จัดทำโดย: Cloud Thunder Threat Intelligence
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคาม (Strategic Threat Actor Analysis)
หัวข้อ: OilRig (APT34) · Lyceum (HEXANE) · UNC5792 — กลุ่มภัยระดับรัฐที่อยู่นอกสายตาการเฝ้าระวังของไทย
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: รายงานจาก Trellix, Check Point Research, Google Threat Intelligence Group, FBI, CISA, MITRE ATT&CK และฐานข่าวของ Cloud Thunder

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

รายงานฉบับนี้ตั้งอยู่บนข้อสังเกตที่ควรทำให้ผู้กำหนดนโยบายด้านความมั่นคงไซเบอร์ของไทยไม่สบายใจ นั่นคือ ภัยคุกคามที่อันตรายที่สุดมักไม่ใช่ภัยที่อยู่ในพาดหัวข่าว ตลอดหนึ่งปีที่ผ่านมา ภูมิทัศน์ข่าวไซเบอร์ในไทยถูกครอบครองด้วยกลุ่มที่มีเสียงดัง ทั้งแรนซัมแวร์ที่ประกาศชื่อเหยื่อบนเว็บไซต์รั่วข้อมูล กลุ่มกรรโชกที่ให้สัมภาษณ์สื่อ และกลุ่มจารกรรมจีนที่ถูกเปิดโปงพร้อมหลักฐานเชื่อมโยงประเทศไทยโดยตรง แต่ในเงามืดของภูมิทัศน์นี้ยังมีกลุ่มระดับรัฐอีกจำนวนหนึ่งที่มีหลักฐานสาธารณะจากบริษัทข่าวกรองภัยคุกคามและหน่วยงานรัฐต่างประเทศรองรับอย่างหนักแน่น แต่แทบไม่เคยถูกรายงานเป็นข่าวในบริบทไทยเลย

บทวิเคราะห์นี้เลือกสามกลุ่มดังกล่าวมาพิจารณา คือ OilRig (APT34) และ Lyceum (HEXANE) สองกลุ่มสายอิหร่านที่ทำงานร่วมกันในระบบนิเวศเดียวกัน กับ UNC5792 คลัสเตอร์สายรัสเซียที่มุ่งยึดบัญชีแอปพลิเคชันรับส่งข้อความเข้ารหัส สามกลุ่มนี้ไม่มีจุดร่วมทางภูมิรัฐศาสตร์ แต่มีจุดร่วมทางยุทธศาสตร์ที่สำคัญกว่า นั่นคือทั้งหมดโจมตี ขีดความสามารถของรัฐ โดยตรง กลุ่มหนึ่งเจาะโครงสร้างพื้นฐานที่รัฐใช้เดินเครื่องประเทศ อีกกลุ่มเจาะช่องทางที่เจ้าหน้าที่รัฐใช้สื่อสารกันเอง

ประเด็นยุทธศาสตร์ที่ควรบันทึกไว้มีสี่ข้อ ข้อแรก OilRig เป็นกลุ่มที่แสดงให้เห็นว่า การเตรียมการล่วงหน้าคือส่วนหนึ่งของการโจมตี นักวิจัยติดตามโครงสร้างพื้นฐานของกลุ่มนี้ในช่วงพฤศจิกายน 2567 ถึงเมษายน 2568 แล้วพบการจดโดเมนปลอมเป็นสถาบันการศึกษาอิรักและบริษัทเทคโนโลยีอังกฤษที่ไม่มีอยู่จริง พร้อมการใช้กุญแจ SSH ซ้ำกันข้ามเซิร์ฟเวอร์หลายเครื่อง — ทั้งหมดนี้เกิดขึ้น ก่อน จะมีการปล่อยมัลแวร์ใด ๆ ข้อสอง กลุ่มนี้ย้ายฐานปฏิบัติการไปอยู่บนบริการคลาวด์ที่ถูกกฎหมายเกือบทั้งหมด ทำให้แนวป้องกันแบบบัญชีดำโดเมน (domain blacklist) ที่องค์กรไทยจำนวนมากยังพึ่งพาอยู่แทบไม่มีผล ข้อสาม Lyceum แสดงรูปแบบการทำงานแบบ กลุ่มย่อยที่แบ่งปันเครื่องมือข้ามคลัสเตอร์ ซึ่งทำให้การระบุต้นทาง (attribution) ยากขึ้นและทำให้การป้องกันที่อิงชื่อกลุ่มใช้ไม่ได้ผล และข้อสี่ UNC5792 พิสูจน์ว่าการเข้ารหัสแบบต้นทางถึงปลายทาง (end-to-end encryption) ที่แข็งแรงที่สุดก็ไม่ช่วยอะไร หากผู้โจมตีหลอกให้เจ้าของบัญชียื่นกุญแจให้เอง

