จัดทำโดย: Cloud Thunder Threat Intelligence
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคาม (Strategic Threat Actor Analysis)
หัวข้อ: Guangdong Chanming และเครือข่ายลับ RedRelay (ORBWEAVER) — จักรกลไซเบอร์ของรัฐจีนเบื้องหลังกลุ่ม APT15 / CSF 8th Bureau
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: รายงานการสืบสวนของ intrusiontruth (27 กรกฎาคม 2569), ข้อมูลสาธารณะด้านการจดสิทธิบัตรและจัดซื้อจัดจ้างของรัฐจีน, และฐานความรู้ด้านภัยคุกคามของ Cloud Thunder

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

รายงานฉบับนี้วิเคราะห์การเปิดโปงครั้งสำคัญของกลุ่มนักสืบสวนอิสระ intrusiontruth ที่ลากเส้นเชื่อมโยงจากบริษัทจีนไร้ตัวตนแห่งหนึ่งชื่อ Guangdong Chanming ไปสู่หัวใจของปฏิบัติการไซเบอร์ทางทหารของจีน สิ่งที่ทำให้กรณีนี้มีนัยเชิงยุทธศาสตร์ไม่ใช่ตัวบริษัทเอง แต่เป็นสิ่งที่บริษัทนี้เป็นตัวแทน นั่นคือ “ระบบอุตสาหกรรมไซเบอร์ของรัฐจีน” (cyber industrial complex) ที่แปรรูปการโจมตีไซเบอร์ให้กลายเป็นสินค้าที่พัฒนาโดยผู้รับเหมาเอกชน แล้วขายตรงให้หน่วยงานรัฐและกองทัพนำไปใช้จารกรรมทั่วโลก

Guangdong Chanming เป็นบริษัทที่ “มองไม่เห็น” ในความหมายทางการตลาด ไม่มีเว็บไซต์ ไม่มีหน้าร้าน ไม่มีสินค้าวางขายต่อสาธารณะ แต่เอกสารการจดสิทธิบัตร (patent) และลิขสิทธิ์ซอฟต์แวร์ (software copyright) ของบริษัทกลับเผยชื่อผลิตภัณฑ์ที่ล้วนเป็นเครื่องมือเชิงรุก เช่น “ระบบสกัดข้อมูลลับจากอุปกรณ์แอนดรอยด์” (Android Secret Extraction System) “ระบบเก็บรวบรวมข้อมูลจาก Telegram” (Telegram Data Collection System) และ “ระบบเครือข่ายลับป้องกันการสืบย้อนกลับ” (Anti-traceability Network System / STN) ไม่ใช่สินค้าที่ขายให้ผู้บริโภคทั่วไป และหลักฐานสัญญาจัดซื้อจัดจ้างระบุชัดว่าลูกค้าคือ กองทัพปลดปล่อยประชาชนจีน (PLA) และ กระทรวงความมั่นคงสาธารณะ (Ministry of Public Security)

หัวใจของการเปิดโปงคือการที่ intrusiontruth ลากเส้นทางทางเทคนิคจากเครื่องมือชื่อ FCN (Free Connect) ซึ่งเดิมเป็นโปรเจกต์ของวิศวกรคนเดียวชื่อ Wang Huiping ไปจนถึงมัลแวร์ WHIPWEAVE (หรือที่รู้จักในชื่อไฟล์ bulbature) ซึ่งเป็นองค์ประกอบหลักของเครือข่ายพรางตัวลับที่ชื่อ RedRelay (หรือ ORBWEAVER) เครือข่ายนี้เป็นโครงสร้างพื้นฐานที่กลุ่มแฮกเกอร์ในเครือรัฐจีนหลายกลุ่มใช้ร่วมกัน และปลายทางของห่วงโซ่นี้เชื่อมโยงไปยังกลุ่มจารกรรมไซเบอร์ที่โลกรู้จักในชื่อ APT15 (มีชื่อเรียกอีกมาก เช่น Ke3chang, Vixen Panda, Playful Dragon, Nylon Typhoon และ Red Vulture) ซึ่ง intrusiontruth ระบุตัวตนจริงเพิ่มเติมว่าคือหน่วยทหาร Unit 61046 หรือ CSF 8th Bureau — กองที่ 8 ของกองกำลังอวกาศไซเบอร์ (Cyberspace Force) แห่งกองทัพจีน

