จัดทำโดย: Cloud Thunder Threat Intelligence
หัวข้อ: การใช้เอเจนต์ AI (Hermes) และ implant Hades บุกรุกเครือข่ายกระทรวงการคลังของไทย
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคาม (Strategic Threat Analysis)
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: รายงานสืบสวนร่วมของบริษัท Hunt.io และนาย Bob Diachenko, ฐานข่าวของ Cloud Thunder

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

เหตุการณ์นี้ คือ หนึ่งในกรณีแรก ๆ ของโลกที่มีหลักฐานชัดเจนว่าผู้โจมตีได้ “มอบหมายงานสอดแนมเครือข่าย” ให้กับปัญญาประดิษฐ์ (AI) ทำเองแทนคน โดยเป้าหมาย คือ กระทรวงการคลังของประเทศไทย (Ministry of Finance : MOF) ซึ่งเป็นหน่วยงานที่ดูแลการคลังของแผ่นดิน ภาษี เงินคงคลัง และกำกับรัฐวิสาหกิจกับสถาบันการเงินของรัฐ การที่หน่วยงานระดับนี้ถูกเจาะจึงไม่ใช่เพียงเรื่องความปลอดภัยขององค์กรใดองค์กรหนึ่ง แต่แตะระดับ ความมั่นคงทางเศรษฐกิจและอธิปไตยทางข้อมูลของชาติ

บริษัท Hunt.io ร่วมกับนาย Bob Diachenko นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์ค้นพบปฏิบัติการนี้ ขณะที่ปฏิบัติการยัง “กำลังดำเนินการอยู่” (mid-run) เนื่องจากผู้โจมตีเผลอเปิด open directory ( ไดเรกทอรีบนเซิร์ฟเวอร์ที่สามารถให้บุคคลใด ๆ ก็เข้ามาดูไฟล์ข้างในเซิร์ฟเวอร์ได้โดยไม่ต้องล็อกอิน ) ทิ้งไว้บนเซิร์ฟเวอร์เตรียมการ (staging server) ฮ่องกง ระหว่างวันที่ 9–13 กรกฎาคม 2569 ระบบ Attack Capture ของ Hunt.io เก็บสำเนาไดเรกทอรีเหล่านั้นได้ทั้งสิ้น 585 ไฟล์ รวม 470 เมกะไบต์ ซึ่งเต็มไปด้วยโค้ดโจมตี เว็บเชลล์ (web shell) สคริปต์ที่ฝังรหัสผ่านที่ขโมยมา และที่สำคัญที่สุดคือ บันทึกการทำงาน (log) ของเอเจนต์ AI ที่กำลังไล่สำรวจเครือข่ายของกระทรวงการคลังอยู่

หัวใจของปฏิบัติการนี้มีทั้งหมด 2 ส่วน ได้แก่

1. Hermes เอเจนต์ AI แบบโอเพนซอร์ส (open source) ซึ่งเป็นซอฟต์แวร์เปิดเผยซอร์สโค้ดให้ใช้ฟรี โดยที่ตัวมันเองเป็น เครื่องมือแบบถูกกฎหมาย ไม่ใช่เครื่องมือแฮ็กโดยเฉพาะ แต่ถูกผู้โจมตีนำมาใช้ในทางที่ผิด โดยเปิดโหมดที่เรียกว่า “YOLO” ซึ่งเป็นโหมดที่ตัด “การขออนุญาตจากมนุษย์” ก่อนลงมือทำคำสั่งอันตรายออกไปทั้งหมด ทำให้ AI ไล่สแกนหาช่องโหว่ ยกระดับสิทธิ์ และรวบรวมไฟล์ได้ด้วยตัวเอง โดยไม่มีใครนั่งเฝ้า
2.  Hades ซึ่งเป็น มัลแวร์ฝังตัวที่เปิดช่องให้สามารถควบคุมเครื่องจากระยะไกล ที่เรียกว่า implant เป็นมัลแวร์ตัวใหม่ที่ยังไม่เคยมีใครรายงานมาก่อน เขียนด้วยภาษา Go และทำงานได้ทั้งบน Windows และ Linux ชื่อ Hades กับ Hermes ยังเข้ากันเชิงสัญลักษณ์ตามเทพปกรณัมกรีก ที่ “เฮอร์มีส” เป็นผู้นำดวงวิญญาณลงสู่ “ฮาเดส” โดยเอเจนต์ทำหน้าที่นำทาง ส่วน implant ทำหน้าที่ตรึงพื้นที่ที่ยึดได้

บทวิเคราะห์ฉบับนี้ประเมินว่าเหตุการณ์นี้มีนัยเชิงยุทธศาสตร์ที่สำคัญ 5 ประการ ได้แก่

• (1) ประเทศไทยถูกเลือกเป็นเป้าหมายจำเพาะ ไม่ใช่เหยื่อบังเอิญ เพราะสคริปต์เกือบทุกไฟล์ อ้างถึงระบบภายในของกระทรวง ด้วยชื่อโฮสต์และไอพีจริง
• (2) AI ถูกใช้ลงมือโจมตีจริงในงานจารกรรมระดับรัฐ ไม่ใช่แค่ทฤษฎี
• (3) ผู้โจมตีมีความรู้ลึกถึงโครงสร้างภายในของกระทรวงการคลัง โดยเฉพาะระบบข้อมูลขนาดใหญ่ Hadoop
• (4) หลักฐานทั้งหมดชี้ไปที่โครงสร้างพื้นฐานในฮ่องกง และร่องรอยภาษาจีน
• (5) แม้จะยังไม่พบหลักฐานว่ามีการขโมยข้อมูลออกไป แต่ AI ได้ ไล่จัดทำสารบัญเอกสาร และประวัติบุคลากรย้อนหลังถึงปี 2555 ของสำนักงานปลัดกระทรวงไว้เรียบร้อยแล้ว ซึ่งเป็นขั้นตอนก่อนการโจรกรรมข้อมูลตามปกติ