สำหรับประเทศไทย ความเสี่ยงไม่ได้อยู่ที่ว่ากลุ่มเหล่านี้กำลังโจมตีไทยอยู่หรือไม่ — ณ เวลาที่จัดทำรายงานนี้ยังไม่มีหลักฐานสาธารณะว่ามีองค์กรไทยตกเป็นเหยื่อโดยตรง — แต่อยู่ที่ว่า ถ้าเกิดขึ้นจริง ไทยจะรู้ตัวหรือไม่ เพราะยุทธวิธีหลักของทั้งสามกลุ่มคือการฝังตัวเงียบและใช้ช่องทางที่ได้รับความไว้วางใจอยู่แล้ว ซึ่งเป็นรูปแบบที่ระบบเฝ้าระวังที่ตั้งค่าไว้จับ “สิ่งผิดปกติที่มองเห็นได้” มักมองไม่เห็น

ภาพที่ 1: ไทม์ไลน์ปฏิบัติการสำคัญของ OilRig, Lyceum และ UNC5792 ระหว่างปี 2557–2569 จากรายงานสาธารณะ

รู้จักสามกลุ่ม

OilRig (APT34) — งานจารกรรมที่วางแผนเป็นปี

OilRig เป็นกลุ่มจารกรรมไซเบอร์ที่รัฐอิหร่านหนุนหลัง เคลื่อนไหวมาตั้งแต่อย่างน้อยปี 2557 และถูกติดตามภายใต้ชื่อจำนวนมากตามแต่ละบริษัทข่าวกรอง ทั้ง APT34, Helix Kitten, Hazel Sandstorm, Earth Simnavaz, Crambus และ APT-C-49 กลุ่มนี้มักถูกเชื่อมโยงกับกระทรวงข่าวกรองและความมั่นคงของอิหร่าน (Ministry of Intelligence and Security — MOIS) และมีเป้าหมายที่คงเส้นคงวาผิดปกติ คือหน่วยงานรัฐ โทรคมนาคม พลังงาน และโครงสร้างพื้นฐานสำคัญ (critical infrastructure) ในภูมิภาคตะวันออกกลาง

สิ่งที่ทำให้ OilRig ต่างจากกลุ่มจารกรรมทั่วไปคือ ความอดทน ไม่ใช่ความซับซ้อนของมัลแวร์เพียงอย่างเดียว รายงานของ Trellix อธิบายรูปแบบการทำงานของกลุ่มที่แยก “ขั้นเตรียมการ” ออกจาก “ขั้นลงมือ” อย่างชัดเจน โดยกิจกรรมเตรียมโครงสร้างพื้นฐานที่ถูกติดตามระหว่างพฤศจิกายน 2567 ถึงเมษายน 2568 กินเวลาหลายเดือนและไม่มีการปล่อยมัลแวร์เข้ามาเกี่ยวข้องเลย ทำให้เครื่องมือตรวจจับที่รอ “ไฟล์อันตราย” จับอะไรไม่ได้ตลอดช่วงเวลาดังกล่าว

Lyceum (HEXANE) — กลุ่มย่อยที่เชี่ยวชาญโทรคมนาคม

Lyceum หรือที่รู้จักในชื่อ HEXANE, Spirlin และ Siamesekitten เคลื่อนไหวมาตั้งแต่ราวปี 2560 และถูกประเมินว่าเป็น กลุ่มย่อย (sub-cluster) ภายใน OilRig ความเชี่ยวชาญของกลุ่มนี้แคบและลึก คือภาคน้ำมันและก๊าซ โทรคมนาคม การบิน และผู้ให้บริการอินเทอร์เน็ต (Internet Service Provider — ISP) ซึ่งเป็นภาคส่วนที่การเจาะได้หนึ่งรายหมายถึงการเข้าถึงข้อมูลของลูกค้าจำนวนมหาศาลตามมา

จุดที่ทำให้ Lyceum น่าสนใจในเชิงยุทธศาสตร์คือรูปแบบความสัมพันธ์กับกลุ่มอื่น รายงานของ Check Point Research ที่วิเคราะห์กลุ่ม Cavern Manticore ระบุว่ากลุ่มดังกล่าวมีความทับซ้อนทางยุทธวิธีบางส่วนกับทั้ง MuddyWater และ Lyceum ขณะที่รายงาน Iranian Cyber Capability 2026 ของ Trellix ระบุถึงการทำงานร่วมกันระหว่าง MuddyWater กับ Lyceum ซึ่งชี้ไปสู่กรอบปฏิบัติการระหว่างกลุ่มที่ประสานงานกันมากขึ้น ภาพรวมที่ได้จึงไม่ใช่กลุ่มแฮ็กเกอร์ที่แยกกันทำงาน แต่เป็น ระบบนิเวศที่แบ่งงานกันและหมุนเวียนเครื่องมือร่วมกัน ซึ่งมีนัยสำคัญต่อการป้องกัน เพราะการเฝ้าระวังที่อิงตัวบ่งชี้ของกลุ่มใดกลุ่มหนึ่งจะพลาดกิจกรรมของกลุ่มพี่น้องที่ใช้เครื่องมือชุดเดียวกัน

