จัดทำโดย: Cloud Thunder Threat Intelligence
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคาม (Strategic Threat Actor Analysis)
หัวข้อ: ปฏิบัติการ JadeProx (เครือข่ายจีน / China-nexus) และตัวโหลดมัลแวร์ TriBack Loader
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: รายงานการสืบสวนของ Group-IB Threat Intelligence, รายงานประกอบจาก Sophos, Malwarebytes, Palo Alto Networks Unit 42, Proofpoint, Zscaler, Trend Micro, Cisco Talos และ Lab52

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

ในกลางเดือนเมษายน 2026 นักวิจัยของบริษัทข่าวกรองภัยคุกคาม Group-IB ค้นพบความผิดพลาดด้านความมั่นคงเชิงปฏิบัติการ (OPSEC failure — การพลาดปกปิดร่องรอยของฝ่ายผู้โจมตีเอง) ที่หาได้ยากยิ่ง นั่นคือเซิร์ฟเวอร์จัดเตรียมการโจมตี (staging server) บนคลาวด์ Alibaba ที่ผู้โจมตีเปิดให้ดูรายการไฟล์ในไดเรกทอรีได้อย่างเปิดเผย (open directory) การพลาดครั้งนี้เปิดหน้าต่างให้มองเห็นปฏิบัติการจารกรรมไซเบอร์ที่กำลังดำเนินอยู่แบบเต็มภาพ ทั้งประวัติคำสั่ง (bash history) ชุดเครื่องมือหลังเจาะระบบ เส้นทางไฟล์ที่ใช้โจมตีเหยื่อ และชุดมัลแวร์ที่เตรียมไว้ Group-IB ติดตามกลุ่มปฏิบัติการนี้ในชื่อ JadeProx และตัวโหลดมัลแวร์แกนกลางในชื่อ TriBack Loader

สิ่งที่ทำให้รายงานฉบับนี้มีความสำคัญเชิงยุทธศาสตร์ต่อประเทศไทยคือ โปรไฟล์เป้าหมาย ของปฏิบัติการนี้ หลักฐานจากเซิร์ฟเวอร์ยืนยันการบุกรุกที่ดำเนินไปพร้อมกัน (simultaneous intrusions) ต่อระบบภาพทางการแพทย์ของโรงพยาบาลรัฐในเวียดนาม กระทรวงการต่างประเทศของมาเลเซีย และสถาบันการศึกษาหลายแห่งในฮ่องกง เวียดนาม มาเลเซีย และฮ่องกงคือเพื่อนบ้านในภูมิภาคเดียวกับไทย และเป็นเป้าหมายที่กลุ่มเครือข่ายจีนโจมตีซ้ำ ๆ ตามวาระภูมิรัฐศาสตร์ที่ประเทศไทยก็อยู่ในกรอบเดียวกัน ปฏิบัติการที่ใช้เครื่องมือและยุทธวิธีชุดนี้จึงเป็นภัยที่ประเทศไทยต้องถือว่า “อยู่ในระยะประชิด” ไม่ใช่เหตุการณ์ไกลตัว

จุดที่ควรจับตาเป็นพิเศษคือ การนำแบรนด์ปัญญาประดิษฐ์มาเป็นเหยื่อล่อ กลุ่มนี้สร้างเว็บไซต์ปลอมและไฟล์ติดตั้งปลอมที่แอบอ้างเป็นซอฟต์แวร์ “Claude” ของ Anthropic เพื่อหลอกให้เหยื่อดาวน์โหลดมัลแวร์ การใช้กระแสความนิยมของเครื่องมือ AI เป็นฉากบังหน้าสะท้อนว่าผู้โจมตีปรับธีมหลอกลวงให้ทันสมัยอยู่เสมอ ซึ่งเป็นความเสี่ยงโดยตรงต่อผู้ใช้งานชาวไทยที่กำลังตื่นตัวและค้นหาเครื่องมือ AI จำนวนมากในช่วงนี้

บทวิเคราะห์ฉบับนี้ประเมินว่า JadeProx เป็นปฏิบัติการจารกรรมข้อมูลเชิงยุทธศาสตร์ (strategic espionage) ที่มุ่งเป้าหน่วยงานรัฐ ภาคสาธารณสุข และภาคการศึกษาเป็นหลัก โดยอาศัยเครื่องมือและโครงสร้างพื้นฐานที่ใช้ร่วมกันในระบบนิเวศของกลุ่มแฮกเกอร์ที่พูดภาษาจีน จุดแข็งไม่ได้อยู่ที่ช่องโหว่ราคาแพง แต่อยู่ที่ “การพรางตัว” ผ่านเทคนิค DLL sideloading กับไบนารีที่มีลายเซ็นถูกต้อง และการซ่อนทราฟฟิกไว้หลังบริการคลาวด์ที่ถูกกฎหมายอย่าง Alibaba และ Cloudflare ทำให้ระบบป้องกันแบบเดิมตรวจจับได้ยาก

ภาพที่ 1: เส้นเวลาการพัฒนาและจัดเตรียมมัลแวร์ของปฏิบัติการ JadeProx โดยเทียบจากเวลาคอมไพล์ไฟล์ (compilation timestamp) วันแก้ไขไฟล์บีบอัด และวันจดทะเบียนโดเมน จะเห็นว่าการพัฒนาเริ่มตั้งแต่มกราคม 2026 ต่อเนื่องถึงเมษายน 2026 ซึ่งเป็นช่วงที่เซิร์ฟเวอร์จัดเตรียมการโจมตีเริ่มมีการเคลื่อนไหวจริง