สำหรับประเทศไทย บทวิเคราะห์นี้ประเมินว่าความเสี่ยงมีสองระดับที่ต้องแยกให้ชัด ระดับแรกคือ ความเสี่ยงในฐานะเป้าหมายการจารกรรม เนื่องจาก APT15/Ke3chang เป็นกลุ่มที่มีประวัติยาวนานในการเจาะกระทรวงการต่างประเทศ หน่วยงานทางการทูต และองค์กรภาครัฐทั่วเอเชียรวมถึงเอเชียตะวันออกเฉียงใต้ และไทยในฐานะศูนย์กลางการทูตของอาเซียนย่อมอยู่ในวาระข่าวกรองของกลุ่ม ระดับที่สองซึ่งมักถูกมองข้ามคือ ความเสี่ยงในฐานะ “โครงสร้างพื้นฐานที่ถูกยืมใช้” เพราะเครือข่ายแบบ RedRelay สร้างขึ้นจากอุปกรณ์ที่ถูกเจาะทั่วโลก — เราเตอร์ตามบ้าน อุปกรณ์ไอโอที (IoT) และเซิร์ฟเวอร์เช่าราคาถูก — เพื่อใช้เป็นจุดกระโดด (relay node) ปกปิดต้นทางการโจมตี อุปกรณ์ในประเทศไทยจึงอาจถูกดึงเข้าไปเป็นส่วนหนึ่งของเครือข่ายโจมตีชาติอื่นโดยที่เจ้าของไม่รู้ตัว

ภาพที่ 1: แผนผังสรุปการเชื่อมโยงทั้งห่วงโซ่ ตั้งแต่ผู้พัฒนา (Wang Huiping) และบริษัท Guangdong Chanming ผ่านผลิตภัณฑ์ FCN/STN สู่เครือข่าย RedRelay และมัลแวร์ WHIPWEAVE ไปจนถึงลูกค้าปลายทางคือหน่วยทหาร CSF 8th Bureau (APT15) และหน่วยงานรัฐจีน แสดงให้เห็นว่าการโจมตีถูกแปรรูปเป็นสินค้าที่มีสายการผลิตและลูกค้าชัดเจน

1. รู้จักตัวละคร: จากบริษัทเงาสู่หน่วยทหารไซเบอร์

1.1 Guangdong Chanming — บริษัทที่จงใจไร้ตัวตน

Guangdong Chanming เป็นตัวอย่างคลาสสิกของสิ่งที่นักวิเคราะห์เรียกว่า “บริษัทหน้าฉาก” (front company) ในระบบนิเวศไซเบอร์ของจีน บริษัทนี้ไม่ปรากฏตัวตนทางการตลาดใด ๆ ไม่มีเว็บไซต์บริษัท ไม่มีแคตตาล็อกสินค้า และค้นหาหน้าขายหรือหน้าสาธิตผลิตภัณฑ์ไม่พบเลย การไร้ตัวตนเช่นนี้ไม่ใช่ความล้มเหลวทางธุรกิจ แต่เป็นคุณสมบัติที่ตั้งใจ เพราะลูกค้าของบริษัทไม่ใช่ตลาดทั่วไป

สิ่งที่ทรยศความเงียบของบริษัทคือเอกสารราชการที่บริษัทต้องยื่นตามกฎหมาย ได้แก่การจดสิทธิบัตรและลิขสิทธิ์ซอฟต์แวร์ ซึ่ง intrusiontruth พบว่าชื่อผลิตภัณฑ์ที่จดทะเบียนล้วนเป็นเครื่องมือเชิงรุกทางไซเบอร์อย่างชัดเจน การที่บริษัทหนึ่งจดสิทธิบัตร “ระบบสกัดข้อมูลลับจากอุปกรณ์แอนดรอยด์” และ “ระบบเก็บข้อมูลจาก Telegram” ควบคู่กับ “ระบบเครือข่ายลับป้องกันการสืบย้อนกลับ” ย่อมไม่สอดคล้องกับธุรกิจที่ให้บริการประชาชนทั่วไป แต่สอดคล้องกับผู้พัฒนาเครื่องมือจารกรรมและโจมตีให้หน่วยงานความมั่นคง

หลักฐานเชิงพาณิชย์ที่ปิดวงจรคือสัญญาจัดซื้อจัดจ้างของ PLA ที่ระบุ Guangdong Chanming เป็นผู้จัดหา (supplier) โดยตรง บริษัทนี้จึงไม่ได้ขายให้สาธารณะ แต่ ขายตรงให้รัฐ และในเอกสารจัดซื้อชิ้นหนึ่ง บริษัทได้จัดหา “ระบบเครือข่ายนิรนาม” (Anonymous Network System — ซึ่งเชื่อว่าคือ RedRelay) ให้กับหน่วยทหารในเขตไห่เตี้ยน (Haidian) กรุงปักกิ่ง