UNC5792 — โจมตี “คน” ไม่ใช่ “การเข้ารหัส”

UNC5792 เป็นคลัสเตอร์ปฏิบัติการที่ FBI ผูกเข้ากับหน่วยข่าวกรองรัสเซีย (Russian Intelligence Services — RIS) รวมถึงเจ้าหน้าที่ FSB ที่ฝังตัวกับหน่วย FSB Border Guards และเจ้าหน้าที่ที่ทำงานให้หน่วยทหารรัสเซีย โดย CERT-UA ติดตามกิจกรรมที่ทับซ้อนกันบางส่วนภายใต้รหัส UAC-0195 เป้าหมายของกลุ่มคือบุคคลที่มีมูลค่าทางข่าวกรองสูง ได้แก่ เจ้าหน้าที่รัฐทั้งในตำแหน่งและอดีตเจ้าหน้าที่ บุคลากรทางทหาร นักการเมือง นักข่าว และบุคคลสำคัญในยูเครน โดยมีรายงานกิจกรรมที่ขยายไปถึงมอลโดวา จอร์เจีย ฝรั่งเศส และสหรัฐฯ

ยุทธศาสตร์ของกลุ่มนี้ตรงไปตรงมาและได้ผลอย่างน่ากังวล คือ ไม่พยายามเจาะการเข้ารหัสของแอปแชตเลยแม้แต่น้อย แต่โจมตีผู้ใช้และฟีเจอร์ที่ถูกออกแบบมาเพื่อความสะดวกแทน กระทรวงการต่างประเทศสหรัฐฯ ผ่านโครงการ Rewards for Justice ตั้งรางวัลนำจับสูงถึง 10 ล้านดอลลาร์สำหรับข้อมูลเกี่ยวกับกลุ่มนี้ ซึ่งสะท้อนระดับความสำคัญที่ฝ่ายสหรัฐฯ ให้กับภัยดังกล่าว

หมายเหตุด้านการระบุต้นทาง: UNC5792 เป็นคนละคลัสเตอร์กับ Star Blizzard (COLDRIVER / Callisto / SEABORGIUM) ซึ่งขึ้นตรงกับ FSB Centre 18 แม้ทั้งสองกลุ่มจะถูกกล่าวถึงพร้อมกันบ่อยครั้งในบริบทการเจาะบัญชีแอปแชตของหน่วยข่าวกรองรัสเซีย การเหมารวมสองกลุ่มนี้เข้าด้วยกันเป็นความคลาดเคลื่อนที่พบได้บ่อยในการรายงานข่าว

วิวัฒนาการและไทม์ไลน์

พัฒนาการของ OilRig ในช่วงสองปีที่ผ่านมาเดินไปในทิศทางเดียวกันอย่างชัดเจน คือ ละทิ้งไฟล์และหันไปอาศัยบริการที่โลกไว้ใจ ตั้งแต่เดือนกันยายน 2567 กลุ่มยกระดับปฏิบัติการต่อหน่วยงานรัฐอิรักด้วยแคมเปญหลายขั้นตอน ปล่อยมัลแวร์ตระกูลใหม่ชื่อ Veaty และ Spearal ซึ่งมีสายเลือดชัดเจนจากอิมแพลนต์รุ่นก่อนอย่าง Karkoff และ PowerExchange แบ็กดอร์ทั้งสองตัวใช้การขุดอุโมงค์ผ่านระบบชื่อโดเมน (DNS tunneling — การซ่อนข้อมูลคำสั่งไว้ในคำขอ DNS ที่ดูปกติ) และการรับส่งคำสั่งผ่านอีเมล ซึ่งเป็นลายเซ็นประจำตัวของกลุ่มมานาน

ในช่วงเดียวกันกลุ่มขยายไปทางตะวันตกสู่หน่วยงานรัฐในสหรัฐอาหรับเอมิเรตส์และภูมิภาคอ่าวเปอร์เซีย โดยใช้ช่องโหว่ CVE-2024-30088 เพื่อยกระดับสิทธิ์ (privilege escalation) ยึดเซิร์ฟเวอร์ Microsoft Exchange ที่ถูกเจาะแล้วมาเก็บเกี่ยวรหัสผ่าน และปล่อยแบ็กดอร์ชื่อ STEALHOOK พร้อมมัลแวร์ที่ฝังตัวในบริการเว็บ IIS เพื่อให้ทราฟฟิกอันตรายกลมกลืนไปกับทราฟฟิกปกติของเซิร์ฟเวอร์