1. รู้จักปฏิบัติการ JadeProx (Threat Cluster Profile)

1.1 ที่มาของชื่อและการจัดกลุ่ม

JadeProx เป็นชื่อที่ Group-IB กำหนดขึ้นเพื่อติดตาม “กลุ่มก้อนกิจกรรม” (activity cluster) หนึ่ง ๆ ไม่ใช่ชื่อกลุ่มแฮกเกอร์ที่ได้รับการยืนยันตัวตนแล้ว การตั้งชื่อในลักษณะนี้เป็นแนวปฏิบัติมาตรฐานของวงการข่าวกรองภัยคุกคาม เมื่อพบชุดกิจกรรมที่มีลายเซ็นทางเทคนิคชัดเจนพอจะติดตามได้ แต่ยังไม่สามารถชี้ชัดว่าเป็นฝีมือของกลุ่มที่มีชื่ออยู่แล้วกลุ่มใดกลุ่มหนึ่ง การใช้ชื่อกลางอย่าง JadeProx จึงช่วยหลีกเลี่ยงการระบุต้นทางผิดพลาด (misattribution) และเก็บบันทึกร่องรอยเฉพาะของกลุ่มนี้ไว้อ้างอิงเมื่อมีกิจกรรมใหม่ปรากฏ

Group-IB จัดปฏิบัติการนี้อยู่ในกรอบ “เครือข่ายจีน” (China-nexus) ซึ่งหมายถึงกลุ่มที่มีความเชื่อมโยงกับผลประโยชน์ของรัฐจีน โดยประเมินจากยุทธวิธี เทคนิค และกระบวนการ (TTPs — Tactics, Techniques and Procedures) ที่ทับซ้อนกับกลุ่มแฮกเกอร์จีนหลายกลุ่ม รวมถึงลักษณะเฉพาะของเครื่องมือและโครงสร้างพื้นฐานที่จะกล่าวถึงในส่วนการระบุต้นทาง (attribution) ต่อไป

1.2 แรงจูงใจและเป้าหมายเชิงยุทธศาสตร์

พฤติกรรมของ JadeProx บ่งชี้ชัดว่าเป็นปฏิบัติการเพื่อ การจารกรรมข้อมูลและการเข้าถึงระยะยาว (persistent access) ไม่ใช่การเรียกค่าไถ่หรือการทำลายระบบ กลุ่มนี้เลือกเป้าหมายที่ถือครองข้อมูลอ่อนไหวและมีคุณค่าเชิงข่าวกรอง ได้แก่ หน่วยงานราชการ (โดยเฉพาะกระทรวงการต่างประเทศ) ภาคสาธารณสุข และภาคการศึกษา ครอบคลุมพื้นที่หลักคือเอเชียตะวันออกเฉียงใต้ (SEA) และขยายไปถึงลาตินอเมริกา (LATAM)

สิ่งที่น่าสนใจในเชิงยุทธศาสตร์คือ JadeProx เดินสองแนวทางพร้อมกัน ด้านหนึ่งคือการบุกรุกแบบเจาะจงเป้าหมายระดับสูง (hands-on intrusion) ต่อหน่วยงานรัฐและโครงสร้างพื้นฐานในเอเชีย อีกด้านหนึ่งคือการทำแคมเปญหลอกลวง (phishing) แบบกว้างในลาตินอเมริกา เช่น การปลอมระบบภาษีเทศบาลของเวเนซุเอลาและการหลอกรัฐสภาฮอนดูรัส ทั้งสองแนวทางเชื่อมโยงกันผ่านตัวโหลดมัลแวร์ตัวเดียวกันคือ TriBack Loader ซึ่งเป็นหลักฐานว่าเบื้องหลังเป็นปฏิบัติการเดียวที่มีทรัพยากรและการวางแผนอย่างเป็นระบบ

2. การเปิดโปงผ่านความผิดพลาดของผู้โจมตี (The Open Directory)

จุดเริ่มต้นของการสืบสวนทั้งหมดคือความผิดพลาดของผู้โจมตีเอง ผู้ปฏิบัติการเปิดเว็บเซิร์ฟเวอร์ Python ทิ้งไว้บนพอร์ต 8000 ที่ไอพี 43.106.71[.]28 โดยเปิดฟังก์ชันแสดงรายการไฟล์ในไดเรกทอรี (directory listing) ทำให้ใครก็ตามที่เข้าถึงเซิร์ฟเวอร์มองเห็นเนื้อหาทั้งหมดได้ เซิร์ฟเวอร์นี้ตั้งอยู่บนอินสแตนซ์ Alibaba Cloud ที่สิงคโปร์และเปิดพอร์ต SSH ไว้ด้วย (ปัจจุบันปิดใช้งานไปแล้ว)