1.2 Wang Huiping — วิศวกรผู้ทิ้งรอยเท้า

บริษัทอาจเป็นเงา แต่คนที่สร้างเครื่องมือกลับทิ้งร่องรอยไว้มากพอ intrusiontruth เริ่มจากเอกสารจดทะเบียนบริษัทที่ระบุผู้ถือหุ้นสองราย คือ Dai Zhoujun (代兆军) และ Wang Huiping (王慧平) พร้อมหมายเลขโทรศัพท์ของทั้งคู่ เมื่อดึงเส้นจากหมายเลขของ Wang ก็พบว่าเบอร์นี้ปรากฏซ้ำในฐานข้อมูลที่รั่วไหลจากการละเมิดข้อมูล (data breach) หลายชุด และผูกอยู่กับที่อยู่อีเมล boywhp[at]126.com อย่างสม่ำเสมอ

อีเมลนี้เป็นกุญแจสำคัญ เพราะมันเชื่อมไปยังเครื่องมือชื่อ FCN (Free Connect) ที่เคยถูกเผยแพร่บน GitHub ภายใต้ชื่อผู้ใช้ boywhp แม้ที่เก็บโค้ด (repository) ต้นฉบับจะถูกลบไปแล้ว แต่ร่องรอยยังหลงเหลือในสำเนา (fork) ต่าง ๆ ที่ชี้ไปยังโดเมน xfconnect.com นี่คือจุดที่การสืบสวนเปลี่ยนจากการวิเคราะห์เอกสารบริษัทไปสู่การวิเคราะห์มัลแวร์

1.3 APT15 / CSF 8th Bureau — ลูกค้าปลายทาง

ปลายทางของห่วงโซ่คือกลุ่มภัยคุกคามขั้นสูงแบบต่อเนื่อง (APT — Advanced Persistent Threat) ที่มีชื่อเรียกมากที่สุดกลุ่มหนึ่งในวงการ กลุ่มนี้ถูกติดตามภายใต้ชื่อ APT15, Ke3chang, Vixen Panda, Playful Dragon, Red Vulture และในระบบตั้งชื่อของไมโครซอฟท์คือ Nylon Typhoon (เดิมชื่อ Nickel) การมีชื่อเรียกจำนวนมากสะท้อนว่ากลุ่มนี้ถูกเฝ้าติดตามอย่างเข้มข้นจากหลายทีมทั่วโลกมานานกว่าทศวรรษ

โดยประวัติ APT15/Ke3chang เป็นกลุ่มจารกรรมไซเบอร์ที่เชื่อมโยงกับรัฐจีนซึ่งเคลื่อนไหวมาตั้งแต่ราวปี 2010–2012 มีเป้าหมายหลักคือกระทรวงการต่างประเทศ หน่วยงานทางการทูต องค์กรภาครัฐ ผู้รับเหมาด้านกลาโหม และองค์กรพัฒนาเอกชน (NGO) ครอบคลุมทวีปยุโรป อเมริกา และเอเชีย โดยเอเชียตะวันออกเฉียงใต้เป็นพื้นที่ที่กลุ่มนี้ปฏิบัติการต่อเนื่อง เครื่องมือที่กลุ่มนี้เคยใช้ในอดีตมีทั้งแบ็กดอร์ (backdoor — ประตูลับควบคุมเครื่องจากระยะไกล) ตระกูล RoyalCli, RoyalDNS, Ketrican, Okrum และ MirageFox

สิ่งที่ intrusiontruth เพิ่มเข้ามาใหม่คือการระบุ ตัวตนเชิงองค์กร ของกลุ่มนี้ว่าคือหน่วยทหาร Unit 61046 หรือ CSF 8th Bureau (กองที่ 8 ของกองกำลังอวกาศไซเบอร์) การเชื่อมโยงกลุ่มแฮกเกอร์เข้ากับหมายเลขหน่วยทหารที่ชัดเจนถือเป็นก้าวสำคัญของการระบุแหล่งที่มา (attribution) เพราะเปลี่ยนภาพจาก “กลุ่มนิรนามที่สงสัยว่าจีนหนุนหลัง” ไปสู่ “หน่วยงานในโครงสร้างการบังคับบัญชาของกองทัพจีนที่ระบุได้”

2. วิวัฒนาการ: จากโปรเจกต์คนเดียวสู่อาวุธของกองทัพ

เรื่องราวของ RedRelay เป็นภาพจำลองว่าระบบอุตสาหกรรมไซเบอร์ของจีนดูดกลืนนวัตกรรมของบุคคลเข้าสู่กลไกของรัฐได้อย่างไร จุดเริ่มต้นคือ FCN (Free Connect) เครื่องมือเจาะทะลุการปิดกั้นอินเทอร์เน็ต (การข้ามกำแพงไฟหรือ Great Firewall) ที่ดูเหมือนเป็นโปรเจกต์ส่วนตัวของ Wang Huiping เผยแพร่แบบเปิดบน GitHub เครื่องมือประเภทนี้ในบริบททั่วไปคือซอฟต์แวร์สำหรับหลบการเซ็นเซอร์ ไม่ใช่อาวุธ

