จัดทำโดย: Cloud Thunder Threat Intelligence
หัวข้อ: ห่วงโซ่อุปทานและห่วงโซ่ความไว้วางใจในฐานะเส้นทางจารกรรมระดับรัฐ และการเข้ามาของปัญญาประดิษฐ์ในสายพานปฏิบัติการของกลุ่ม APT
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคาม (Strategic Threat Assessment)
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: เหตุการณ์ที่ผ่านการคัดกรองในฐานข่าวของ Cloud Thunder ห้วงวันที่ 1–22 สิงหาคม 2569 จำนวน 133 รายการ ประกอบกับรายงานทางเทคนิคของ Fortinet FortiGuard Labs, Kaspersky GReAT, Bitdefender Labs, VulnCheck, Socket, Securelist, Genians, Zafran Labs, Dream Security, Symantec, Microsoft Threat Intelligence, CERT-UA, CISA และกระทรวงยุติธรรมสหรัฐอเมริกา

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

ห้วงเดือนสิงหาคม 2569 เป็นเดือนที่ข้อสันนิษฐานพื้นฐานข้อหนึ่งของงานป้องกันภัยไซเบอร์ถูกท้าทายอย่างเป็นระบบ ข้อสันนิษฐานนั้นคือความเชื่อที่ว่า “ถ้าดาวน์โหลดจากแหล่งทางการ ถ้าติดตั้งจากผู้ผลิตโดยตรง ถ้าอัปเดตผ่านช่องทางที่องค์กรกำหนด แล้วสิ่งที่ได้มาย่อมปลอดภัย” เหตุการณ์ที่ปรากฏตลอดเดือนนี้แสดงให้เห็นว่าคำแนะนำมาตรฐานชุดนั้นไม่เพียงใช้ไม่ได้ผล แต่ในหลายกรณีกลับกลายเป็นสิ่งที่ทำให้เหยื่อไม่ตั้งข้อสงสัยตั้งแต่แรก

จากการทบทวนเหตุการณ์ที่ผ่านการคัดกรองในเดือนสิงหาคม 2569 ทั้งหมด 133 รายการ Cloud Thunder ประเมินว่ารูปแบบการจารกรรมข้อมูลกำลังเคลื่อนตัวไปในทิศทางเดียวกันอย่างชัดเจน กล่าวคือ กลุ่มจารกรรมระดับรัฐกำลังย้ายจุดตั้งต้นของปฏิบัติการ จากการเจาะเป้าหมายโดยตรง ไปสู่การยึดสิ่งที่เป้าหมายจำเป็นต้องเชื่อถืออยู่แล้ว ไม่ว่าจะเป็นตัวติดตั้งซอฟต์แวร์ที่ดาวน์โหลดจากเว็บทางการ ไฟล์ไคลเอนต์ที่ฝ่ายไอทีขององค์กรเป็นคนแจกเอง เฟิร์มแวร์ที่ติดมากับอุปกรณ์ตั้งแต่วันแกะกล่อง แพ็กเกจ dependency ที่ระบบสร้างซอฟต์แวร์ดึงมาอัตโนมัติ หรือกระทั่งคลังโมเดลปัญญาประดิษฐ์และเซิร์ฟเวอร์ตัวกลางที่ผู้ช่วย AI ขององค์กรใช้ทำงาน

บทวิเคราะห์ฉบับนี้ประเมินว่าพัฒนาการในห้วงเดือนสิงหาคม 2569 มีนัยเชิงยุทธศาสตร์ที่สำคัญ 6 ประการ ได้แก่