ภาพที่ 1: ภาพรวมปฏิบัติการ ตั้งแต่ผู้โจมตีที่เชื่อมต่อผ่าน SSH จากฮ่องกง สั่งงานเอเจนต์ AI Hermes ในโหมด YOLO ให้ไล่สำรวจเครือข่ายกระทรวงการคลัง ยกระดับสิทธิ์ และวาง implant Hades โดยมี open directory ที่เผลอเปิดทิ้งไว้เป็นจุดที่นักวิจัยมองเข้าไปเห็นปฏิบัติการทั้งหมด

1. รู้จักปฏิบัติการและผู้อยู่เบื้องหลัง

1.1 การค้นพบและการแจ้งเตือนหน่วยงานไทย

การสืบสวนนี้เป็นงานร่วมกันระหว่างบริษัท Hunt.io กับนาย Bob Diachenko ผู้เป็นทั้งนักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์และนักข่าว ทั้งนี้ทีมงานได้แจ้งเตือนหน่วยงานรับมือเหตุฉุกเฉินทางคอมพิวเตอร์แห่งชาติของไทย (National CERT) และสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช. หรือ NCSA) ตั้งแต่วันที่ 15 กรกฎาคม 2569 ซึ่งทั้งสองหน่วยงานตอบรับการแจ้งในวันเดียวกัน จากนั้นจึงเว้นระยะการเปิดเผยต่อสาธารณะไว้ 7 วันตามมาตรฐานการเปิดเผยช่องโหว่อย่างมีความรับผิดชอบ (responsible disclosure) ข้อเท็จจริงนี้มีความสำคัญ เพราะแสดงว่าหน่วยงานไทยได้รับทราบและมีเวลาตั้งรับก่อนที่ข่าวจะแพร่ออกไป

1.2 การพิสูจน์ตัวตนผู้โจมตี (Attribution)

รายงานต้นฉบับ ไม่ได้ระบุชื่อกลุ่มผู้โจมตี ที่เจาะจง แต่ให้การประเมินด้วย “ความเชื่อมั่นระดับต่ำถึงปานกลาง” (low-to-medium confidence) ว่าผู้อยู่เบื้องหลังน่าจะเป็นผู้ที่ พูดภาษาจีนหรือคุ้นเคยกับภาษาจีนเป็นอย่างดี โดยอาศัยหลักฐานประกอบหลายชิ้น ได้แก่ ประวัติของเซิร์ฟเวอร์ที่เคยถูกใช้เป็นตัวควบคุมมัลแวร์ ShadowPad (มัลแวร์ที่มักเชื่อมโยงกับกลุ่มจารกรรมจีน) การที่ปัจจุบันเซิร์ฟเวอร์ยังรันเครื่องมือควบคุมชื่อ VShell อยู่ โครงสร้างพื้นฐานที่ตั้งอยู่ในฮ่องกง และร่องรอยภาษาจีนในไฟล์ตั้งค่าของเอเจนต์ โดยเฉพาะ รหัสผ่านของหน้าเว็บควบคุม Hermes ที่มีคำภาษาจีนว่า “Leishen” (雷神) แปลว่า “เทพเจ้าสายฟ้า” และการพบคีย์ API ของ FOFA ซึ่งเป็นแพลตฟอร์มสำรวจทรัพย์สินบนอินเทอร์เน็ตสัญชาติจีน

จุดที่ต้องเน้นย้ำในเชิงระเบียบวิธี คือ การพบร่องรอยภาษาจีนหรือโครงสร้างพื้นฐานในฮ่องกง ไม่ได้พิสูจน์แบบเบ็ดเสร็จ ว่าเป็นปฏิบัติการที่รัฐบาลจีนหนุนหลัง เพราะร่องรอยเหล่านี้อาจถูกวางเพื่อชี้นำให้เข้าใจผิด (false flag) ได้ อย่างไรก็ตาม เมื่อพิจารณาลักษณะเป้าหมาย (กระทรวงการคลังของรัฐ) แรงจูงใจ (การจารกรรมข้อมูลระยะยาว ไม่ใช่เรียกค่าไถ่) และความประณีตของปฏิบัติการ ก็สอดคล้องกับรูปแบบของภัยคุกคามขั้นสูงแบบต่อเนื่อง (APT — Advanced Persistent Threat) ที่มีแรงจูงใจเชิงข่าวกรอง

1.3 ทำไมกระทรวงการคลังไทยจึงเป็นเป้าที่มีค่า

กระทรวงการคลัง มีหน้าที่ดูแลการเงินการคลังของประเทศ ทั้งการจัดเก็บภาษี การบริหารเงินคงคลังและทรัพย์สินของแผ่นดิน ตลอดจนการกำกับดูแลรัฐวิสาหกิจ และสถาบันการเงินของรัฐ ภายใต้กระทรวงมี สำนักงานปลัดกระทรวง ซึ่งรับผิดชอบการจัดทำแผนยุทธศาสตร์และกำกับการดำเนินงานของหน่วยงานในสังกัด ข้อมูลที่ไหลผ่านหน่วยงานเหล่านี้จึงมีมูลค่าเชิงข่าวกรองสูงมาก ทั้งข้อมูลเศรษฐกิจระดับมหภาค ข้อมูลงบประมาณ ข้อมูลรัฐวิสาหกิจ และข้อมูลบุคลากรระดับสูง สคริปต์ที่พบในไดเรกทอรีที่เปิดโล่งล้วนอ้างถึงระบบของกระทรวงด้วยชื่อจริง ชื่อโฮสต์ และที่อยู่ไอพีภายใน (internal IP ที่ใช้ได้เฉพาะในเครือข่ายภายใน) ซึ่งบ่งชี้ว่าผู้โจมตีมีความเข้าใจแผนผังเครือข่ายภายในของกระทรวงในระดับที่ลึกผิดปกติ