ขั้นต่อมาคือการที่โครงการนี้ถูกแปรรูปเป็นผลิตภัณฑ์ในนามบริษัท เมื่อ intrusiontruth ค้นฐานข้อมูล VirusTotal บนโดเมน xfconnect.com พบไฟล์ไบนารีของ FCN หลายตัว หนึ่งในนั้นมีความคล้ายคลึงอย่างมากกับไฟล์ชื่อ stn.exe ที่ถูกอธิบายว่าเป็น “STN Security Tunnel” และเมื่อดึงสตริง (strings — ข้อความที่ฝังในไฟล์โปรแกรม) จากไฟล์ STN ก็พบการอ้างอิงถึง FCN โดยตรง กล่าวคือ STN ซึ่งเป็นหนึ่งในผลิตภัณฑ์ที่ Guangdong Chanming จดสิทธิบัตร แท้จริงคือ FCN ที่ถูกนำมาต่อยอดและติดตราสินค้าใหม่

ขั้นสุดท้ายคือการที่ผลิตภัณฑ์นี้กลายเป็นโครงสร้างพื้นฐานของปฏิบัติการทางทหาร สัญญาจัดซื้อจัดจ้างเชื่อม Guangdong Chanming เข้ากับหน่วยทหารในเขตไห่เตี้ยน ซึ่งเป็นที่ตั้งของ กองกำลังอวกาศไซเบอร์ (PLA Cyberspace Force — CSF) หน่วยงานที่รับผิดชอบปฏิบัติการไซเบอร์ทางทหารของจีนโดยตรง เส้นทางทั้งหมดจึงลากจากโค้ดของวิศวกรคนเดียว ผ่านบริษัทหน้าฉาก ไปจบที่กองบัญชาการไซเบอร์ของกองทัพ

รูปแบบวิวัฒนาการเช่นนี้สอดคล้องกับสิ่งที่โลกได้เห็นจากการรั่วไหลของเอกสารบริษัท i-Soon (อี้เสวียน) ก่อนหน้านี้ ที่เผยให้เห็นว่าจีนพึ่งพาผู้รับเหมาเอกชนจำนวนมากในการพัฒนาและดำเนินการเครื่องมือจารกรรม กรณี Guangdong Chanming จึงไม่ใช่เหตุการณ์โดดเดี่ยว แต่เป็นอีกหนึ่งชิ้นส่วนที่ยืนยันภาพใหญ่ของ “ตลาดการโจมตีไซเบอร์” ที่รัฐจีนเป็นผู้ซื้อรายใหญ่

ภาพที่ 2: เส้นทางการต่อจุดหลักฐาน (pivot) ของ intrusiontruth ตั้งแต่หมายเลขโทรศัพท์ของ Wang Huiping ที่รั่วในฐานข้อมูลละเมิดข้อมูล เชื่อมไปยังอีเมล boywhp@126.com บัญชี GitHub ชื่อ boywhp โดเมน xfconnect.com ไฟล์บน VirusTotal และปิดท้ายที่มัลแวร์ WHIPWEAVE/bulbature อันเป็นหัวใจของ RedRelay แต่ละขั้นคือหลักฐานอิสระที่เมื่อรวมกันแล้วยากจะเป็นเรื่องบังเอิญ

3. ยุทธวิธี เทคนิค และกลไกของเครือข่าย RedRelay (TTPs)

3.1 ORB Network — โครงสร้างพื้นฐานที่ออกแบบมาเพื่อลบร่องรอย

RedRelay จัดอยู่ในประเภทเครือข่ายที่เรียกว่า ORB (Operational Relay Box) network หรือเครือข่ายกล่องกระโดดเชิงปฏิบัติการ แนวคิดคือแทนที่ผู้โจมตีจะเชื่อมต่อจากเซิร์ฟเวอร์สั่งการ (C2 — Command and Control) ของตนไปยังเหยื่อโดยตรง ผู้โจมตีจะส่งทราฟฟิกผ่านชั้นของอุปกรณ์ตัวกลาง (relay node) จำนวนมากที่กระจายอยู่ทั่วโลก อุปกรณ์เหล่านี้มักเป็นเราเตอร์ตามบ้านหรือสำนักงานขนาดเล็ก อุปกรณ์ไอโอที และเซิร์ฟเวอร์เสมือน (VPS) ราคาถูกที่ถูกเจาะยึดไว้ ผลลัพธ์คือเมื่อเหยื่อหรือนักสืบสวนพยายามสืบย้อนต้นทางการโจมตี พวกเขาจะเห็นเพียงที่อยู่ไอพี (IP address) ของอุปกรณ์กลางที่บริสุทธิ์ในประเทศที่สาม ไม่ใช่ต้นทางจริงในจีน