• (1) การโจมตีห่วงโซ่อุปทานเลิกเป็นเครื่องมือของอาชญากรหาเงิน และกลายเป็นเส้นทางหลักของงานจารกรรมระดับรัฐ เดือนนี้ปรากฏกรณีที่ผูกกับผู้ก่อภัยระดับรัฐหรือกลุ่มที่รัฐหนุนหลังอย่างน้อย 7 กรณีในเวลาไม่ถึงสามสัปดาห์ ตั้งแต่ตัวติดตั้ง QuickFox VPN ที่ถูกฝังแบ็กดอร์ FDMTP ซึ่งเป็นเครื่องมือที่ Mustang Panda เคยใช้ (08/030 ) การที่ Head Mare ยึดเซิร์ฟเวอร์ TrueConf แล้วสลับไฟล์ติดตั้งไคลเอนต์เป็นเวอร์ชันฝัง PhantomCore (08/053 ) ไปจนถึงเฟิร์มแวร์เราเตอร์ Zbtlink อย่างน้อย 20 รุ่นที่มีแบ็กดอร์ ENDLESSDOORS ติดมาจากโรงงาน (08/035 )

• (2) ระยะเวลาที่ช่องทางถูกวางยาโดยไม่มีใครรู้ ยาวกว่าที่กรอบการตอบสนองเหตุการณ์ขององค์กรส่วนใหญ่รองรับได้มาก กรณี QuickFox ดำเนินมาตั้งแต่อย่างน้อยสิงหาคม 2568 หมายความว่าผู้ใช้ที่โหลดจากเว็บทางการได้ของที่มีโค้ดร้ายติดมาด้วย เกือบหนึ่งปีเต็ม ส่วนเฟิร์มแวร์ Zbtlink ที่ฝัง ENDLESSDOORS ปรากฏอยู่ใน ไฟล์เฟิร์มแวร์ทั้ง 21 ไฟล์ ที่เผยแพร่บนหน้าดาวน์โหลด ครอบคลุมช่วงเวลา กว่า 2 ปี ขณะที่แพ็กเกจ lib-mtop ในแคมเปญ npm ที่เล็งนักพัฒนาของ Alibaba ถูกเผยแพร่ครั้งแรกตั้งแต่ พฤศจิกายน 2566 แล้วเพิ่งถูกอัปเดตให้มีโค้ดร้ายในเดือนมีนาคม–เมษายน 2569 (08/024 )

• (3) ผู้โจมตีเปลี่ยนจากการ “หว่านแห” มาเป็นการ “คัดเป้าหมายที่หน้าประตู” ตัวโหลดของ QuickFox ตรวจรายชื่อโปรเซสบนเครื่องก่อนตัดสินใจ โดยยกเลิกการทำงานทันทีถ้าพบ steam.exe และเดินหน้าต่อเฉพาะเมื่อพบอย่างน้อยหนึ่งในรายการแอปพลิเคชัน 26 รายการ ที่ครอบคลุมเครื่องมือนักพัฒนา เครื่องมือเชื่อมฐานข้อมูล และกระเป๋าคริปโต ขณะที่มาโครของ SilkParasite ตรวจก่อนว่าเครื่องเป้าหมายติดตั้งซอฟต์แวร์ป้องกันไวรัสของ Kaspersky อยู่หรือไม่ ซึ่งเป็นการปรับตัวให้เข้ากับสภาพแวดล้อมของภูมิภาคเป้าหมายในระดับเดียวกับที่ปรับเนื้อหาเอกสารล่อ (08/118 ) ผลคือการวิเคราะห์ตัวอย่างมัลแวร์แบบสุ่มในห้องแล็บมีโอกาสสูงที่จะไม่เห็นพฤติกรรมอันตรายเลย