ภายในเซิร์ฟเวอร์ Group-IB พบชุดเครื่องมือหลังเจาะระบบ (post-exploitation toolkit) ที่ครบครันและสะท้อนต้นทางจีนอย่างชัดเจน เครื่องมือเหล่านี้แบ่งได้เป็นสามกลุ่มหลัก กลุ่มแรกคือเครื่องมือทำอุโมงค์และพร็อกซี (tunneling/proxy) สำหรับหลบเลี่ยงและเจาะเข้าเครือข่ายภายใน ได้แก่ iox, suo5 (อุโมงค์ SOCKS5 ผ่าน HTTP), Neo-reGeorg และเวอร์ชันดัดแปลงของ NPS ซึ่งเป็นเครื่องมือเจาะเครือข่ายภายในต้นทางจีน กลุ่มที่สองคือเครื่องมือสำรวจและสแกนช่องโหว่ ได้แก่ nuclei (สแกนช่องโหว่) และ fscan (สแกนเครือข่ายภายใน) กลุ่มที่สามคือเครื่องมือโจมตีและซ่อนตัว ได้แก่ AdaptixC2, TriBack Loader และสคริปต์ชื่อ fuckaliyun.sh ที่ดัดแปลงมาเพื่อ ปิดการทำงานของเอเจนต์เฝ้าระวัง (host monitoring agent) ของ Alibaba Cloud โดยเฉพาะ

รายละเอียดของสคริปต์ fuckaliyun.sh มีนัยสำคัญเชิงการระบุต้นทาง เพราะสคริปต์ถูกดัดแปลงให้ตัดการเรียกฟังก์ชันที่จะเปลี่ยนชื่อโฮสต์ ซึ่งยืนยันว่าผู้ปฏิบัติการเป็น เจ้าของบัญชี เซิร์ฟเวอร์ Alibaba เองและเพียงต้องการซ่อนตัวจากระบบความปลอดภัยของ Alibaba เท่านั้น นอกจากนี้ยังมีการเตรียมพร็อกซี SOCKS5 (คอมไพล์จากโครงการโอเพนซอร์ส serjs/socks5-server) และ XMRig Proxy ไว้บนที่เก็บข้อมูล Alibaba OSS ในจีนแผ่นดินใหญ่ สำหรับใช้เป็นชั้นรีเลย์ซ่อนทราฟฟิกของผู้โจมตี

ประวัติคำสั่งบนเซิร์ฟเวอร์ยังเปิดเผยไทม์ไลน์การบุกรุกในเอเชียตะวันออกเฉียงใต้อย่างละเอียด ผู้โจมตีใช้ suo5 เจาะระบบ PACS (ระบบจัดเก็บและส่งภาพทางการแพทย์) ของโรงพยาบาลในเวียดนามผ่านช่องโหว่ของแอปพลิเคชันจาวา ใช้ Neo-reGeorg ทำอุโมงค์เข้ากระทรวงการต่างประเทศมาเลเซีย และใช้ nuclei สแกนรายการเป้าหมายภาคการศึกษาในฮ่องกงที่มีมากถึง 14,653 URL ก่อนจะเจาะช่องโหว่วิกฤตที่พบ เช่น CVE-2018-11511, CVE-2021-24139, CVE-2021-31755 และ CVE-2021-32305 ซึ่งล้วนมีคะแนนความรุนแรง CVSS สูงถึง 9.8

3. TriBack Loader — หัวใจทางเทคนิคของปฏิบัติการ

3.1 โครงสร้างสามไฟล์และกลไกการทำงาน

TriBack Loader เป็นตัวโหลดมัลแวร์ (loader — มัลแวร์ที่ทำหน้าที่ถอดรหัสและปล่อยเพย์โหลดขั้นถัดไปเข้าสู่หน่วยความจำ) แบบกำหนดเองที่ Group-IB ระบุว่าเป็นของใหม่ จุดเด่นคือโครงสร้างแบบ “สามไฟล์” (triad) ที่ประกอบด้วยไฟล์โปรแกรมที่มีลายเซ็นถูกต้อง (signed EXE), ไฟล์ DLL อันตราย และไฟล์ข้อมูลที่เข้ารหัส (.dat หรือ .log)

กลไกทำงานเริ่มจากเทคนิค DLL sideloading คือการใช้ไฟล์โปรแกรมของบริษัทที่ถูกต้องตามกฎหมายเป็นตัวเปิด แล้วให้มัน “หยิบ” ไฟล์ DLL อันตรายที่วางไว้ในโฟลเดอร์เดียวกันมาโหลดแทนไฟล์จริง เมื่อ DLL อันตรายถูกโหลด มันจะอ่านไฟล์ข้อมูลที่เข้ารหัสแล้วถอดรหัสสองชั้น (two-stage decryption) คือการกลับลำดับไบต์ (byte reversal) ตามด้วยการ XOR แบบหมุนคีย์ จากนั้นจึงเรียกใช้ Win32 callback API เพื่อสั่งรันเพย์โหลด เทคนิคการใช้ callback API แทนการสร้างเธรดตรง ๆ (CreateThread) เป็นวิธีหลบเลี่ยงระบบตรวจจับและตอบสนองที่ปลายทาง (EDR — Endpoint Detection and Response) เพราะ API เหล่านี้มักไม่ถูกเฝ้าระวัง

ภาพที่ 2: ห่วงโซ่การบุกรุก (infection chain) ของ TriBack Loader ตั้งแต่การส่งไฟล์หลอกลวงผ่านฟิชชิงหรือไฟล์ติดตั้ง MSI ไปจนถึงการปล่อยเพย์โหลด AdaptixC2 หรือ Beagle และการสั่งการผ่านช่องทางที่ซ่อนหลังบริการคลาวด์ จุดที่ตรวจจับยากที่สุดคือขั้น DLL sideloading กับไบนารีที่มีลายเซ็นถูกต้อง และขั้นเรียก Win32 callback API