สอดคล้องกับหลักฐาน สิทธิบัตรสองฉบับของ Guangdong Chanming อธิบายการไหลของทราฟฟิกแบบ หลายชั้นและนิรนาม (multi-hop anonymizing) ซึ่งตรงกับลักษณะที่รู้กันของ RedRelay การที่คำบรรยายในสิทธิบัตรตรงกับพฤติกรรมของมัลแวร์จริง เป็นหลักฐานเชิงเทคนิคที่หนักแน่นว่าบริษัทคือผู้ออกแบบเครือข่ายนี้ ไม่ใช่เพียงผู้ขายต่อ

ภาพที่ 3: กลไกการพรางต้นทางของเครือข่าย ORB แบบ RedRelay ทราฟฟิกจากผู้ปฏิบัติการในจีนถูกส่งผ่านอุปกรณ์ที่ถูกเจาะยึดหลายชั้น (มักเป็นเราเตอร์บ้าน อุปกรณ์ไอโอที และ VPS ราคาถูกในหลายประเทศ) ก่อนถึงเป้าหมาย ทำให้การระบุแหล่งที่มาและการปิดกั้นทำได้ยาก และเปิดช่องให้อุปกรณ์ในประเทศที่สาม เช่น ไทย ถูกดึงเข้าไปเป็นจุดกระโดดโดยเจ้าของไม่รู้ตัว

3.2 WHIPWEAVE / bulbature — มัลแวร์หัวใจของเครือข่าย

องค์ประกอบซอฟต์แวร์ที่ทำให้เครือข่ายนี้ทำงานได้คือมัลแวร์ที่นักวิจัยเรียกว่า WHIPWEAVE ซึ่งในธรรมชาติปรากฏเป็นไฟล์ชื่อ bulbature มัลแวร์นี้ทำหน้าที่เปลี่ยนอุปกรณ์ที่ถูกเจาะให้กลายเป็นจุดกระโดดในเครือข่าย RedRelay จุดเชื่อมโยงเชิงเทคนิคที่ intrusiontruth ใช้พิสูจน์ความสัมพันธ์ระหว่าง FCN กับ WHIPWEAVE คือ ลายเซ็นดิจิทัลเชิงพฤติกรรม ในโค้ด กล่าวคือ ไฟล์ FCN รุ่นที่คอมไพล์สำหรับระบบลินุกซ์เกือบทุกตัวใช้คำสั่งที่ผิดปกติอย่างมากในการระบุชื่อการ์ดเครือข่าย ได้แก่คำสั่ง:

cat /proc/net/route | awk '{print $1,$2}' | awk '/00000000/ {print $1}'

คำสั่งนี้เฉพาะเจาะจงและไม่ธรรมดาพอที่จะใช้เป็น “ลายนิ้วมือ” ได้ และเมื่อค้นหาลายนิ้วมือนี้ ก็นำไปสู่ไฟล์ bulbature (WHIPWEAVE) โดยตรง การที่โค้ดชิ้นเดียวกันปรากฏทั้งในเครื่องมือ FCN ที่ผูกกับ Wang Huiping และในมัลแวร์เครือข่ายลับที่ใช้โดยกลุ่มแฮกเกอร์จีน ทำให้เกิดสองความเป็นไปได้ที่ intrusiontruth ชี้ไว้อย่างคมคาย คือ หนึ่ง เป็นความบังเอิญที่คำสั่งแปลกประหลาดตรงกันพอดีทั้งที่คำบรรยายสิทธิบัตรก็ระบุชื่อผู้พัฒนา FCN หรือสอง FCN คือรุ่นหนึ่งของมัลแวร์ และสิทธิบัตรคือความพยายามทำให้มันดูถูกกฎหมาย ซึ่งความเป็นไปได้ที่สองสมเหตุสมผลกว่ามาก

3.3 โครงสร้างพื้นฐานร่วมและปัญหาการระบุแหล่งที่มา

ประเด็นเชิงยุทธศาสตร์ที่สำคัญที่สุดของ RedRelay คือมันเป็น โครงสร้างพื้นฐานที่ใช้ร่วมกัน (shared infrastructure) โดยกลุ่มแฮกเกอร์ในเครือรัฐจีนหลายกลุ่ม ไม่ใช่ของกลุ่มใดกลุ่มหนึ่งโดยเฉพาะ ลักษณะนี้สร้างผลสองด้านที่เป็นประโยชน์ต่อฝ่ายโจมตี ด้านแรกคือการประหยัดต่อขนาด (economy of scale) — แทนที่แต่ละหน่วยจะต้องสร้างเครือข่ายพรางตัวของตนเอง ทุกหน่วยเช่าใช้โครงสร้างเดียวกันที่ผู้รับเหมาดูแลให้ ด้านที่สองคือการสร้างความสับสนในการระบุแหล่งที่มา (attribution) เพราะเมื่อหลายกลุ่มใช้เครือข่ายเดียวกัน การเห็นทราฟฟิกจากโครงสร้างพื้นฐานร่วมนี้จึงไม่สามารถชี้ชัดได้ทันทีว่าเป็นฝีมือหน่วยใด