• (4) ปัญญาประดิษฐ์เข้ามาอยู่ในสายพานปฏิบัติการของ APT แล้ว ในสี่บทบาทที่แยกจากกันชัดเจน บทบาทแรกคือ AI ในฐานะผู้ช่วยพัฒนา ซึ่ง Bitdefender พบร่องรอยในโค้ดของ SilkParasite ที่ทีมมนุษย์มืออาชีพเป็นผู้เขียน แต่มี AI เร่งงานส่วนซ้ำซาก บทบาทที่สองคือ AI ในฐานะโครงสร้างพื้นฐานของกลุ่ม ซึ่ง Genians พบว่า Kimsuky ยกโมเดลภาษามารันบนเซิร์ฟเวอร์ของตัวเองพร้อมฐานข้อมูล RAG ที่ตั้งค่าไว้แล้ว (08/055 ) บทบาทที่สามคือ AI ในฐานะผู้ปฏิบัติการ ซึ่งปรากฏชัดที่สุดในกรณีที่กรอบการทำงานหลายเอเจนต์ไล่เจาะหน่วยงานรัฐในเอเชียเองเกือบทั้งกระบวนการ (08/080 ) และบทบาทที่สี่ซึ่งเป็นประเด็นใหม่ที่สุดคือ AI ในฐานะห่วงโซ่อุปทานชั้นใหม่ที่ถูกโจมตีเสียเอง ทั้งช่องโหว่ชุด FaceHugger ในไลบรารี Diffusers ของ Hugging Face (08/009 ) และการที่เซิร์ฟเวอร์ MCP กลายเป็นถังเก็บกุญแจขององค์กรโดยไม่มีใครรู้ (08/106 )

• (5) ปฏิบัติการของอิหร่านเดือนนี้แสดงทั้งสองด้านของสมการอย่างครบถ้วน คือด้านจารกรรมเชิงเศรษฐกิจระยะยาว และด้านบ่อนทำลายโครงสร้างพื้นฐานทางกายภาพ ด้านแรกคือคำฟ้องของกระทรวงยุติธรรมสหรัฐฯ ต่อชาวอิหร่าน 17 รายในเครือ Mabna Institute ซึ่งเป็นบริษัทรับจ้างแฮ็กที่ทำงานให้ IRGC โดยปฏิบัติการเริ่มราวปี 2556 เล็งบัญชีอาจารย์ทั่วโลกกว่า 100,000 ราย เจาะสำเร็จราว 8,000 ราย และดูดข้อมูลวิชาการออกไป 31.5 เทระไบต์ มูลค่าประเมิน 3.4 พันล้านดอลลาร์ (08/119 ) ด้านที่สองคือประกาศเตือนร่วมของหน่วยงานสหรัฐฯ ห้าแห่งเรื่อง สคริปต์โจมตีที่สร้างด้วย AI เล็ง PLC ตระกูล Siemens S7 ในโครงสร้างพื้นฐานสำคัญ (08/130 )

• (6) สำหรับประเทศไทย เดือนนี้เป็นเดือนที่ความเสี่ยงเชิงโครงสร้างถูกเปิดเผยพร้อมกันทั้งด้านนอกและด้านใน ด้านนอกคือปฏิบัติการระดับรัฐที่ผ่านห่วงโซ่ความไว้วางใจซึ่งไทยพึ่งพาอยู่จริง ทั้งอุปกรณ์เครือข่ายราคาประหยัดจากจีน ซอฟต์แวร์ VPN ที่พนักงานติดตั้งเอง และคลังแพ็กเกจโอเพนซอร์สที่ทีมพัฒนาทุกองค์กรใช้ ส่วนด้านในคือวิกฤตข้อมูลภาครัฐรั่วไหลที่ลุกลามตลอดเดือน จนคณะรัฐมนตรีต้องมีมติเมื่อ 11 สิงหาคม 2569 สั่งให้กว่า 300 กรม เปลี่ยนรหัสผ่านเจ้าหน้าที่ทั้งหมดทันที ตรวจสอบระบบสารสนเทศราว 30,000 ระบบ ภายใน 15 วัน และบังคับใช้ MFA หรือ ThaID ทั่วภาครัฐ (08/089 )