2. ไทม์ไลน์และโครงสร้างพื้นฐานของปฏิบัติการ

2.1 ลำดับเหตุการณ์

จากการวิเคราะห์ใบรับรองดิจิทัล (TLS certificate) ทีมนักวิจัยประเมินว่าปฏิบัติการนี้ เริ่มต้นตั้งแต่ช่วงกลางถึงปลายเดือนมิถุนายน 2569 โดยพบใบรับรองที่เกี่ยวข้องเก่าสุดตั้งแต่วันที่ 26 มิถุนายน 2569 จากนั้นในวันที่ 29 มิถุนายน 2569 เซิร์ฟเวอร์หลักเริ่มแสดงใบรับรองชุดใหม่ ต่อมาระหว่างวันที่ 9–13 กรกฎาคม 2569 คือช่วงที่ open directory ทั้ง 3 เครื่องถูกเปิดโล่งและถูกระบบ Attack Capture เก็บสำเนาไว้ได้ และในวันที่ 15 กรกฎาคม 2569 หน่วยงานไทยได้รับการแจ้งเตือน

2.2 เซิร์ฟเวอร์หลักและ open directory ทั้งสาม

ศูนย์กลางของปฏิบัติการคือเซิร์ฟเวอร์หมายเลขไอพี 43.246.208[.]207 ซึ่งตั้งอยู่บนเครือข่าย AS132883 (ผู้ให้บริการ TOPIDC) ในฮ่องกง เซิร์ฟเวอร์นี้ถูกจัดว่ามีความเสี่ยงสูงเพราะเคยเป็นตัวควบคุม ShadowPad มาก่อน และปัจจุบันยังรันเซิร์ฟเวอร์ควบคุม VShell อยู่บนพอร์ต 21083 มีโดเมนเดียวคือ redhatupdating432.dnsrd[.]com ที่ชี้มายังเซิร์ฟเวอร์นี้ ในช่วงสามวันดังกล่าว เซิร์ฟเวอร์เปิดไดเรกทอรีสามชุดผ่านพอร์ตต่างกัน โดยแต่ละชุดมีบทบาทต่างกัน ดังตารางต่อไปนี้

2.3 การขยายผลผ่านใบรับรองดิจิทัล (TLS Certificate Pivoting)

เทคนิคสำคัญที่นักวิจัยใช้ตามรอยโครงสร้างพื้นฐานเพิ่ม คือ การวิเคราะห์ใบรับรองดิจิทัล ตั้งแต่วันที่ 29 มิถุนายน 2569 เซิร์ฟเวอร์หลักเริ่มแสดงใบรับรองที่มีชื่อสามัญ (common name) เป็นคำว่า www แต่หมุนเปลี่ยนชื่อองค์กรผู้ออกใบรับรองไปเรื่อย ๆ เช่น “Web Services”, “Cloud Platform” และ “Digital Solutions” ซึ่งล้วนเป็นชื่อกลาง ๆ ที่ฟังดูเหมือนบริการเทคโนโลยีทั่วไป ใบรับรองเหล่านี้มีลายนิ้วมือแบบ JA4X เหมือนกัน (JA4X คือค่าแฮชที่คำนวณจากโครงสร้างของใบรับรอง ใช้จับกลุ่มใบรับรองที่สร้างด้วยเครื่องมือ/แม่แบบเดียวกัน) เมื่อนำลายนิ้วมือนี้ไปค้นต่อ นักวิจัยพบเซิร์ฟเวอร์ที่เกี่ยวข้องอีกสองเครื่อง ได้แก่ 118.107.222[.]232 (ผู้ให้บริการ The Gigabit ในมาเลเซีย) และ 202.181.27[.]115 (ผู้ให้บริการ Converged Communications ในฮ่องกง) ซึ่งภายหลังยืนยันว่าเครื่องหลังทำหน้าที่เป็นเซิร์ฟเวอร์ควบคุม (C2) ตัวที่สองให้ implant Hades

3. ยุทธวิธี เทคนิค และเครื่องมือ (TTPs)

ปฏิบัติการนี้มีความน่าสนใจตรงที่ เครื่องมือส่วนใหญ่เป็นของที่วงการแฮ็กเกอร์เคยเห็นมาแล้ว แต่ “การประกอบร่าง” ของมันต่างหากที่เป็นเรื่องใหม่ นั่นคือการนำเอเจนต์ AI มาเป็นตัวประสานงาน ผนวกกับ implant ข้ามแพลตฟอร์ม และสคริปต์ที่เขียนขึ้นเพื่อเป้าหมายนี้โดยเฉพาะ หัวข้อนี้จะไล่อธิบายแต่ละองค์ประกอบ

ภาพที่ 2: ห่วงโซ่การโจมตี (attack chain) ตั้งแต่การเข้าถึงเบื้องต้นที่ยังไม่ทราบวิธี ไปจนถึงการวาง implant และการรวบรวมข้อมูล จุดที่เป็น “หัวใจใหม่” ของปฏิบัติการคือขั้นกลางที่เอเจนต์ AI เข้ามาทำงานสำรวจและยกระดับสิทธิ์แทนมนุษย์