สำหรับผู้ป้องกัน นัยสำคัญคือการปิดกั้นที่อยู่ไอพีของจุดกระโดดจะได้ผลจำกัด เพราะเครือข่ายมีอุปกรณ์สำรองจำนวนมากและหมุนเวียนเปลี่ยนโหนดตลอดเวลา การป้องกันที่ได้ผลจึงต้องเน้นการตรวจจับพฤติกรรมและตัวมัลแวร์ WHIPWEAVE บนอุปกรณ์ปลายทาง มากกว่าการพึ่งพารายการที่อยู่ไอพีอันตราย (IP blocklist) เพียงอย่างเดียว

4. ผลกระทบต่อประเทศไทยโดยตรง

ความเสี่ยงต่อประเทศไทยจากกรณีนี้แบ่งได้เป็นสองมิติที่ต้องรับมือต่างกัน

มิติแรกคือ ไทยในฐานะเป้าหมายการจารกรรมของ APT15/CSF 8th Bureau กลุ่มนี้มีประวัติชัดเจนในการมุ่งเป้าหน่วยงานการทูตและภาครัฐทั่วเอเชีย และผลประโยชน์เชิงข่าวกรองของกลุ่มสอดคล้องกับสถานะของไทยในฐานะศูนย์กลางการทูตของอาเซียน ที่ตั้งของสำนักเลขาธิการและการประชุมระดับภูมิภาคจำนวนมาก รวมถึงบทบาทของไทยในประเด็นที่จีนให้ความสำคัญ เช่น ความสัมพันธ์กับประเทศเพื่อนบ้านลุ่มน้ำโขงและโครงการพลังงานข้ามพรมแดน หน่วยงานที่มีความเสี่ยงสูงจึงได้แก่กระทรวงการต่างประเทศ หน่วยงานความมั่นคง สภาความมั่นคงแห่งชาติ หน่วยงานที่เกี่ยวกับนโยบายภูมิภาค และองค์กรวิจัยเชิงนโยบาย (think tank) ที่ถือครองข้อมูลอ่อนไหวด้านความสัมพันธ์ระหว่างประเทศ

มิติที่สองซึ่งมักถูกมองข้ามคือ ไทยในฐานะแหล่งอุปกรณ์สำหรับสร้างเครือข่ายพรางตัว เนื่องจากเครือข่าย ORB แบบ RedRelay สร้างจากอุปกรณ์ที่ถูกเจาะยึดทั่วโลก และประเทศไทยมีเราเตอร์ตามบ้านและสำนักงานขนาดเล็ก อุปกรณ์ไอโอที และเซิร์ฟเวอร์เช่าจำนวนมากที่มักไม่ได้รับการอัปเดตแพตช์ (patch) อุปกรณ์เหล่านี้จึงเป็นเป้าหมายในการยึดเพื่อใช้เป็นจุดกระโดด ผลกระทบคือองค์กรหรือประชาชนไทยอาจกลายเป็น “ผู้สมรู้ร่วมคิดโดยไม่รู้ตัว” ในการโจมตีประเทศที่สาม ทราฟฟิกโจมตีที่ออกจากไอพีของไทยอาจนำไปสู่การที่ไทยถูกมองในแง่ลบทางการทูต หรือถูกจัดให้อยู่ในบัญชีเฝ้าระวังของหน่วยงานความมั่นคงต่างชาติ ทั้งที่ไทยเองก็เป็นเหยื่อของการยึดอุปกรณ์

มิติที่สองนี้มีความสำคัญเชิงนโยบายเป็นพิเศษ เพราะมันเปลี่ยนกรอบการรับมือจาก “การป้องกันไม่ให้ถูกเจาะ” เพียงอย่างเดียว ไปสู่ “การทำความสะอาดอุปกรณ์ที่ถูกยึดไปแล้ว” ซึ่งต้องอาศัยความร่วมมือระหว่างผู้ให้บริการอินเทอร์เน็ต (ISP) หน่วยงานกำกับดูแล และทีมตอบสนองเหตุฉุกเฉินทางไซเบอร์แห่งชาติ

5. การประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ

เมื่อประเมินในภาพรวม กรณี Guangdong Chanming ให้บทเรียนเชิงยุทธศาสตร์สามข้อสำหรับผู้กำหนดนโยบายและหน่วยงานด้านความมั่นคงของไทย