ข้อสรุปที่ร้อยทั้งหกประเด็นเข้าด้วยกัน คือการที่มาตรการป้องกันแบบเดิมส่วนใหญ่ตั้งอยู่บนสมมติฐานว่า ผู้โจมตีต้องฝ่าอะไรบางอย่างเข้ามา ไม่ว่าจะเป็นการเจาะช่องโหว่ การหลอกให้กรอกรหัสผ่าน หรือการยกระดับสิทธิ์ แต่รูปแบบที่ปรากฏในเดือนนี้ทำให้ผู้โจมตี ไม่ต้องฝ่าอะไรเลย เพราะสิ่งที่พวกเขายึดได้คือช่องทางที่องค์กรเปิดประตูให้เองอยู่แล้ว ไม่ว่าจะเป็นตัวติดตั้งที่ฝ่ายไอทีสั่งให้ใช้ เฟิร์มแวร์ที่มากับอุปกรณ์ แพ็กเกจที่ระบบ CI ดึงเอง หรือรหัสผ่านของเจ้าหน้าที่ที่หลุดออกไปจากเครื่องที่ติดมัลแวร์ขโมยข้อมูล และเมื่อบวกกับ AI ที่ทำให้ต้นทุนของการลงมือลดลงอย่างรวดเร็วในขณะที่ต้นทุนของการตั้งรับยังเท่าเดิม สมการความคุ้มค่าของการโจมตีจึงเปลี่ยนไปในทางที่เป็นผลเสียต่อฝ่ายตั้งรับอย่างมีนัยสำคัญ

ภาพที่ 1: แผนผังห่วงโซ่ความไว้วางใจห้าชั้นที่ถูกใช้เป็นเส้นทางจารกรรมในห้วงสิงหาคม 2569 ตั้งแต่ชั้นผู้ผลิตและกระบวนการสร้าง ชั้นช่องทางแจกจ่าย ชั้นกลไกอัปเดต ชั้น dependency ของนักพัฒนา ไปจนถึงชั้นใหม่ล่าสุดคือคลังโมเดล AI และตัวกลาง MCP พร้อมกรณีศึกษาที่ปรากฏจริงในแต่ละชั้นและกลุ่มผู้ก่อภัยที่เกี่ยวข้อง

1. รู้จักรูปแบบ: ห่วงโซ่ความไว้วางใจในฐานะพื้นผิวการโจมตี

1.1 ทำไมต้องเรียกว่า “ห่วงโซ่ความไว้วางใจ” ไม่ใช่แค่ “ห่วงโซ่อุปทาน”

คำว่า การโจมตีห่วงโซ่อุปทาน (Supply Chain Attack) ถูกใช้กันมานานจนความหมายกว้างเกินกว่าจะใช้จัดลำดับความสำคัญได้ ในทางปฏิบัติคำนี้ถูกใช้ครอบคลุมตั้งแต่การที่ผู้รับเหมารายหนึ่งถูกเจาะแล้วข้อมูลลูกค้ารั่ว ไปจนถึงการที่ผู้ผลิตซอฟต์แวร์ถูกยึดกระบวนการสร้างจนแจกจ่ายโค้ดร้ายให้ลูกค้าทั้งหมด ทั้งที่สองกรณีนี้มีลักษณะความเสี่ยง ความเร็วในการลุกลาม และมาตรการรับมือที่ต่างกันโดยสิ้นเชิง

บทวิเคราะห์ฉบับนี้จึงเลือกใช้กรอบที่แคบและใช้งานได้จริงกว่า คือ ห่วงโซ่ความไว้วางใจ (Trust Chain) ซึ่งหมายถึงลำดับของสิ่งที่ระบบปลายทางต้อง “ยอมรับโดยไม่ตรวจสอบซ้ำ” เพื่อให้ทำงานได้ตามปกติ ความแตกต่างสำคัญอยู่ตรงนี้ กล่าวคือ การที่ผู้รับเหมาถูกเจาะแล้วข้อมูลรั่วเป็นเรื่องของ ความลับของข้อมูล แต่การที่ตัวติดตั้งถูกฝังโค้ดเป็นเรื่องของ ความถูกต้องของสิ่งที่ระบบยอมรับเข้ามารัน ซึ่งเป็นความเสียหายที่ลุกลามเป็นทวีคูณ เพราะทุกเครื่องที่รับสิ่งนั้นเข้าไปกลายเป็นจุดตั้งต้นใหม่ทันที