3.2 สี่เวอร์ชัน จากเครื่องมือสร้างเดียวกัน

Group-IB ระบุ TriBack Loader ได้ถึงสี่เวอร์ชัน โดยแต่ละเวอร์ชันแตกต่างกันที่ไบนารีที่มีลายเซ็นซึ่งใช้เป็นฉากบังหน้า และที่ Win32 callback API ที่ใช้รันเพย์โหลด แต่ทั้งหมดใช้ลำดับการเรียก API แบบเดียวกัน ซึ่งบ่งชี้ว่ามาจากเครื่องมือสร้างมัลแวร์ (builder) ตัวเดียวกัน การหมุนเปลี่ยน API และไบนารีในแต่ละเวอร์ชันเป็นกลยุทธ์หลบเลี่ยงการตรวจจับที่จงใจ

เวอร์ชันที่ 1 (พบจาก open directory) ใช้ CLR host ของ Microsoft ServiceHub เป็นตัวเปิด และใช้ API ชื่อ InitOnceExecuteOnce ซึ่งเป็นเทคนิคหลบ sandbox ที่รู้จักกันดี เวอร์ชันที่ 2 (มุ่งเป้าฮอนดูรัส) ใช้ Microsoft Service Hub และใช้ TimerQueue callback เวอร์ชันที่ 3 (ธีม Claude-Pro) ใช้ไบนารีของโปรแกรมป้องกันไวรัส G DATA (avk.exe) และใช้ API ไม่มีเอกสารกำกับชื่อ EtwpCreateEtwThread เพื่อสร้างเธรดแบบซ่อนตัว ส่วนเวอร์ชันที่ 4 (DeviceSync จากไต้หวัน) ใช้ไบนารี MpCopyAccelerator ของ Microsoft ซึ่งเป็นไบนารีที่กลุ่ม Mustang Panda ใช้บ่อย จุดเชื่อมสำคัญคือเวอร์ชันที่ 2, 3 และ 4 ใช้คีย์ XOR ร่วมกัน ทำให้ Group-IB สามารถโยงทั้งหมดเข้าด้วยกันได้

ภาพที่ 3: การเปรียบเทียบสี่เวอร์ชันของ TriBack Loader จะเห็นว่าทุกเวอร์ชันใช้โครงสร้างและลำดับ API เดียวกัน แต่หมุนเปลี่ยนไบนารีที่มีลายเซ็นและกลไก callback API เพื่อหลบเลี่ยงการตรวจจับ ซึ่งเป็นลายเซ็นของการผลิตจากเครื่องมือสร้างเดียวกัน

3.3 เพย์โหลดขั้นสุดท้าย: AdaptixC2 และ Beagle

เพย์โหลดที่ TriBack Loader ปล่อยออกมามีสองชนิดหลัก ชนิดแรกคือ AdaptixC2 ซึ่งเป็นเฟรมเวิร์กหลังเจาะระบบแบบโอเพนซอร์ส Group-IB สามารถถอดรหัสการตั้งค่าบีคอน (beacon configuration) ออกมาได้ครบ ยืนยันโครงสร้างพื้นฐานสั่งการ (C2 infrastructure) ช่วงเวลาพัก (sleep interval) และโปรไฟล์ HTTP โดยพบว่าโดเมน C2 ในกรณี open directory คือ sylverixstrategy[.]com และในกรณีฮอนดูรัสคือ gouvvbo[.]top ทั้งคู่จดทะเบียนกับ NameSilo จุดที่น่าสนใจคือพบคุกกี้วิเคราะห์ของ GitHub ฝังอยู่ในบีคอนหนึ่ง ซึ่งเชื่อมโยงไปยังโปรไฟล์บีคอนแบบกำหนดเองของกลุ่ม Tropic Trooper

ชนิดที่สองคือ Beagle แบ็กดอร์ที่เพิ่งถูกบันทึกไว้ไม่นาน (documented โดย Sophos) ซึ่งถูกส่งผ่าน DonutLoader ในเวอร์ชันที่ 3 ที่ใช้ธีม Claude-Pro โดเมน C2 ในกรณีนี้คือ license[.]claude-pro[.]com ที่ชี้ไปยังไอพี 8.217.190[.]58 ซึ่งอยู่ในระบบเครือข่าย (AS 45102, Alibaba US) เดียวกับไอพีของ open directory เป็นหลักฐานเชื่อมโยงเชิงโครงสร้างพื้นฐานที่หนักแน่น

4. การนำแบรนด์ AI มาเป็นเหยื่อล่อ (Claude-Pro Themed Campaign)

หนึ่งในองค์ประกอบที่ควรสื่อสารต่อสาธารณะชาวไทยมากที่สุดคือการที่ JadeProx ใช้ซอฟต์แวร์ AI ปลอมเป็นเหยื่อล่อ กลุ่มนี้สร้างไฟล์บีบอัดชื่อ “Claude-Pro-Relay-Technical-Overview.zip” ที่มีเอกสาร PDF หลอกอธิบายการทำงานของ “Claude-Pro” พร้อมสคริปต์ที่ซ่อนมัลแวร์ไว้ และยังพบไฟล์ในลักษณะเดียวกันชื่อ “Claude-Pro-windows-x64.zip” รวมถึงเว็บพอร์ทัลฟิชชิงที่แอบอ้างเป็น Claude-Pro พร้อมลิงก์ให้ดาวน์โหลดไฟล์ติดตั้ง MSI