ข้อแรก ภัยคุกคามจากจีนได้ถูกแปรรูปเป็นอุตสาหกรรมแล้ว การโจมตีไซเบอร์ระดับรัฐไม่ได้มาจากทีมแฮกเกอร์ในกองทัพเพียงลำพัง แต่มาจากระบบนิเวศของผู้รับเหมาเอกชนที่พัฒนา ขาย และดูแลเครื่องมือให้กองทัพและหน่วยข่าวกรอง ความหมายเชิงป้องกันคือการปิดกลุ่มใดกลุ่มหนึ่งไม่ได้หยุดภัย เพราะเครื่องมือและโครงสร้างพื้นฐานถูกใช้ร่วมกันและผลิตซ้ำได้ ไทยจึงต้องมองภัยนี้เป็น “ระบบ” ไม่ใช่ “เหตุการณ์”

ข้อสอง การระบุแหล่งที่มาจะยากขึ้นเรื่อย ๆ เมื่อโครงสร้างพื้นฐานเป็นแบบใช้ร่วมและพรางหลายชั้น การชี้ว่าใครโจมตีจะต้องอาศัยการวิเคราะห์เชิงพฤติกรรมและข่าวกรองที่ลึกกว่าการดูที่อยู่ไอพีต้นทาง หน่วยงานไทยที่พึ่งพาการปิดกั้นไอพีเป็นหลักจะรับมือภัยประเภทนี้ได้จำกัด และควรลงทุนในความสามารถด้านการวิเคราะห์มัลแวร์และการล่าภัยคุกคาม (threat hunting) บนอุปกรณ์ปลายทาง

ข้อสาม อุปกรณ์ขอบเครือข่ายคือแนวรบใหม่ จุดอ่อนที่ถูกใช้สร้างเครือข่าย ORB คือเราเตอร์และอุปกรณ์ไอโอทีที่ไม่ได้รับการดูแล ซึ่งเป็นจุดบอดของการรักษาความปลอดภัยในเกือบทุกองค์กร การยกระดับความปลอดภัยของอุปกรณ์ขอบ (edge devices) จึงไม่ใช่เพียงเรื่องการป้องกันตนเอง แต่เป็นความรับผิดชอบต่อความมั่นคงของภูมิภาคด้วย เพราะช่วยตัดวัตถุดิบที่ผู้โจมตีใช้สร้างเครือข่ายพรางตัว

อนึ่ง พึงระลึกว่าข้อมูลในรายงานนี้มาจากการสืบสวนของ intrusiontruth เป็นหลัก ซึ่งเป็นแหล่งที่มีประวัติการเปิดโปงผู้รับเหมาไซเบอร์จีนที่แม่นยำในอดีต (เช่น กรณี APT3 และ APT10) แต่การยืนยันจากหลายแหล่งอิสระยังเป็นสิ่งจำเป็นก่อนนำไปใช้ในการตัดสินใจระดับนโยบายที่มีผลผูกพัน intrusiontruth ระบุว่าจะเผยแพร่บทความต่อไปที่แสดงรายละเอียดการเชื่อมโยงระหว่าง RedRelay กับปฏิบัติการของ APT15 เพิ่มเติม ซึ่งควรติดตามเพื่อประกอบการประเมิน

6. ข้อเสนอเชิงยุทธศาสตร์

ระยะเร่งด่วน (0–30 วัน)

หน่วยงานความมั่นคงและองค์กรโครงสร้างพื้นฐานสำคัญควรเริ่มจากการค้นหาตัวบ่งชี้การถูกบุกรุก (IoC) ที่ระบุในภาคผนวกภายในเครือข่ายของตน โดยเฉพาะร่องรอยของมัลแวร์ WHIPWEAVE/bulbature และการเชื่อมต่อออกไปยังโดเมน xfconnect.com ควบคู่กับการตรวจสอบอุปกรณ์ขอบเครือข่าย — เราเตอร์ อุปกรณ์ไอโอที และ VPS — ว่ามีพฤติกรรมผิดปกติที่บ่งชี้ว่าถูกใช้เป็นจุดกระโดดหรือไม่ องค์กรที่ถือครองข้อมูลอ่อนไหวด้านการทูตและความมั่นคงควรทบทวนบันทึกการเข้าถึง (log) ย้อนหลังเพื่อหาการเชื่อมต่อผิดปกติที่อาจเป็นการจารกรรมของ APT15

ระยะกลาง (1–3 เดือน)

หน่วยงานควรยกระดับความสามารถในการตรวจจับที่พึ่งพาพฤติกรรมมากกว่าที่อยู่ไอพี เนื่องจากเครือข่าย ORB ออกแบบมาเพื่อทำให้การปิดกั้นไอพีไร้ผล การลงทุนในเครื่องมือตรวจจับและตอบสนองที่อุปกรณ์ปลายทาง (EDR — Endpoint Detection and Response) และการวิเคราะห์หน่วยความจำ (memory forensics) จึงคุ้มค่ากว่า นอกจากนี้ผู้ให้บริการอินเทอร์เน็ตและหน่วยกำกับดูแลควรวางกลไกร่วมกันในการตรวจหาและแจ้งเตือนอุปกรณ์ในประเทศที่ถูกยึดไปใช้เป็นจุดกระโดด เพื่อป้องกันไม่ให้ไทยกลายเป็นฐานปฏิบัติการของการโจมตีชาติอื่น