จากเหตุการณ์ในห้วงเดือนสิงหาคม 2569 ห่วงโซ่ความไว้วางใจที่ถูกใช้เป็นเส้นทางจารกรรมจริงสามารถแบ่งได้เป็น ห้าชั้น ซึ่งเรียงจากต้นน้ำไปปลายน้ำได้ดังนี้

ชั้นที่ 1 — ผู้ผลิตและกระบวนการสร้าง (Vendor & Build) คือจุดที่โค้ดร้ายถูกใส่เข้าไปตั้งแต่ก่อนผลิตภัณฑ์ออกจากมือผู้ผลิต กรณีที่ชัดที่สุดของเดือนนี้คือเฟิร์มแวร์ Zbtlink ที่ฝังตัว ENDLESSDOORS อยู่ในไฟล์เฟิร์มแวร์ทุกไฟล์ที่เผยแพร่สาธารณะ ซึ่งหมายความว่าอุปกรณ์มีแบ็กดอร์ตั้งแต่วันแกะกล่อง ไม่ใช่เกิดจากการตั้งค่าผิดของผู้ใช้

ชั้นที่ 2 — ช่องทางแจกจ่าย (Distribution) คือจุดที่ผลิตภัณฑ์ของแท้ถูกสลับหรือแก้ไขระหว่างทางไปสู่ผู้ใช้ กรณี QuickFox VPN อยู่ในชั้นนี้ เพราะโค้ดสองบรรทัดถูกแทรกเข้าไปในไฟล์ HTML ของ Electron ในตัวติดตั้งที่เผยแพร่ผ่านช่องทางทางการ เช่นเดียวกับกรณี SopraVPN ของ Sandworm ที่ใช้ SourceForge เป็นที่วางไคลเอนต์ WireGuard ดัดแปลง (08/073 )

ชั้นที่ 3 — กลไกอัปเดตและช่องทางภายในองค์กร (Update & Internal Distribution) คือจุดที่องค์กรเป็นผู้แจกจ่ายเอง กรณี Head Mare กับ TrueConf เป็นตัวอย่างที่บริสุทธิ์ที่สุด เพราะผู้โจมตีไม่ได้หยุดที่การยึดเซิร์ฟเวอร์ แต่ใช้เซิร์ฟเวอร์นั้นเป็นจุดกระจายมัลแวร์ต่อไปยังพนักงานทุกคนที่ดาวน์โหลดไคลเอนต์จากที่นั่น เท่ากับ เปลี่ยนช่องทางแจกจ่ายซอฟต์แวร์ภายในองค์กรให้กลายเป็นช่องทางแพร่มัลแวร์ กรณี CaptiveCrunch ที่ยึดเกตเวย์ Wi-Fi ของโรงแรมเพื่อดันหน้าอัปเดตปลอมก็อยู่ในชั้นนี้เช่นกัน (08/005 )

ชั้นที่ 4 — Dependency ของนักพัฒนาและระบบสร้างซอฟต์แวร์ (Developer Dependency) คือจุดที่โค้ดร้ายเข้าสู่องค์กรผ่านคำสั่งติดตั้งที่ใช้กันเป็นกิจวัตร แคมเปญ 18 แพ็กเกจ npm ที่เล็งนักพัฒนาซึ่งใช้เครื่องมือภายในของ Alibaba และเทคนิค NullReceiver ที่เกาหลีเหนือใช้ซ่อนที่อยู่ C2 ไว้ในธุรกรรม Ethereum ที่ไม่มีเงินโอน (08/026 ) ล้วนอยู่ในชั้นนี้