3.1 เอเจนต์ AI ที่ทำงานเองในโหมด YOLO — จุดเปลี่ยนของงานจารกรรม

Hermes เป็นเอเจนต์ AI แบบโอเพนซอร์สที่เปิดตัวเมื่อเดือนกุมภาพันธ์ 2569 ตัวมันทำงานเป็น daemon หรือโปรแกรมที่รันอยู่เบื้องหลังตลอดเวลา สะสมความจำข้ามรอบการทำงาน (session) ได้ และภายในเดือนกรกฎาคม 2569 โครงการนี้มีผู้กดดาว (star) บน GitHub เกิน 140,000 ครั้ง จัดเป็นหนึ่งในเฟรมเวิร์กเอเจนต์ AI สาธารณะที่ถูกใช้แพร่หลายที่สุด

สิ่งที่ทำให้มันอันตรายในมือผู้ไม่หวังดีคือโหมดที่เรียกว่า YOLO ซึ่งเป็นตัวเลือกที่ปิด “การขออนุมัติจากมนุษย์” ก่อนรันคำสั่งที่อาจเป็นอันตราย พูดง่าย ๆ คือปกติ AI จะหยุดถามคนก่อนทำสิ่งเสี่ยง แต่โหมด YOLO ตัดขั้นตอนนั้นทิ้ง ทำให้ AI ลงมือได้ต่อเนื่องด้วยตัวเองโดยไม่ต้องรอใคร

บันทึกการทำงาน (log) ที่หลุดออกมาแสดงให้เห็นว่าเอเจนต์ถูกสั่งให้ทำงานในโหมดไร้คนคุมนี้จริง ในโฟลเดอร์ชื่อ hermes-results ที่ถูกเก็บสำเนาเมื่อวันที่ 9 กรกฎาคม 2569 มีไฟล์ห้าไฟล์ที่บันทึกการเรียกใช้งานเอเจนต์ (แต่ละไฟล์ตั้งชื่อรูปแบบ call_00_[รหัสสุ่ม].txt) ซึ่งเผยว่า AI ได้ช่วยผู้โจมตีประเมินเส้นทางยกระดับสิทธิ์และไล่สำรวจเครือข่ายของกระทรวง โดยใช้เครื่องมือโอเพนซอร์สชื่อ LinPEAS (สคริปต์ยอดนิยมสำหรับค้นหาช่องทางยกระดับสิทธิ์บน Linux) เนื้อหาของ log ทั้ง 5 ไฟล์สรุปได้ดังนี้

จุดที่น่ากังวลในเชิงยุทธศาสตร์ที่สุด คือ ไฟล์สุดท้าย ซึ่งแสดงว่าเอเจนต์ถูกสั่งให้ไล่จัดทำสารบัญไดเรกทอรีเนื้อหาที่มีไฟล์ PDF, DOC, XLS และ ประวัติบุคลากรที่เกี่ยวข้องกับสำนักงานปลัดกระทรวงการคลัง ย้อนหลังไปถึงปี 2555 แม้ปัจจุบันจะ ยังไม่พบหลักฐานว่าไฟล์เหล่านี้ถูกนำออกไป (exfiltrate) แต่การจัดทำสารบัญข้อมูลเป็นขั้นตอนมาตรฐานก่อนการโจรกรรมข้อมูล นอกจากนี้ยังพบไฟล์ linpeas.sh เวอร์ชันดัดแปลงที่ป้อนให้เอเจนต์ ซึ่งถูกตั้งค่าให้สแกนหาช่องโหว่ยกระดับสิทธิ์ระดับเคอร์เนลของปี 2569 ถึงสามชุด ได้แก่ CVE-2026-43503 ชื่อเล่น DirtyClone, CVE-2026-31431 ชื่อเล่น Copy Fail ในโมดูล algif_aead และ CVE-2026-43284/CVE-2026-43500 ชื่อเล่น Dirty Frag ช่องโหว่การเขียนทับ page-cache อย่างไรก็ตามยังไม่มีหลักฐานยืนยันว่าช่องโหว่ตัวใดถูกใช้โจมตีสำเร็จ

ไฟล์ตั้งค่าของเอเจนต์ยังเผยเบาะแสสำคัญเรื่องผู้โจมตี โดยระบุว่าไคลเอนต์ SSH ที่เชื่อมต่อเข้ามาคือไอพี 103.97.0[.]57 AS133073 ผู้ให้บริการ HK Kwaifong Group ฮ่องกง ซึ่งเชื่อมต่อไปยังเซิร์ฟเวอร์เตรียมการ 43.246.208[.]207 โดยตรง เท่ากับเป็นเครื่องเครื่องที่ 4 ที่ผูกอยู่กับปฏิบัติการนี้ และเป็นเครื่องที่ผู้โจมตีใช้เข้าถึงเซิร์ฟเวอร์เตรียมการด้วยตัวเอง