รายละเอียดที่ตอกย้ำต้นทางจีนคือ แม้ไฟล์บีบอัดจะถูกอัปโหลดจากสหราชอาณาจักร แต่ตัวติดตั้ง MSI กลับใช้ ภาษาจีนตลอดกระบวนการติดตั้ง เมื่อผู้ใช้ติดตั้ง โปรแกรมจะสร้างทางลัดไปยังสคริปต์ VBScript วางชุดสามไฟล์ไว้ในโฟลเดอร์เริ่มต้นระบบ (Startup folder) เพื่อให้มัลแวร์ทำงานทุกครั้งที่เปิดเครื่อง และสร้างสคริปต์ลบตัวเองที่ใช้นามสกุลไฟล์ซ้อนสองชั้น ("~del.vbs.bat") เพื่อลบร่องรอย

สำหรับประเทศไทย ความเสี่ยงนี้เป็นรูปธรรม เพราะช่วงนี้มีผู้ใช้จำนวนมากกำลังตื่นตัวและค้นหาเครื่องมือ AI ทั้งเพื่อการทำงานและการเรียน ผู้ที่ค้นหา “Claude” หรือดาวน์โหลดโปรแกรม AI จากแหล่งที่ไม่เป็นทางการมีโอกาสตกเป็นเหยื่อได้ทันที ข้อเท็จจริงสำคัญที่ควรย้ำคือ Anthropic ไม่มีซอฟต์แวร์ชื่อ “Claude-Pro” ที่ต้องติดตั้งผ่านไฟล์ MSI หรือ ZIP จากเว็บภายนอก การเข้าถึง Claude ที่ถูกต้องทำผ่านเว็บไซต์ทางการและแอปพลิเคชันทางการเท่านั้น

5. โครงสร้างพื้นฐานและการหลอกเก็บข้อมูล

โดเมนทั้งหมดที่พบในการสืบสวนจดทะเบียนกับผู้ให้บริการรายเดียวกันคือ NameSilo และบางส่วนใช้ใบรับรองจาก Let’s Encrypt ร่วมกับ Cloudflare Origin certificate เพื่อซ่อนไอพีจริงไว้หลัง Cloudflare รูปแบบการจดโดเมน–การใช้ Cloudflare บังหน้า–การโฮสต์บน Alibaba เป็นลายเซ็นเชิงโครงสร้างพื้นฐานที่สอดคล้องกับกลุ่มเครือข่ายจีน

โครงสร้างพื้นฐานของ JadeProx ทำหน้าที่สองอย่างพร้อมกัน อย่างแรกคือ เป็นฉากบังหน้า ผู้โจมตีสร้างเว็บไซต์ที่ดูน่าเชื่อถือทับบนโดเมนเดียวกับที่ใช้เป็น C2 เช่น เว็บ “Vertex Trust Advisors” ที่ปลอมเป็นบริษัทที่ปรึกษาทางการเงินในสิงคโปร์ เพื่อให้ระบบประเมินความน่าเชื่อถืออัตโนมัติและการตรวจสอบผิวเผินมองว่าโดเมนดูปกติ อย่างที่สองคือ การหลอกเก็บข้อมูลจริง ตัวอย่างเด่นคือพอร์ทัลปลอมที่แอบอ้างเป็นระบบบริหารภาษีของเทศบาล Piar ในรัฐ Bolívar ของเวเนซุเอลา ซึ่งหลอกให้เหยื่อสมัครบัญชี กรอกข้อมูลส่วนบุคคล และอัปโหลดเอกสารสำคัญ เช่น เลขประจำตัวผู้เสียภาษีและใบเสร็จ

การผสมผสานระหว่างการบุกรุกเชิงลึกต่อหน่วยงานรัฐในเอเชีย กับการหลอกเก็บข้อมูลระดับประชาชนในลาตินอเมริกา ภายใต้โครงสร้างพื้นฐานและตัวโหลดมัลแวร์ชุดเดียวกัน แสดงให้เห็นว่า JadeProx เป็นปฏิบัติการที่มีความยืดหยุ่นสูงและออกแบบให้ใช้ทรัพยากรร่วมกันอย่างคุ้มค่า

6. การระบุต้นทางเชิงยุทธศาสตร์ (Attribution)

Group-IB วางการระบุต้นทางของ JadeProx ไว้ในระบบนิเวศเครือข่ายจีนอย่างมั่นคง แต่ระมัดระวังไม่ผูกกับกลุ่มใดกลุ่มหนึ่งโดยตรง เหตุผลหลักคือในระบบนิเวศของกลุ่มแฮกเกอร์จีน เครื่องมือมักถูกใช้ร่วมกันข้ามกลุ่ม การพบเครื่องมือชุดเดียวกันจึงไม่ได้แปลว่าเป็นผู้ปฏิบัติการรายเดียวกันเสมอไป