ปลายปี 2567 ถึงต้นปี 2568 แคมเปญรอบใหม่ต่อหน่วยงานรัฐอิรักแสดงความประณีตขึ้นอีกขั้น มัลแวร์ที่เขียนด้วยภาษา C# ถูกปลอมให้ดูเหมือนเอกสาร PDF มีการตรวจสอบว่ากำลังทำงานอยู่ในเครื่องเสมือน (virtual machine) ของนักวิจัยหรือไม่ มีการปลอมแปลงเวลาไฟล์ และใช้ช่องทางควบคุมสองทางควบคู่กัน คือ HTTP ที่วิ่งผ่านเซิร์ฟเวอร์ในยุโรปโดยซ่อนอยู่หลังหน้าเว็บแสดงข้อผิดพลาด 404 ปลอม กับการรับคำสั่งผ่านอีเมลของหน่วยงานรัฐอิรักที่ถูกยึดบัญชีไปแล้ว โดยคำสั่งถูกซุกไว้ใน Authorization Bearer token ซึ่งเป็นส่วนหนึ่งของโปรโตคอลที่ระบบตรวจสอบมักปล่อยผ่าน

จุดสูงสุดของพัฒนาการนี้ปรากฏในแคมเปญที่ถูกเปิดเผยเมื่อเดือนเมษายน 2569 ซึ่งใช้เหตุการณ์การประท้วงในกรุงเตหะรานเป็นเหยื่อล่อ ห่วงโซ่การโจมตีเริ่มจากไฟล์ Excel ที่อ้างว่าเป็นรายชื่อผู้เสียชีวิตหรือผู้เข้าร่วมการประท้วง เมื่อเหยื่อเปิดใช้งานมาโคร สคริปต์ VBA จะถอดรหัสซอร์สโค้ดภาษา C# ที่ฝังไว้ แล้ว คอมไพล์ขึ้นใหม่ในเครื่องเหยื่อด้วยตัวคอมไพเลอร์ที่ติดมากับ Windows เอง (csc.exe) ได้ตัวโหลดที่ทำงานอยู่ในหน่วยความจำล้วน ๆ จากนั้นตัวโหลดจะไปอ่านไฟล์ข้อความที่เข้ารหัสไว้บนคลังโค้ด GitHub เพื่อรับลิงก์ Google Drive ที่ชี้ไปยังไฟล์ภาพ PNG ซึ่งดูไม่มีพิษภัย แต่ภายในพิกเซลของภาพนั้นถูกฝังค่าตั้งค่าไว้ด้วยเทคนิคสเตกาโนกราฟี (steganography — การซ่อนข้อมูลในสื่ออื่น) แบบ Least Significant Bit เมื่อถอดรหัสด้วย Base64 ผสม XOR จะได้ที่อยู่ปลายทางสำหรับดึงโมดูลขั้นถัดไป และช่องทางควบคุมหลักคือ Telegram Bot API นักวิจัยพบคอมเมนต์ภาษาเปอร์เซียในซอร์สโค้ดและรูปแบบที่สอดคล้องกับปฏิบัติการเดิมของ OilRig จึงระบุต้นทางไปที่กลุ่มนี้

ฝั่ง UNC5792 เส้นทางพัฒนาการสั้นกว่าแต่ชันกว่า Google Threat Intelligence Group เป็นรายแรกที่บันทึกกลวิธีของกลุ่มไว้เมื่อต้นปี 2568 คือการดัดแปลงหน้า “คำเชิญเข้ากลุ่ม” ของ Signal ที่ดูเหมือนของจริงทุกประการ โดยแทนที่โค้ด JavaScript ส่วนที่ควรพาผู้ใช้ไปเข้าร่วมกลุ่ม ด้วยโค้ดที่เรียก URI สำหรับเชื่อมอุปกรณ์ใหม่ (sgnl://linkdevice?uuid=) ผลคือเหยื่อกดยอมรับคำเชิญแล้วอุปกรณ์ของผู้โจมตีถูกผูกเข้ากับบัญชีอย่างเงียบ ๆ ข้อความทุกข้อความที่เข้ามาหลังจากนั้นจะปรากฏบนเครื่องผู้โจมตีพร้อมกันแบบเรียลไทม์

จากนั้นในวันที่ 26 มิถุนายน 2569 FBI และ CISA ออกประกาศเตือนฉบับปรับปรุงรหัส PSA I-062626-PSA ซึ่งเพิ่มชื่อ UNC5792 และ UNC4221 เข้าไปในคำเตือนเดิมของเดือนมีนาคม พร้อมอธิบายขั้นตอนใหม่ที่อันตรายกว่าเดิมมาก คือการค่อย ๆ พาเป้าหมายไปเปิดใช้งานฟีเจอร์สำรองข้อมูลของ Signal เปิดดู Backup Recovery Key แล้วหลอกให้วางคีย์นั้นลงในแชต

