ค: ช่องโหว่ที่เกี่ยวข้อง

แหล่งอ้างอิง

• Check Point Research — Amaranth-Dragon: Targeted Cyber Espionage Campaigns Across Southeast Asia
• Check Point Research — Amaranth-Dragon Weaponizes CVE-2025-8088 for Targeted Espionage
• Check Point Research — Silver Dragon Targets Organizations in Southeast Asia and Europe
• Check Point Research — Pandas with a Soul: Chinese Espionage Attacks Against Southeast Asian Government Entities
• Check Point Research — Sharp Dragon Expands Towards Africa and The Caribbean
• Symantec — Billbug: Intrusion Campaign Against Southeast Asia Continues
• The Record — China-linked Billbug hackers breached multiple entities in Southeast Asian country
• SecurityWeek — Chinese Cyberspies Target Military Organizations in Asia With New Malware (Naikon)
• Group-IB — Dark Pink: New APT group targets governmental, military organizations in APAC, Europe
• Group-IB — Latest techniques of the Dark Pink APT
• Bitdefender — Unfading Sea Haze: New Espionage Campaign in the South China Sea
• BleepingComputer — Unfading Sea Haze hackers hide on military and govt networks for 6 years
• TechCrunch — Salt Typhoon is hacking the world’s phone and internet giants
• The Record — China’s Salt Typhoon hackers targeting Cisco devices used by telcos, universities
• Hunt.io — Suspected Chinese Operators Use Claude Code and DeepSeek to Breach Government Systems
• Darktrace — Chinese APT Target Royal Thai Police in Malware Campaign
• MITRE ATT&CK — APT41 (G0096)

บทวิเคราะห์ฉบับนี้จัดทำโดย Cloud Thunder Threat Intelligence เพื่อประกอบการตัดสินใจเชิงยุทธศาสตร์และความมั่นคงปลอดภัยไซเบอร์ของประเทศ การระบุต้นทางของการโจมตี (attribution) อ้างอิงจากรายงานของบริษัทข่าวกรองภัยและหน่วยงานที่ระบุในแหล่งอ้างอิง ไม่ใช่ข้อสรุปเชิงข่าวกรองอิสระของ Cloud Thunder รายการกลุ่มในรายงานนี้สะท้อนเฉพาะกิจกรรมที่ถูกค้นพบและเปิดเผยต่อสาธารณะแล้วเท่านั้น