ระยะยาว (3–12 เดือน)

ในเชิงนโยบาย ไทยควรผลักดันมาตรฐานความปลอดภัยขั้นต่ำสำหรับอุปกรณ์ขอบเครือข่ายและอุปกรณ์ไอโอทีที่จำหน่ายในประเทศ รวมถึงข้อกำหนดการอัปเดตแพตช์ เพื่อลดจำนวนอุปกรณ์เปราะบางที่เป็นวัตถุดิบของเครือข่าย ORB ในระดับภูมิภาค ไทยควรใช้เวทีอาเซียนในการแลกเปลี่ยนข่าวกรองภัยคุกคามเกี่ยวกับโครงสร้างพื้นฐานร่วมแบบ RedRelay เพราะการรับมือภัยที่ใช้โครงสร้างพื้นฐานข้ามพรมแดนต้องอาศัยความร่วมมือข้ามพรมแดนเช่นกัน และควรสร้างขีดความสามารถด้านการวิเคราะห์การระบุแหล่งที่มาในระดับชาติ เพื่อไม่ให้ต้องพึ่งพาการประเมินจากต่างชาติเพียงอย่างเดียว

มุมมองไปข้างหน้า (Outlook)

การเปิดโปง Guangdong Chanming เป็นอีกหมุดหมายที่ยืนยันว่าแนวโน้มการแปรรูปการโจมตีไซเบอร์เป็นอุตสาหกรรมจะดำเนินต่อไปและทวีความซับซ้อน เครือข่ายพรางตัวแบบใช้ร่วมกันจะกลายเป็นมาตรฐานของปฏิบัติการรัฐชาติ ทำให้เส้นแบ่งระหว่างกลุ่มต่าง ๆ พร่าเลือนและการระบุแหล่งที่มายากขึ้น สำหรับประเทศไทย ความท้าทายเชิงยุทธศาสตร์ในระยะต่อไปไม่ใช่เพียงการป้องกันการจารกรรม แต่คือการรับประกันว่าโครงสร้างพื้นฐานดิจิทัลของประเทศจะไม่ถูกยืมไปเป็นเครื่องมือของการโจมตีที่ไทยไม่ได้ก่อ การติดตามบทความต่อเนื่องของ intrusiontruth และการยืนยันจากแหล่งข่าวกรองอิสระจะช่วยให้ภาพของเครือข่ายนี้ชัดเจนขึ้นในอีกไม่กี่เดือนข้างหน้า

ภาพที่ 4: ตำแหน่งของ Guangdong Chanming ในระบบนิเวศอุตสาหกรรมไซเบอร์ของรัฐจีน ผู้รับเหมาเอกชนพัฒนาเครื่องมือและโครงสร้างพื้นฐานร่วม แล้วขายให้ลูกค้ารัฐหลายราย (PLA, กระทรวงความมั่นคงสาธารณะ) ซึ่งกระจายให้หน่วยปฏิบัติการ เช่น CSF 8th Bureau (APT15) นำไปใช้จารกรรมทั่วโลก — แบบจำลองเดียวกับที่เห็นในการรั่วไหลของ i-Soon

ภาคผนวก

ก. การจับคู่กับกรอบ MITRE ATT&CK (บางส่วน)

ข. ตัวบ่งชี้การถูกบุกรุก (Indicators of Compromise)

⚠️ IoC ทั้งหมดอ้างอิงจากการสืบสวนของ intrusiontruth (27 ก.ค. 2569) ควรตรวจสอบยืนยันกับแหล่งข่าวกรองภัยคุกคามเพิ่มเติมก่อนนำไปบล็อกในระบบจริง

ค. สรุปชื่อเรียกกลุ่ม (Aliases)

APT15 · Ke3chang · Vixen Panda · Playful Dragon · Red Vulture · Nylon Typhoon (Microsoft, เดิม Nickel) · Unit 61046 · CSF 8th Bureau (ตัวตนเชิงองค์กรตามที่ intrusiontruth ระบุ)

ง. แหล่งอ้างอิง

• intrusiontruth, “Dear Diary, Today I found a Ghost in the Network” (27 กรกฎาคม 2569): https://intrusiontruth.wordpress.com/2026/07/27/dear-diary-today-i-found-a-ghost-in-the-network/
• ฐานความรู้ด้านภัยคุกคามและระบบตั้งชื่อกลุ่ม APT ของ Cloud Thunder Threat Intelligence