ภาพที่ 2: ห่วงโซ่การโจมตีของ OilRig ในแคมเปญเมษายน 2569 ที่อาศัยบริการคลาวด์ที่ถูกกฎหมายทุกขั้นตอน

ยุทธวิธี เทคนิค และเครื่องมือ (TTPs)

เมื่อนำยุทธวิธีของทั้งสามกลุ่มมาวางเรียงกัน จะเห็นรูปแบบร่วมที่ควรใช้เป็นหลักในการออกแบบการป้องกัน มากกว่าการไล่จำชื่อมัลแวร์แต่ละตัว

รูปแบบที่หนึ่ง: ทุกกลุ่มย้ายช่องทางควบคุมไปอยู่บนบริการที่ถูกกฎหมาย OilRig ใช้ GitHub เก็บค่าตั้งต้น ใช้ Google Drive เก็บภาพที่ซ่อนค่าตั้งค่า และใช้ Telegram Bot API เป็นช่องทางสั่งการหลัก Lyceum ใช้การขุดอุโมงค์ผ่าน DNS ซึ่งเป็นโปรโตคอลที่แทบไม่มีองค์กรใดปิดกั้นได้ ส่วน UNC5792 ใช้โครงสร้างของแอป Signal เอง ผลลัพธ์ตรงกันคือ ทราฟฟิกอันตรายวิ่งอยู่บนเส้นทางที่นโยบายไฟร์วอลล์อนุญาตไว้แล้ว องค์กรที่ยังพึ่งการปิดกั้นโดเมนอันตรายเป็นแนวป้องกันหลักจึงมองไม่เห็นอะไรเลย

รูปแบบที่สอง: ลดร่องรอยบนดิสก์ให้เหลือน้อยที่สุด เทคนิคคอมไพล์โค้ดในเครื่องเหยื่อด้วย csc.exe ของ OilRig เป็นตัวอย่างที่ชัดที่สุด เพราะไฟล์ที่ถูกส่งเข้ามาจริงคือ “ซอร์สโค้ด” ไม่ใช่ “มัลแวร์” ซึ่งไม่ตรงกับลายเซ็นของโปรแกรมป้องกันไวรัสใด ๆ ขณะที่ Lyceum อาศัย PowerShell และ WMI ซึ่งเป็นเครื่องมือที่ติดมากับ Windows อยู่แล้วในการเคลื่อนตัวภายในเครือข่าย (lateral movement) แนวทางนี้เรียกรวมกันว่าการอยู่กับที่ดินของฝ่ายป้องกัน (living off the land) และทำให้การตรวจจับต้องย้ายจากการดูไฟล์ไปเป็นการดูพฤติกรรม

รูปแบบที่สาม: อีเมลฟิชชิงยังเป็นประตูหน้าเสมอ แม้เทคนิคขั้นกลางจะซับซ้อนเพียงใด จุดเริ่มต้นของทั้ง OilRig และ Lyceum ยังคงเป็นอีเมลหลอกลวงแบบเจาะจงเป้าหมาย (spear phishing) พร้อมไฟล์แนบหรือลิงก์ ส่วน UNC5792 ใช้ข้อความในแอปที่ปลอมเป็นฝ่ายสนับสนุน ความจริงข้อนี้มีนัยเชิงนโยบายที่สำคัญ คือการลงทุนด้านเทคโนโลยีตรวจจับขั้นสูงจะให้ผลตอบแทนจำกัด หากไม่ลงทุนกับการฝึกอบรมบุคลากรควบคู่กันไป

รูปแบบที่สี่: เป้าหมายคือกุญแจถาวร ไม่ใช่การเข้าถึงชั่วคราว พัฒนาการของ UNC5792 จากการไล่ล่ารหัสยืนยันแบบใช้ครั้งเดียว (one-time code) ไปสู่การขอ Backup Recovery Key คือการเปลี่ยนเป้าหมายจาก “เข้าบัญชีได้ตอนนี้” เป็น “เข้าบัญชีได้ตลอดไป” เพราะคีย์ดังกล่าวเปิดคลังข้อความย้อนหลังทั้งหมด ทั้งแชตส่วนตัวและแชตกลุ่ม และที่อันตรายเป็นพิเศษคือคีย์เดิมยังใช้ได้ต่อแม้เหยื่อจะลบแอปแล้วสร้างบัญชีใหม่บนหมายเลขโทรศัพท์เดิม การ “ตั้งต้นใหม่” ตามสัญชาตญาณของผู้ใช้ทั่วไปจึงไม่ช่วยอะไรเลย