หลักฐานที่โยงไปสู่ต้นทางจีนมีหลายชั้น ชั้นแรกคือชุดเครื่องมือหลังเจาะระบบ (iox, fscan, suo5, Neo-reGeorg และพร็อกซีที่เขียนด้วยภาษา Go) ซึ่งเป็นเครื่องมือที่กลุ่มพูดภาษาจีนใช้กันแพร่หลาย ชั้นที่สองคือการใช้ Alibaba Cloud, ที่เก็บข้อมูล Alibaba OSS, การจดโดเมนกับ NameSilo และการบังหน้าด้วย Cloudflare ชั้นที่สามคือตัวติดตั้ง MSI ภาษาจีนและสคริปต์ fuckaliyun.sh ที่สร้างมาเพื่อปิดระบบเฝ้าระวังของ Alibaba โดยเฉพาะ

ในเชิงการทับซ้อนของยุทธวิธี Group-IB ชี้ว่าเทคนิค DLL sideloading กับไบนารีที่มีลายเซ็นทับซ้อนกับการส่งมัลแวร์ PlugX ของกลุ่ม Mustang Panda ส่วนชุดเครื่องมือหลังเจาะระบบสอดคล้องกับปฏิบัติการของ Earth Lusca และ UAT-5918 ที่มุ่งเป้าภาครัฐและการศึกษาในเอเชีย ขณะที่ open directory ที่มีเครื่องมือต้นทางจีนคล้ายกันเคยถูกโยงกับ APT27 (Emissary Panda) และการนำ AdaptixC2 มาใช้กับ listener แบบกำหนดเองเคยพบในปฏิบัติการของ Tropic Trooper อย่างไรก็ตาม ไม่มีกลุ่มใดกลุ่มหนึ่งที่อธิบายภาพรวมได้ทั้งหมด Group-IB จึงเลือกติดตามในชื่อ JadeProx โดยยึด TriBack Loader คีย์ XOR และโครงสร้างพื้นฐานเป็นจุดยึดที่น่าเชื่อถือที่สุดสำหรับการเชื่อมโยงกิจกรรมในอนาคต

7. ประเมินผลกระทบและความเสี่ยงต่อประเทศไทย

แม้รายงานของ Group-IB จะไม่ได้ระบุเหยื่อในประเทศไทยโดยตรง แต่บทวิเคราะห์ฉบับนี้ประเมินว่า ประเทศไทยอยู่ในกลุ่มความเสี่ยงเดียวกันกับเหยื่อที่ได้รับการยืนยัน ด้วยเหตุผลเชิงยุทธศาสตร์หลายประการ

ประการแรก เวียดนาม มาเลเซีย และฮ่องกงคือเป้าหมายที่ได้รับการยืนยันในปฏิบัติการนี้ ทั้งสามเป็นเพื่อนบ้านในภูมิภาคเอเชียตะวันออกเฉียงใต้และเอเชียตะวันออกที่อยู่ในวาระภูมิรัฐศาสตร์เดียวกับไทย กลุ่มเครือข่ายจีนที่โจมตีกระทรวงการต่างประเทศมาเลเซียและภาคสาธารณสุขเวียดนาม ย่อมมีแรงจูงใจในลักษณะเดียวกันต่อหน่วยงานเทียบเท่าของไทย โดยเฉพาะกระทรวงการต่างประเทศ หน่วยงานความมั่นคง และโครงสร้างพื้นฐานสำคัญ

ภาพที่ 4: แผนผังเหยื่อของ JadeProx ที่ได้รับการยืนยันและที่พบร่องรอย เวียดนาม มาเลเซีย และฮ่องกงเป็นการบุกรุกที่ยืนยันแล้วในเอเชีย ส่วนฮอนดูรัสและเวเนซุเอลาเป็นแคมเปญหลอกลวงในลาตินอเมริกา ประเทศไทยแม้ไม่ปรากฏชื่อโดยตรง แต่อยู่ในโปรไฟล์เป้าหมายเดียวกับเพื่อนบ้านที่ถูกยืนยัน

ประการที่สอง ภาคส่วนที่ตกเป็นเป้าล้วนเป็นจุดอ่อนที่ไทยมีลักษณะคล้ายกัน ภาคสาธารณสุขไทยพึ่งพาระบบภาพทางการแพทย์ (PACS) และแอปพลิเคชันจาวาที่เปิดสู่อินเทอร์เน็ตจำนวนมาก ซึ่งเป็นช่องทางเดียวกับที่ผู้โจมตีใช้เจาะโรงพยาบาลในเวียดนาม ขณะที่ภาคการศึกษาไทยมีระบบและเซิร์ฟเวอร์ที่ปรับปรุงแพตช์ช้าและมีพื้นผิวการโจมตี (attack surface) กว้าง เทียบเคียงได้กับกรณีฮ่องกงที่ถูกสแกนถึง 14,653 URL

ประการที่สาม การใช้ซอฟต์แวร์ AI ปลอมเป็นเหยื่อล่อเป็นความเสี่ยงระดับประชาชนที่ไทยเผชิญโดยตรง กระแสการใช้เครื่องมือ AI ที่เพิ่มขึ้นอย่างรวดเร็วทำให้ผู้ใช้ชาวไทยจำนวนมากค้นหาและดาวน์โหลดโปรแกรม AI ซึ่งเปิดช่องให้แคมเปญแบบ Claude-Pro ปลอมเข้าถึงเหยื่อไทยได้ง่าย ทั้งในระดับบุคคลและระดับองค์กรที่พนักงานอาจติดตั้งเครื่องมือ AI เองโดยไม่ผ่านการตรวจสอบ

8. ข้อเสนอเชิงยุทธศาสตร์

8.1 มาตรการเร่งด่วน (0–30 วัน)