3.2 การพุ่งเป้าระบบข้อมูลขนาดใหญ่ Hadoop/HiveServer2 ของกระทรวงการคลัง

ส่วนที่ผู้โจมตีทุ่มเทเขียนโค้ดเฉพาะทางมากที่สุด คือ การโจมตีระบบข้อมูลขนาดใหญ่ (big-data cluster)
ของกระทรวงที่ใช้ Apache Hadoop ในไดเรกทอรีของวันที่ 13 กรกฎาคม 2569 มีไฟล์หลายสิบไฟล์ที่เกี่ยวกับการเจาะ Apache HiveServer2 ซึ่งเป็นบริการที่ให้รันคำสั่งค้นข้อมูลแบบ SQL บน Hadoop โดยมีสคริปต์หลักชื่อ hive_rce_py2.py ที่เปิดการเชื่อมต่อไปยังโหนด Hadoop ภายในบนพอร์ต 10000 แล้วยืนยันตัวตนด้วยวิธี SASL PLAIN โดยใช้รหัสผ่านเริ่มต้น (default credentials) เทคนิคนี้อาศัยการตั้งค่าที่ผิดพลาดซึ่งเป็นที่รู้กันดี นั่นคือ HiveServer2 มีโหมดยืนยันตัวตนเริ่มต้นเป็น NONE ซึ่งหมายความว่ามันจะรับรหัสผ่านอะไรก็ได้โดยไม่ตรวจสอบ เมื่อเข้าได้แล้ว สคริปต์จะลงทะเบียนฟังก์ชันที่ผู้ใช้กำหนดเอง (UDF — User-Defined Function) ที่เป็นอันตรายในรูปไฟล์ HiveCmd.jar เพื่อให้สามารถส่งคำสั่งระบบปฏิบัติการผ่านคำสั่ง SQL ของ Hive และรับผลลัพธ์กลับผ่าน WebHDFS บนโหนดภายในอีกเครื่องที่พอร์ต 50070

นอกจากสคริปต์ Hive แล้วยังมีเพย์โหลด (payload) ของ Apache Ambari ชื่อ ambari_cmd.json ที่ระบุชื่อโฮสต์ของโหนดจัดเก็บข้อมูล (HDFS DataNode) ภายในโดยเฉพาะ เพย์โหลดชุด Ambari นี้พุ่งเป้าที่ “ชั้นบริหารจัดการ” ของระบบมากกว่าชั้นข้อมูล ทำให้ผู้โจมตีขยายการควบคุมได้กว้างขึ้นทั่วทั้งสภาพแวดล้อม Hadoop ของกระทรวง จุดที่สะท้อนว่ามีการเตรียมการอย่างพิถีพิถัน คือ พบไฟล์บีบอัดชื่อ hive_full_v3.tar.gz ที่ห่อไลบรารี Thrift และ SASL ที่จำเป็นต่อการสื่อสารกับบริการ Hive มาให้ครบ และเลขเวอร์ชัน “v3” บ่งชี้ว่าผู้โจมตีผ่านการลองผิดลองถูกมาหลายรอบกว่าจะได้โค้ดที่ใช้งานได้จริง

3.3 การขยายยึดช่องทางอื่น — GlassFish, เว็บเชลล์ และการทดสอบรหัสผ่านเมล

ผู้โจมตีไม่ได้พึ่งช่องทางเดียว ในไดเรกทอรีวันที่ 9 กรกฎาคม 2569 มีสคริปต์ Node.js หลายไฟล์ที่ขึ้นต้นด้วย gf_ ซึ่งพุ่งเป้าที่หน้าคอนโซลผู้ดูแลของเซิร์ฟเวอร์แอปพลิเคชัน GlassFish ภายในกระทรวง สคริปต์เหล่านี้ใช้ Puppeteer เปิดเบราว์เซอร์ Chrome แบบไม่มีหน้าจอ (headless) ผ่านพร็อกซี SOCKS5 ที่ 127.0.0.1:1111 (การตั้งค่าแบบนี้สอดคล้องกับการเจาะอุโมงค์ SSH เข้าไปในเครือข่ายของกระทรวง) แล้วล็อกอินด้วยรหัสผ่านเริ่มต้น จากนั้นจึงติดตั้งไฟล์ WAR (แพ็กเกจแอปพลิเคชัน Java) สคริปต์ที่สมบูรณ์ที่สุดชื่อ gf_redeploy.js จะถอนแอปเดิมชื่อ shell ออกแล้วอัปโหลดแอปใหม่ชื่อ itcenter-docs เข้าไปแทน โดยตั้งชื่อแสดงผลว่า “IT Center Documentation” เพื่อให้ดูกลมกลืนเหมือนเอกสารของฝ่ายไอที ทั้งที่แท้จริงแล้วภายในคือเว็บเชลล์ JSP ที่รับคำสั่งจากพารามิเตอร์ URL มารันบนเครื่อง

อีกช่องทางคือเว็บเชลล์ PHP ที่ปลอมตัวเป็นไฟล์แคชของระบบ Linux โดยถูกวางไว้บนเว็บเซิร์ฟเวอร์ของกระทรวงที่พาธ /storage/Counter/nine/.journald-cache.php (การตั้งชื่อขึ้นต้นด้วยจุดทำให้ไฟล์ถูกซ่อนไม่แสดงในการดูไดเรกทอรีปกติ) เว็บเชลล์นี้รองรับการรันคำสั่ง ดึงไฟล์ ตรวจการเชื่อมต่อเครือข่าย และค้นหาไฟล์แบบไล่ลึก โดยคืนผลลัพธ์ในรูปแบบ JSON นอกจากนี้ยังพบชุดสคริปต์ที่ไล่ทดสอบรหัสผ่านกล่องเมลของกระทรวงโดยตรง ได้แก่สคริปต์ Perl ชื่อ mail4.pl ที่ทดสอบการยืนยันตัวตน SMTP AUTH กับระบบเมลของกระทรวง โดยฝังที่อยู่กล่องเมลและรหัสผ่านของกระทรวงไว้ในโค้ด พร้อมรายการรหัสผ่าน (wordlist) ที่ประกอบจาก ตัวย่อของหน่วยงานและโครงการภายในกระทรวงเอง ไม่ใช่คำในพจนานุกรมทั่วไป ซึ่งตอกย้ำว่าผู้โจมตีศึกษาเป้าหมายมาอย่างละเอียด และยังพบไฟล์ alf_cookie.txt ที่เก็บข้อมูลเซสชันของระบบจัดการเอกสาร Alfresco ของกระทรวงอีกด้วย