ภาพที่ 3: เปรียบเทียบภาคส่วนเป้าหมายและช่องทางเข้าถึงหลักของทั้งสามกลุ่มจากรายงานสาธารณะ

ผลกระทบต่อไทยโดยตรง

ต้องกล่าวอย่างตรงไปตรงมาก่อนว่า ณ เวลาที่จัดทำรายงานนี้ ยังไม่มีหลักฐานสาธารณะว่าองค์กรไทยตกเป็นเหยื่อของทั้งสามกลุ่มโดยตรง การประเมินด้านล่างจึงเป็นการประเมินความเสี่ยงเชิงโครงสร้าง ไม่ใช่การรายงานเหตุการณ์

ความเสี่ยงลำดับแรกอยู่ที่ ภาคโทรคมนาคม ซึ่งเป็นเป้าหมายที่คงเส้นคงวาที่สุดของทั้ง OilRig และ Lyceum ตลอดประวัติการปฏิบัติการ เหตุผลเชิงยุทธศาสตร์ตรงไปตรงมา คือการเจาะผู้ให้บริการโทรคมนาคมได้หนึ่งรายเท่ากับได้ช่องทางเข้าถึงข้อมูลการติดต่อสื่อสารของลูกค้าจำนวนมหาศาลในคราวเดียว รวมถึงความสามารถในการดักข้อความยืนยันตัวตนแบบ SMS ที่ยังใช้กันแพร่หลายในไทย ผู้ให้บริการโทรคมนาคมไทยเชื่อมต่อกับเครือข่ายผู้ให้บริการทั่วโลกผ่านข้อตกลงโรมมิงและการเชื่อมต่อระหว่างเครือข่าย ซึ่งเป็นเส้นทางที่กลุ่มจารกรรมใช้เคลื่อนตัวข้ามพรมแดนได้โดยไม่ต้องเจาะเป้าหมายปลายทางโดยตรง

ความเสี่ยงลำดับที่สองอยู่ที่ ภาคพลังงานและอุตสาหกรรมที่มีความเชื่อมโยงกับตะวันออกกลาง บริษัทไทยจำนวนไม่น้อยมีการลงทุน สัญญาจัดหา หรือโครงการร่วมทุนกับคู่ค้าในภูมิภาคอ่าวเปอร์เซีย ความสัมพันธ์เหล่านี้สร้างช่องทางเชื่อมต่อระบบ การแลกเปลี่ยนไฟล์ และบัญชีผู้ใช้ข้ามองค์กรที่กลายเป็นเส้นทางเข้าถึงได้ หากคู่ค้าปลายทางถูกเจาะ นี่คือความเสี่ยงผ่านห่วงโซ่อุปทาน (Supply Chain) ที่มักไม่ปรากฏในการประเมินความเสี่ยงขององค์กรไทย เพราะผู้ประเมินมักตั้งคำถามว่า “ใครอยากโจมตีเรา” มากกว่า “เราเชื่อมต่ออยู่กับใคร”

ความเสี่ยงลำดับที่สามซึ่งกระทบเป็นวงกว้างที่สุดคือ การยึดบัญชีแอปแชตเข้ารหัสของบุคคลในตำแหน่งสำคัญ ประเทศไทยมีอัตราการใช้แอปรับส่งข้อความสูงมาก และมีวัฒนธรรมการทำงานที่เจ้าหน้าที่รัฐ นักการเมือง นักข่าว และผู้บริหารองค์กรใช้แอปแชตส่วนตัวหารือเรื่องงานเป็นปกติ รวมถึงเรื่องที่ควรอยู่ในช่องทางราชการ ยุทธวิธีของ UNC5792 ไม่ต้องการโครงสร้างพื้นฐานพิเศษใด ๆ ในการนำมาใช้กับเป้าหมายไทย เพียงแปลข้อความหลอกเป็นภาษาไทยและรู้ว่าเป้าหมายใช้แอปใด ที่สำคัญคือการโจมตีลักษณะนี้ ไม่ทิ้งร่องรอยในระบบขององค์กรเลย เพราะเกิดขึ้นบนอุปกรณ์ส่วนตัวและบัญชีส่วนตัวของบุคคล ทีมความมั่นคงไซเบอร์ขององค์กรจะไม่มีทางเห็นเหตุการณ์นี้ในระบบเฝ้าระวังของตน