ชั้นที่ 5 — คลังโมเดล AI และตัวกลางของเอเจนต์ (AI Model Hub & Agent Broker) คือชั้นที่ใหม่ที่สุดและยังไม่มีกระบวนการกำกับดูแลที่เทียบเท่าชั้นอื่น ช่องโหว่ชุด FaceHugger ในไลบรารี Diffusers ทำให้คลังโมเดลที่ถูกสร้างขึ้นเป็นพิเศษรันโค้ดบนเครื่องที่โหลดมันได้อย่างเงียบเชียบ ขณะที่เซิร์ฟเวอร์ MCP ซึ่งเป็นตัวกลางให้ AI agent เข้าถึงเครื่องมือขององค์กร กลายเป็นจุดรวมข้อมูลยืนยันตัวตนที่ทีมความปลอดภัยมักไม่รู้ด้วยซ้ำว่ามีอยู่

1.2 คุณสมบัติร่วมสี่ข้อที่ทำให้ห่วงโซ่ความไว้วางใจน่าสนใจสำหรับงานจารกรรม

เมื่อวางกรณีทั้งหมดของเดือนนี้เรียงกัน จะเห็นคุณสมบัติร่วมสี่ข้อที่อธิบายว่าเหตุใดกลุ่มจารกรรมระดับรัฐจึงเลือกเส้นทางนี้มากขึ้นเรื่อย ๆ

ข้อแรก คือการเข้าถึงที่ผ่านการรับรองมาแล้ว เมื่อโค้ดร้ายมาพร้อมตัวติดตั้งที่มีลายเซ็นถูกต้อง หรือมาพร้อมเฟิร์มแวร์จากผู้ผลิต หรือมาพร้อมแพ็กเกจที่ประกาศเป็น dependency อย่างเป็นทางการ กลไกตรวจสอบที่องค์กรวางไว้จะปล่อยผ่านโดยอัตโนมัติ นักวิจัยของ Bitdefender สรุปจุดตรวจจับที่ได้ผลที่สุดของแคมเปญ SilkParasite ไว้อย่างตรงประเด็นว่า “พื้นผิวการตรวจจับที่สม่ำเสมอที่สุดตลอดแคมเปญนี้คือ DLL sideloading และสัญญาณที่เชื่อถือได้คือการจับคู่ ไม่ใช่ชื่อไฟล์ DLL เพียงอย่างเดียว นั่นคือแอปพลิเคชันที่มีลายเซ็นถูกต้องโหลดไลบรารีที่ถูกวางไว้ข้าง ๆ ในขณะที่ตัวมันรันจากตำแหน่งที่ผิดปกติ” ประโยคนี้สรุปแก่นของปัญหาไว้ครบ กล่าวคือคำถามที่ใช้ตัดสินไม่ใช่ “ไฟล์นี้มีลายเซ็นหรือไม่” แต่คือ “ไฟล์ที่มีลายเซ็นนี้ควรอยู่ตรงนี้และควรโหลดสิ่งนี้หรือไม่”

ข้อที่สอง คืออัตราขยายผลที่สูงผิดปกติ การเจาะเซิร์ฟเวอร์ TrueConf หนึ่งเครื่องให้ผลเท่ากับการวางแบ็กดอร์บนเครื่องพนักงานทุกคนที่ดาวน์โหลดไคลเอนต์จากที่นั่น การฝัง ENDLESSDOORS ในเฟิร์มแวร์ชุดหนึ่งให้ผลกับอุปกรณ์ทุกตัวที่ใช้เฟิร์มแวร์นั้น รวมถึงอุปกรณ์ที่ขายภายใต้แบรนด์อื่นผ่านงาน OEM และ ODM ซึ่งเป็นจุดที่ทำให้ประเมินขอบเขตความเสียหายที่แท้จริงได้ยาก