3.4 เครื่องมือยกระดับสิทธิ์ (Post-Exploitation)

เนื่องจากการเข้าถึงกล่องเมลหรือแผงควบคุมยังทำให้ผู้โจมตีเป็นเพียงผู้ใช้สิทธิ์ระดับต่ำในไดเรกทอรี เมื่อวันที่ 9 และ 13 กรกฎาคม จึงมีโค้ดโจมตีเพื่อยกระดับสิทธิ์ทั้งบน Linux และ Windows เตรียมไว้พร้อมใช้ รายละเอียดดังนี้

บนระบบปฏิบัติการ Linux มีไฟล์ mailer.py ซึ่งเป็นโค้ดโจมตีเต็มรูปแบบสำหรับ CVE-2021-3156 ช่องโหว่ heap overflow ในคำสั่ง sudo ที่เผยแพร่เมื่อ ม.ค.64 กระทบ CentOS 6 และ 7 ที่ใช้ sudo เวอร์ชัน 1.8.x และยังพบร่องรอยของ CVE-2021-4034 ซึ่งเป็นช่องโหว่ PwnKit ใน polkit pkexec บนเซิร์ฟเวอร์

บนระบบปฏิบัติการ Windows มีโมดูล Metasploit ชื่อ cve2017_7269.rb ที่โจมตี CVE-2017-7269 ซึ่งเป็นช่องโหว่ buffer overflow ใน service ของ WebDAV ของ IIS 6.0 ที่มากับ Windows Server 2003

โดยไฟล์ shellcode มีการฝังพาธและไดเรกทอรีที่ชี้ไปยังอินทราเน็ตของกระทรวงโดยเฉพาะ บ่งชี้ว่าเพย์โหลดถูกสร้างขึ้นเจาะจงระบบเป้าหมายจริง

3.5 implant Hades — ตัวตรึงพื้นที่ข้ามแพลตฟอร์ม

ไดเรกทอรีเมื่อวันที่ 10 กรกฎาคม ทำหน้าที่เป็นเซิร์ฟเวอร์แจกจ่าย implant โดยมีไฟล์ 62 ไฟล์ ขนาดรวม 376 เมกะไบต์ ทั้งหมดเป็นไบนารีที่คอมไพล์ด้วยภาษา Go ในรูปแบบ Windows PE และ Linux ELF หลายไฟล์ตั้งชื่อเลียนแบบโปรเซสของระบบที่ถูกต้อง เช่น ctfmon, csrss, conhost, MicrosoftEdgeUpdate ของฝั่ง Windows และ kworker, multipathd, accounts-daemon ของฝั่ง Linux เพื่ออำพรางตัว ขณะที่บางไฟล์ใช้ชื่อโครงการตรง ๆ ว่า hades_linux_amd64 และ hades_windows_amd64 ซึ่งน่าจะเป็นไฟล์แม่แบบ การวิเคราะห์ตัวอย่างสองไฟล์ (Windows หนึ่งและ Linux หนึ่ง) ยืนยันว่ามาจากซอร์สโค้ดชุดเดียวกัน คือ implant ที่ผู้โจมตีตั้งชื่อภายในว่า Hades

Hades สื่อสารกับเซิร์ฟเวอร์ควบคุมผ่าน HTTPS โดยออกแบบพาธ URI ให้ดูเหมือนไฟล์เว็บทั่วไปเพื่อกลมกลืนกับทราฟฟิกปกติ ได้แก่ /assets/app.min.js สำหรับการเช็กอิน /assets/vendor.js สำหรับรับคำสั่ง และ /assets/main.js สำหรับอัปโหลดผลลัพธ์ เพย์โหลดถูกเข้ารหัสด้วย AES-256-GCM โดยฝังกุญแจไว้เฉพาะแต่ละบิลด์ นอกจากนี้ยังมีคุณสมบัติด้านความลับเชิงปฏิบัติการ (operational security) เช่น “วันหมดอายุ” (kill-date ผ่านตัวแปร HADES_KILLDATE) ที่ทำให้ implant หยุดทำงานเองเมื่อถึงกำหนด และตารางเวลาทำงาน (working-hours) ที่ให้ implant หลับนอกช่วงเวลาที่กำหนดเพื่อลดโอกาสถูกตรวจจับ

ตัวอย่างที่วิเคราะห์คือไฟล์ Windows

• ชื่อ dwm_33b7.exe ที่ติดต่อกลับเซิร์ฟเวอร์เตรียมการ 43.246.208[.]207 พอร์ต 443 และไฟล์ Linux
• ชื่อ multipathd_04d0 ที่ติดต่อเซิร์ฟเวอร์ C2 ตัวที่สอง 202.181.27[.]115 พอร์ต 12443 ซึ่งยิ่งยืนยันความเชื่อมโยงระหว่างเซิร์ฟเวอร์ทั้งหลาย ความสามารถของ Hades ต่างกันเล็กน้อยระหว่างสองแพลตฟอร์มดังภาพต่อไปนี้

ภาพที่ 3: เปรียบเทียบความสามารถของ implant Hades ระหว่างบิลด์ Windows และ Linux จะเห็นว่าบิลด์ Windows มีความสามารถครบกว่า โดยเฉพาะการจับภาพหน้าจอและการฝังตัวในโปรเซส svchost.exe ขณะที่ทั้งสองแพลตฟอร์มมีพร็อกซี SOCKS และการโอนไฟล์แบบต่อเนื่องได้เหมือนกัน