ความเสี่ยงลำดับที่สี่คือ ช่องว่างของการเฝ้าระวังเอง เมื่อกลุ่มเหล่านี้ไม่เคยปรากฏในข่าวไทย หน่วยงานไทยจึงไม่มีแรงจูงใจให้เพิ่มตัวบ่งชี้ของกลุ่มเข้าไปในระบบตรวจจับ ไม่มีการซ้อมรับมือที่อิงยุทธวิธีของกลุ่ม และไม่มีการตั้งคำถามว่าระบบปัจจุบันจะจับเทคนิคอย่างการขุดอุโมงค์ผ่าน DNS หรือการคอมไพล์โค้ดในเครื่องได้หรือไม่ ช่องว่างนี้ไม่ได้เกิดจากข้อจำกัดทางเทคนิค แต่เกิดจากลำดับความสนใจ ซึ่งแก้ไขได้ด้วยการตัดสินใจเชิงนโยบายโดยไม่ต้องใช้งบประมาณมากนัก

ประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ

หากประเมินในกรอบความมั่นคงของชาติ ภัยจากทั้งสามกลุ่มมีลักษณะร่วมที่ทำให้อันตรายกว่าภัยที่เป็นข่าวใหญ่ นั่นคือ ความเสียหายไม่ปรากฏ ณ เวลาที่เกิด แรนซัมแวร์บอกตัวเองเสมอว่ามาแล้ว เพราะเป้าหมายของมันคือการเรียกค่าไถ่ แต่ปฏิบัติการจารกรรมที่ประสบความสำเร็จคือปฏิบัติการที่ไม่มีใครรู้ว่าเกิดขึ้น ประเทศที่วัดสถานะความมั่นคงไซเบอร์ของตนจากจำนวนเหตุการณ์ที่ตรวจพบ จึงมีความเสี่ยงที่จะสรุปผิดว่าตนปลอดภัย ทั้งที่ความจริงอาจเป็นเพียงว่ายังมองไม่เห็น

ประเด็นที่สองคือ การพึ่งพาการเข้ารหัสในฐานะคำตอบสุดท้ายเป็นความเข้าใจที่ต้องปรับ หน่วยงานจำนวนมากย้ายการสื่อสารเรื่องละเอียดอ่อนไปยังแอปที่มีการเข้ารหัสแบบต้นทางถึงปลายทางด้วยความเชื่อว่าปลอดภัยแล้ว กรณี UNC5792 แสดงให้เห็นว่าผู้โจมตีระดับรัฐเลือกเส้นทางที่ต้านทานน้อยที่สุดเสมอ เมื่อการถอดรหัสทำไม่ได้ ก็หันไปหลอกเจ้าของบัญชีให้เชื่อมอุปกรณ์หรือมอบกุญแจแทน ข้อสรุปเชิงนโยบายคือช่องทางสื่อสารทางการที่ควบคุมและตรวจสอบได้ยังจำเป็นอยู่ และการอนุญาตให้ใช้แอปส่วนตัวสื่อสารราชการควรถือเป็นความเสี่ยงที่ต้องบริหาร ไม่ใช่ความสะดวกที่ยอมรับได้โดยปริยาย

ประเด็นที่สามคือ ระบบนิเวศแบบแบ่งปันเครื่องมือทำให้การป้องกันที่อิงชื่อกลุ่มล้าสมัย ความสัมพันธ์ระหว่าง OilRig, Lyceum, MuddyWater และ Cavern Manticore แสดงว่าการระบุว่า “กลุ่มนี้ไม่สนใจไทย” ไม่ใช่หลักประกันใด ๆ เพราะเครื่องมือและเทคนิคเดินทางข้ามกลุ่มได้เร็วกว่าความสนใจเชิงภูมิรัฐศาสตร์ การเฝ้าระวังจึงควรตั้งอยู่บนพฤติกรรมและเทคนิคตามกรอบ MITRE ATT&CK มากกว่าตั้งอยู่บนบัญชีรายชื่อกลุ่ม

ข้อเสนอเชิงยุทธศาสตร์

ระยะเร่งด่วน (0–30 วัน) สิ่งที่ทำได้ทันทีโดยแทบไม่มีต้นทุนคือการออกแนวปฏิบัติเรื่องแอปแชตสำหรับบุคลากรในตำแหน่งสำคัญ สาระสำคัญคือให้ถือว่าข้อความใด ๆ ที่อ้างตัวเป็นฝ่ายสนับสนุนของแพลตฟอร์มแล้วขอรหัส PIN หรือกุญแจกู้คืน เป็นภัยคุกคามเสมอ เพราะฝ่ายสนับสนุนตัวจริงไม่ทักหาผู้ใช้ในแอปเพื่อขอสิ่งเหล่านี้ และห้ามวางกุญแจกู้คืนแบ็กอัป รหัสยืนยัน หรือ PIN ลงในแชตไม่ว่ากรณีใด ควบคู่กับการสั่งให้บุคลากรเปิดเมนูตั้งค่าเพื่อตรวจสอบรายการอุปกรณ์ที่เชื่อมอยู่ (Linked Devices) แล้วถอดอุปกรณ์ที่ไม่รู้จักออก พร้อมกำหนดให้ทำซ้ำเป็นระยะ ในด้านเทคนิค ควรตรวจสอบว่าระบบเฝ้าระวังขององค์กรบันทึกคำขอ DNS ขาออกไว้หรือไม่ และตั้งการแจ้งเตือนเมื่อพบการเรียก csc.exe โดยกระบวนการลูกของโปรแกรมชุด Office