บล็อกตัวบ่งชี้การบุกรุกทั้งหมด หน่วยงานความมั่นคง องค์กรโครงสร้างพื้นฐานสำคัญ และผู้ให้บริการควรนำโดเมนและไอพีในภาคผนวก ข ไปบล็อกที่ชั้นเครือข่ายรอบนอกและชั้น DNS ทันที พร้อมเฝ้าระวังการเชื่อมต่อออกไปยังโครงสร้างพื้นฐานที่ระบุ

ล่าภัยหาร่องรอยชุดสามไฟล์ ทีมความมั่นคงควรค้นหาไบนารีที่มีลายเซ็นถูกต้อง (เช่น hostfxr.dll, avk.dll, MpClient.dll) ที่ปรากฏในตำแหน่งผิดปกติ โดยเฉพาะในโฟลเดอร์เริ่มต้นระบบ (Startup folder) หรือโฟลเดอร์ชั่วคราวที่เขียนได้ พร้อมไฟล์ .dat หรือ .log ที่อยู่คู่กัน รวมถึงค้นหาร่องรอยเส้นทางโฟลเดอร์ซ้อนรูปแบบ _CL_###### และไฟล์ลบตัวเอง ~del.vbs.bat

สื่อสารเตือนภัยซอฟต์แวร์ AI ปลอม องค์กรควรเตือนพนักงานและประชาชนไม่ให้ดาวน์โหลดโปรแกรม AI จากแหล่งที่ไม่เป็นทางการ โดยเฉพาะไฟล์ติดตั้งที่อ้างเป็น “Claude-Pro” ผ่าน MSI หรือ ZIP และย้ำว่าการเข้าถึงเครื่องมือ AI ที่ถูกต้องต้องทำผ่านช่องทางทางการเท่านั้น

8.2 การปรับปรุงเชิงกระบวนการ (1–3 เดือน)

เร่งปิดช่องโหว่แอปพลิเคชันจาวาและระบบที่เปิดสู่อินเทอร์เน็ต เนื่องจากผู้โจมตีเจาะผ่านช่องโหว่ CVSS 9.8 บนแอปพลิเคชันสาธารณะและอินเทอร์เฟซจัดการจาวา (JMX) องค์กรควรจัดลำดับความสำคัญการปิดช่องโหว่ระบบที่เปิดสู่ภายนอก โดยเฉพาะแอปจาวาและช่องโหว่วิกฤตที่ยังไม่ได้แพตช์ ควบคู่กับการลดพื้นผิวการโจมตีของบริการที่ไม่จำเป็น

ตั้งกฎตรวจจับพฤติกรรม DLL sideloading วางระบบแจ้งเตือนเมื่อไบนารีของผู้ผลิตที่มีลายเซ็นถูกเรียกทำงานจากโฟลเดอร์ที่ผู้ใช้เขียนได้หรือโฟลเดอร์ชั่วคราว โดยเฉพาะเมื่อมีไฟล์ .dat หรือ .log อยู่ในโฟลเดอร์เดียวกัน และบล็อกหรือแจ้งเตือนไฟล์ MSI ที่ติดตั้งลงโฟลเดอร์เริ่มต้นระบบผ่าน VBScript

ยกระดับการตรวจสอบทราฟฟิกที่ซ่อนหลังคลาวด์ เพราะกลุ่มนี้ซ่อนทราฟฟิก C2 หลัง Cloudflare และ Alibaba องค์กรควรตรวจสอบพฤติกรรมการเชื่อมต่อออกเชิงลึก และเฝ้าระวังกระบวนการที่ไม่ควรสื่อสารกับบริการคลาวด์แต่กลับมีการเชื่อมต่อออก

8.3 การเตรียมการเชิงยุทธศาสตร์ (3–12 เดือน)

เสริมกลไกแบ่งปันข่าวกรองภัยระดับภูมิภาค เนื่องจากปฏิบัติการนี้โจมตีหลายประเทศในภูมิภาคพร้อมกัน หน่วยงานความมั่นคงไทยควรเสริมความร่วมมือในการแบ่งปันตัวบ่งชี้การบุกรุกและข่าวกรองภัยกับประเทศเพื่อนบ้านและ CERT ในภูมิภาค ผ่านช่องทางอย่าง ThaiCERT เพื่อให้การตรวจพบในประเทศหนึ่งกลายเป็นเกราะป้องกันให้ทั้งภูมิภาค

ยกระดับความมั่นคงของภาคสาธารณสุขและการศึกษา สองภาคส่วนนี้เป็นเป้าหมายที่ยืนยันแล้วและเป็นจุดอ่อนของไทย ควรมีโครงการเฉพาะเพื่อยกระดับความมั่นคงของระบบภาพทางการแพทย์ ระบบบริหารสถานศึกษา และเซิร์ฟเวอร์ที่เปิดสู่อินเทอร์เน็ต ทั้งการปิดช่องโหว่ การแบ่งส่วนเครือข่าย และการเฝ้าระวัง

ยึดหลัก Assume Breach และ Zero Trust ปรับสถาปัตยกรรมความปลอดภัยของหน่วยงานสำคัญให้ตั้งอยู่บนสมมติฐานว่าผู้โจมตีอาจอยู่ในระบบแล้ว ด้วยการแบ่งส่วนเครือข่าย จำกัดสิทธิ์ตามหลักสิทธิ์น้อยที่สุด (least privilege) และตรวจสอบตัวตนอย่างต่อเนื่อง เพื่อจำกัดความเสียหายและการเคลื่อนตัวด้านข้างเมื่อถูกเจาะ