4. ผลกระทบต่อประเทศไทยโดยตรง

เหตุการณ์นี้ส่งผลกระทบต่อไทยในหลายมิติที่ทับซ้อนกัน

มิติแรก คือ ผลกระทบต่อหน่วยงานเป้าหมายโดยตรง หลักฐานทั้งไฟล์คุกกี้เซสชันของแผงควบคุม ICT เว็บเชลล์ที่ถูกวางบนเซิร์ฟเวอร์ของกระทรวง และการเข้าถึงเครือข่ายภายใน บ่งชี้ว่าผู้โจมตีสามารถเจาะเข้าถึงหลายระบบภายในเครือข่ายของกระทรวงการคลังได้จริง แม้จะยังไม่พบหลักฐานการนำข้อมูลออก แต่การที่ AI ไล่จัดทำสารบัญเอกสารและประวัติบุคลากรย้อนหลังกว่าสิบปีไว้แล้ว หมายความว่าความเสี่ยงของการรั่วไหลข้อมูลบุคลากรและเอกสารราชการอยู่ในระดับสูง อนึ่ง ข้อมูลคุกกี้ Laravel ที่พบเพียงอย่างเดียวยังไม่ยืนยันว่าผู้โจมตีล็อกอินสำเร็จ เพราะระบบ Laravel สร้างโทเคนให้ผู้เข้าชมทุกคนอยู่แล้ว จึงยืนยันได้เพียงว่าผู้โจมตี “เข้าถึงหน้าแผงควบคุม” ได้ แต่ยังสรุปไม่ได้ว่าเข้าสู่ระบบได้

มิติที่สองคือ ความเสี่ยงเชิงระบบต่อหน่วยงานรัฐอื่นของไทย เทคนิคที่ผู้โจมตีใช้ล้วนอาศัยจุดอ่อนที่พบได้ทั่วไปในหน่วยงานราชการ ทั้งการตั้งค่า HiveServer2 เป็นโหมด NONE ที่รับรหัสผ่านอะไรก็ได้ การใช้รหัสผ่านเริ่มต้นบนคอนโซล GlassFish และเซิร์ฟเวอร์รุ่นเก่าอย่าง Windows Server 2003 หรือ CentOS 6/7 ที่ยังไม่ได้แพตช์
ซึ่งหมายความว่าหน่วยงานรัฐอื่นที่มีการตั้งค่าคล้ายกันย่อมตกอยู่ในความเสี่ยงเดียวกัน

มิติที่สามและอาจสำคัญที่สุดในระยะยาว คือ การที่ไทยกลายเป็นสนามทดสอบของภัยคุกคามรูปแบบใหม่ที่ใช้ AI ลงมือโจมตีเอง เมื่อเครื่องมือ AI ราคาถูกและหาได้ฟรีถูกนำมาใช้ขยายขีดความสามารถของผู้โจมตี การป้องกันแบบเดิมที่พึ่งการตรวจจับพฤติกรรมมนุษย์อาจไม่เพียงพออีกต่อไป

5. ประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ

ในเชิงความมั่นคงของชาติ เหตุการณ์นี้ควรถูกอ่านว่าเป็น “สัญญาณเตือนล่วงหน้า” มากกว่าจะเป็นเพียงเหตุการณ์เจาะระบบครั้งเดียว

ประการแรก การที่ผู้โจมตีเลือกกระทรวงการคลังเป็นเป้าหมาย และทุ่มเทเขียนสคริปต์เฉพาะทางเพื่อระบบภายในของกระทรวง สะท้อนว่านี่คือปฏิบัติการจารกรรมที่มีการวางแผนและลงทุนสูง ไม่ใช่การโจมตีแบบหว่านแหเพื่อหาเงิน แรงจูงใจที่มุ่งเก็บข้อมูลระยะยาวสอดคล้องกับผลประโยชน์เชิงข่าวกรองของรัฐชาติ ซึ่งหากข้อมูลเศรษฐกิจ งบประมาณ หรือข้อมูลบุคลากรระดับสูงรั่วไหล ย่อมกระทบต่อความได้เปรียบเชิงยุทธศาสตร์ของประเทศในการเจรจาและการดำเนินนโยบาย

ประการที่สอง การนำเอเจนต์ AI มาใช้ลงมือโจมตีเองในโหมดไร้คนคุม เป็นการเปลี่ยนแปลงเชิงคุณภาพของภัยคุกคาม ที่ทำให้ผู้โจมตีขยายปฏิบัติการได้เร็วและถูกลง งานสำรวจเครือข่ายและยกระดับสิทธิ์ที่เคยต้องใช้ผู้เชี่ยวชาญนั่งทำทีละขั้น ตอนนี้สามารถมอบให้ AI ทำต่อเนื่องได้ตลอดเวลา นี่หมายความว่าจำนวนเป้าหมายที่ผู้โจมตีกลุ่มเดียวสามารถจัดการพร้อมกันจะเพิ่มขึ้นมาก

ประการที่สาม การที่นักวิจัยสามารถใช้ลายนิ้วมือของหน้าเว็บ Hermes (เช่น header Server: HermesWebUI และ path /hermes-results/) ค้นพบแผงควบคุมที่เปิดโล่งได้ถึง 5,900 รายการ และไดเรกทอรีผลลัพธ์ที่เปิดสาธารณะอีก 575 รายการทั่วอินเทอร์เน็ต บ่งชี้ว่า ปรากฏการณ์การใช้เอเจนต์ AI โจมตีนี้ไม่ได้จำกัดอยู่แค่กรณีของไทย แต่กำลังแพร่หลายในวงกว้าง และหลายปฏิบัติการก็เปิดข้อมูลของตัวเองทิ้งไว้เช่นเดียวกับกรณีนี้