ระยะกลาง (1–3 เดือน) ควรทบทวนสมมติฐานของระบบตรวจจับทั้งหมดว่าออกแบบมาเพื่อจับ “ไฟล์อันตราย” หรือ “พฤติกรรมผิดปกติ” หากเป็นอย่างแรก การลงทุนเพิ่มในเทคโนโลยีเดิมจะไม่ช่วย ควรเพิ่มการตรวจจับพฤติกรรมสำหรับปริมาณคำขอ DNS ที่ผิดปกติ การเชื่อมต่อออกไปยัง API ของบริการคลาวด์จากเครื่องที่ไม่มีเหตุผลทางธุรกิจต้องใช้ และการรัน PowerShell ที่มีต้นทางจากกระบวนการของเบราว์เซอร์หรือโปรแกรมเอกสาร ควบคู่ไปกับการทำแผนที่ความเชื่อมโยงกับคู่ค้าต่างประเทศ โดยเฉพาะคู่ค้าในภูมิภาคที่เป็นเป้าหมายหลักของกลุ่มเหล่านี้ เพื่อระบุว่าองค์กรมีเส้นทางเชื่อมต่อใดที่อาจกลายเป็นทางเข้า

ระยะยาว (3–12 เดือน) ควรผลักดันให้ภาคโทรคมนาคมและพลังงานของไทยเข้าสู่กรอบการแบ่งปันข่าวกรองภัยคุกคามที่มีผลบังคับจริง ไม่ใช่การแบ่งปันโดยสมัครใจที่ขึ้นกับความพร้อมของแต่ละองค์กร เนื่องจากทั้งสองภาคส่วนเป็นเป้าหมายหลักของกลุ่มจารกรรมสายรัฐทั่วโลกอย่างสม่ำเสมอ ควบคู่กับการกำหนดนโยบายระดับชาติเรื่องช่องทางสื่อสารสำหรับข้อมูลราชการที่ละเอียดอ่อน และการจัดการซ้อมรับมือที่จำลองสถานการณ์การฝังตัวระยะยาวโดยไม่มีมัลแวร์ให้ตรวจจับ ซึ่งเป็นสถานการณ์ที่ทีมรับมือเหตุการณ์ของไทยส่วนใหญ่ยังไม่เคยฝึก

มุมมองไปข้างหน้า (Outlook) แนวโน้มที่ประเมินได้จากพัฒนาการของทั้งสามกลุ่มคือการเคลื่อนย้ายไปสู่บริการคลาวด์ที่ถูกกฎหมายจะเดินหน้าต่อจนกลายเป็นมาตรฐาน ไม่ใช่ข้อยกเว้น เพราะให้ผลตอบแทนสูงและมีต้นทุนต่ำสำหรับผู้โจมตี ขณะเดียวกันการโจมตีช่องทางสื่อสารส่วนบุคคลของเจ้าหน้าที่รัฐมีแนวโน้มขยายตัวออกจากบริบทสงครามยูเครนไปสู่ภูมิภาคอื่น เนื่องจากเป็นวิธีที่ให้ข่าวกรองคุณภาพสูงโดยไม่ต้องเจาะระบบขององค์กรใดเลย สำหรับประเทศไทย คำถามที่ควรถูกตั้งในระดับนโยบายจึงไม่ใช่ “กลุ่มเหล่านี้จะมาไทยหรือไม่” แต่เป็น “ถ้ามาแล้ว เรามีเครื่องมือที่จะรู้ตัวหรือยัง”

ภาคผนวก

ก. การจับคู่กรอบ MITRE ATT&CK

ข. ตัวบ่งชี้และองค์ประกอบที่ควรเฝ้าระวัง

ค. แหล่งอ้างอิง

• Trellix — The Iranian Cyber Capability 2026
• Google Cloud Threat Intelligence — Signals of Trouble: Multiple Russia-Aligned Threat Actors Actively Targeting Signal Messenger
• The Hacker News — FBI Warns Russian Intelligence Hackers Target Signal Backup Recovery Keys
• BleepingComputer — FBI: Russian hackers now target Signal backup recovery keys
• Cyber Press — Iranian APT OilRig Hides Malware Config Inside Google Drive Image
• MITRE ATT&CK — OilRig (G0049)
• MITRE ATT&CK — HEXANE (G1001)
• The Hacker News — Ukraine says Russian intelligence used fake support texts to steal messaging accounts