9. บทสรุปและมุมมองไปข้างหน้า (Outlook)

JadeProx เป็นกรณีศึกษาที่ชัดเจนของปฏิบัติการจารกรรมไซเบอร์เครือข่ายจีนยุคใหม่ ที่ผสมผสานการบุกรุกเชิงลึกต่อหน่วยงานรัฐเข้ากับการหลอกลวงระดับกว้าง โดยใช้ตัวโหลดมัลแวร์และโครงสร้างพื้นฐานชุดเดียวกันอย่างคุ้มค่า บทเรียนสำคัญที่สุดคือ ความก้าวหน้าของกลุ่มนี้ไม่ได้อยู่ที่ช่องโหว่ราคาแพง แต่อยู่ที่ความสามารถในการพรางตัวผ่านไบนารีที่มีลายเซ็นถูกต้องและบริการคลาวด์ที่ถูกกฎหมาย ซึ่งทำให้การป้องกันแบบเดิมที่พึ่งพาลายเซ็นมัลแวร์และชื่อเสียงของไฟล์ไม่เพียงพออีกต่อไป

สำหรับประเทศไทย แม้จะยังไม่ปรากฏชื่อในรายงานนี้โดยตรง แต่โปรไฟล์เป้าหมายที่ครอบคลุมกระทรวงการต่างประเทศ ภาคสาธารณสุข และภาคการศึกษาของเพื่อนบ้าน สะท้อนความเสี่ยงที่ไทยต้องถือว่าอยู่ในระยะประชิด แนวโน้มที่ควรจับตาต่อไปคือ การที่กลุ่มเครือข่ายจีนจะใช้ธีมเหยื่อล่อที่อิงกระแสเทคโนโลยีใหม่ โดยเฉพาะเครื่องมือ AI มากขึ้น การหมุนเปลี่ยนไบนารีและ callback API เพื่อหลบเลี่ยงการตรวจจับอย่างต่อเนื่อง และการใช้บริการคลาวด์ที่ถูกกฎหมายเป็นชั้นซ่อนตัวที่ลึกยิ่งขึ้น การเริ่มดำเนินการตามข้อเสนอในรายงานฉบับนี้ ทั้งการล่าภัยเชิงรุก การตรวจจับพฤติกรรม DLL sideloading และการเตือนภัยซอฟต์แวร์ AI ปลอม จะเป็นก้าวสำคัญในการปกป้องทั้งองค์กรและอธิปไตยทางข้อมูลของประเทศ

ภาคผนวก ก: การจับคู่กับกรอบ MITRE ATT&CK

ภาคผนวก ข: ตัวบ่งชี้การบุกรุกรวม (Consolidated IoCs)

หมายเหตุ: โดเมนและไอพีถูก defang โดยเจตนา (เช่น [.]) เพื่อป้องกันการ resolve โดยไม่ตั้งใจ ให้แปลงกลับเป็นรูปแบบปกติเฉพาะในแพลตฟอร์มข่าวกรองภัยที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM

เครือข่าย (Network)

ไฟล์สำคัญ (Windows — MD5 ย่อ)

ไฟล์เครื่องมือ (Linux — MD5 ย่อ)

พฤติกรรมที่ควรล่าภัย (Hunting)

• โฟลเดอร์ซ้อนรูปแบบ _CL_###### ใน gateway อีเมลและ telemetry ปลายทาง
• ไฟล์ลบตัวเองนามสกุลซ้อนสองชั้น ~del.vbs.bat ในโฟลเดอร์ชั่วคราว
• ไบนารีที่มีลายเซ็น (hostfxr.dll, avk.dll, MpClient.dll) ปรากฏใน Startup folder พร้อมไฟล์ .dat/.log
• ไฟล์ ZIP/MSI ที่อ้างเป็น “Claude-Pro” จากแหล่งที่ไม่เป็นทางการ

แหล่งอ้างอิง

• Group-IB — JadeProx: Tracing a China-nexus Operation Through an OPSEC Mistake
• Sophos — Donuts and Beagles: Fake Claude Site Spreads Backdoor
• Malwarebytes — Fake Claude Site Installs Malware That Gives Attackers Access to Your Computer
• Palo Alto Networks Unit 42 — AdaptixC2 Post-Exploitation Framework
• Zscaler — Tropic Trooper Pivots to AdaptixC2 and Custom Beacon Listener
• Proofpoint — I’ll Come Running Back to EU Again: TA416 Resumes European Government Espionage
• Trend Micro — Delving Deep: An Analysis of Earth Lusca Operations
• Cisco Talos — UAT-5918 Targets Critical Infrastructure in Taiwan

บทวิเคราะห์ฉบับนี้จัดทำโดย Cloud Thunder Threat Intelligence เพื่อประกอบการตัดสินใจเชิงยุทธศาสตร์และความมั่นคงปลอดภัยไซเบอร์ของประเทศ การระบุต้นทางของการโจมตี (attribution) อ้างอิงจากรายงานของ Group-IB และบริษัทข่าวกรองภัยที่ระบุในแหล่งอ้างอิง ไม่ใช่ข้อสรุปเชิงข่าวกรองอิสระของ Cloud Thunder