6. ข้อเสนอเชิงยุทธศาสตร์และแนวทางรับมือ

รายงานต้นฉบับได้ให้คำแนะนำเชิงป้องกันที่ชี้ตรงไปยังจุดที่ปฏิบัติการนี้อาจถูกหยุดยั้งได้ เมื่อประมวลร่วมกับมุมมองความมั่นคงของชาติ สามารถจัดลำดับความเร่งด่วนได้เป็น 3 ช่วงเวลา ดังนี้

ระยะเร่งด่วน (0–30 วัน) หน่วยงานที่ใช้ Apache Hadoop ควรตรวจสอบโหมดยืนยันตัวตนของ HiveServer2 ทันที และเปลี่ยนจากค่าเริ่มต้น NONE ที่รับรหัสผ่านอะไรก็ได้ ให้เป็นการยืนยันตัวตนที่ตรวจสอบจริง พร้อมบังคับใช้บัญชีดำ UDF (UDF blocklist) ที่มีไว้เพื่อกันการรันโค้ด Java ตามอำเภอใจ ควบคู่กับการตรวจค้นเว็บรูททั้งหมดแบบไล่ลึกเพื่อหาไฟล์ PHP ที่ตั้งชื่อขึ้นต้นด้วยจุดเลียนแบบไฟล์ cache ของระบบ ซึ่งไม่ปรากฏในการดูไดเรกทอรีตามปกติ และเปลี่ยนรหัสผ่านเริ่มต้นบนคอนโซลผู้ดูแล GlassFish พร้อมจำกัดการเข้าถึงเฉพาะเครือข่ายที่เชื่อถือได้

ระยะกลาง (1–3 เดือน) ควรเร่งแพตช์ และเลิกใช้ระบบรุ่นเก่าที่เป็นเป้าของโค้ดโจมตีที่พบ ได้แก่ อัปเดต sudo เป็นเวอร์ชัน 1.9.5p2 ขึ้นไป ตรวจเวอร์ชัน polkit สำหรับ CVE-2021-4034 และปิดบริการ WebDAV บนเครื่อง IIS 6.0 ที่ยังหลงเหลือหรือย้ายออกจากแพลตฟอร์มดังกล่าว นอกจากนี้ควรตั้งการแจ้งเตือน (alert) เมื่อโปรเซสของเว็บเซิร์ฟเวอร์เปิดการเชื่อมต่อออกไปยังพอร์ตบริการภายในอย่าง 10000 หรือ 50070 เพราะการที่เว็บเซิร์ฟเวอร์ติดต่อโหนด Hadoop โดยตรงเป็นสัญญาณผิดปกติที่ชัดเจนในตัวเอง

ระยะยาว (3–12 เดือน) หน่วยงานความมั่นคงและผู้กำหนดนโยบายควรยกระดับการเฝ้าระวังภัยคุกคามที่ใช้ AI เป็นวาระเชิงยุทธศาสตร์ ทั้งการพัฒนาแนวทางตรวจจับพฤติกรรมของเอเจนต์อัตโนมัติ เช่น การสแกนที่รวดเร็วและต่อเนื่องผิดปกติ หรือ error ประเภท broken-pipe จำนวนมากที่พบใน log กรณีนี้ การจัดทำมาตรฐานการตั้งค่าที่ปลอดภัย (secure baseline) สำหรับระบบข้อมูลขนาดใหญ่ในหน่วยงานรัฐ และการซ้อมรับมือระดับชาติที่จำลองสถานการณ์ผู้โจมตีใช้ AI ขยายปฏิบัติการ เพื่อให้กลไกการประสานงานระหว่าง National CERT, สกมช. และหน่วยงานเจ้าของระบบทำงานได้อย่างรวดเร็วเมื่อเกิดเหตุจริง

มุมมองไปข้างหน้า (Outlook) กรณีนี้ยืนยันว่ายุคที่ “AI ลงมือโจมตีเอง” ได้เริ่มขึ้นแล้วในงานจารกรรมระดับรัฐ ไม่ใช่เพียงในอาชญากรรมไซเบอร์ทั่วไป จุดแข็งของฝ่ายป้องกันในกรณีนี้คือความประมาทของผู้โจมตีที่เปิด open directory ทิ้งไว้ แต่ผู้โจมตีย่อมเรียนรู้และปิดช่องเหล่านี้ในอนาคต ประเทศไทยจึงควรถือเหตุการณ์นี้เป็นโอกาสในการยกเครื่องมาตรการพื้นฐาน ก่อนที่ภัยคุกคามรูปแบบเดียวกันจะกลับมาในเวอร์ชันที่เก็บงำร่องรอยได้ดีกว่าเดิม

ภาคผนวก ก: การจับคู่กับกรอบ MITRE ATT&CK

ภาคผนวก ข: ตัวบ่งชี้การถูกโจมตี (Indicators of Compromise)

หมายเหตุ: ตัวบ่งชี้ทั้งหมดถูกเขียนแบบ defang (ใส่วงเล็บครอบจุด/ตัดลิงก์) เพื่อความปลอดภัย ห้ามนำไปเข้าถึงโดยตรง

ข.1 โครงสร้างพื้นฐานเครือข่าย

ข.2 ค่าแฮชไฟล์ (SHA-256)

ข.3 ตัวบ่งชี้อื่น ๆ

แหล่งอ้างอิง

• Hunt.io — Thailand’s Ministry of Finance Targeted With Hermes AI Agent Running Unattended, Hades Implant Staged
• ฐานข่าว Cloud Thunder: ข่าวที่ 262 (กรกฎาคม 2569) — แฮ็กเกอร์ปล่อยเอเจนต์ AI Hermes โหมด YOLO เจาะกระทรวงการคลังไทย