ข้อที่สาม คือความทนทานต่อการถอดถอน เมื่อผู้โจมตีวางที่อยู่ C2 ไว้บนบล็อกเชนสาธารณะแบบที่ NullReceiver ทำ หรือใช้บริการคลาวด์ที่องค์กรอนุญาตอยู่แล้วเป็นช่องสั่งการแบบที่ DriveSilkRAT ใช้ Google Drive และ PhantomGraph ใช้ Microsoft OneDrive วิธีมาตรฐานในการตัดวงจรอย่างการถอดถอนโดเมนหรือแจ้งผู้ให้บริการโฮสต์จะใช้ไม่ได้อีกต่อไป

ข้อที่สี่ คือความสอดคล้องกับเป้าหมายเชิงข่าวกรอง งานจารกรรมต้องการการเข้าถึงที่ เงียบ ยาวนาน และเลือกเป้าได้ ซึ่งเป็นคุณสมบัติที่ห่วงโซ่ความไว้วางใจให้ได้ครบทั้งสามข้อ ต่างจากการเรียกค่าไถ่ซึ่งต้องการผลทันทีและยอมแลกกับการถูกตรวจพบ นี่คือเหตุผลเชิงโครงสร้างที่อธิบายว่าทำไมกรณีห่วงโซ่อุปทานที่ผูกกับรัฐในเดือนนี้จึงมีลักษณะร่วมกันคือ การคัดกรองเหยื่อก่อนลงมือ และ การเก็บร่องรอยบนดิสก์ให้น้อยที่สุด

1.3 สิ่งที่เปลี่ยนไปจากคลื่นการโจมตีห่วงโซ่อุปทานรุ่นก่อน

การโจมตีห่วงโซ่อุปทานไม่ใช่เรื่องใหม่ สิ่งที่ควรบันทึกไว้คือความต่างเชิงคุณภาพจากคลื่นก่อนหน้า ซึ่งมีอย่างน้อยสามข้อ

ข้อแรกคือ การย้ายจุดแทรกจาก “ตัวโปรแกรม” ไปสู่ “ส่วนประกอบที่ไม่มีใครตรวจ” ในกรณี QuickFox ผู้โจมตีไม่ได้แตะไฟล์โปรแกรมหลักเลย แต่แก้ไฟล์ HTML ที่ Electron ใช้แสดงหน้าจอ ด้วยโค้ด JavaScript เพียงสองบรรทัด ในกรณี Sandworm เพย์โหลดไม่ได้อยู่ในตัวโปรแกรม แต่อยู่ใน ไฟล์คอนฟิก ผ่านตัวเลือกนอกมาตรฐานชื่อ SymmetricKey ที่ถอดรหัสด้วยค่า PrivateKey ในไฟล์เดียวกัน ผลคือไฟล์ตั้งค่าที่อ่านผ่าน ๆ แล้วไม่มีอะไรน่าสงสัย กลับเป็นทั้งกุญแจและเพย์โหลดในตัวเดียว

ข้อที่สองคือ การกระจายชิ้นส่วนเพื่อหลบการตรวจแบบรายไฟล์ แคมเปญ npm ที่เล็ง Alibaba แยกโค้ดโหลดเดอร์ออกเป็นชิ้น ๆ แล้วฝังกระจายไว้ในหลายแพ็กเกจจากหลายบัญชีผู้เผยแพร่ ผลคือการตรวจแพ็กเกจทีละตัวไม่เห็นอะไรผิดปกติ ต้องมองทั้งสายพันธุ์ dependency พร้อมกันจึงจะเห็นภาพรวม ในทำนองเดียวกัน Kaspersky ระบุถึงกรณี PhantomGraph ว่า “เราเชื่อว่าผู้โจมตีจงใจแยกมัลแวร์ออกเป็นสองส่วนเพื่อให้เครื่องมือ EDR ตรวจจับได้ยากขึ้น” เพราะแต่ละชิ้นเมื่อดูแยกกันจะไม่แสดงพฤติกรรมครบวงจรพอให้ระบบตัดสินว่าเป็นภัยคุกคาม

ข้อที่สามคือ การเข้ารหัสเพย์โหลดที่ผูกกับเครื่องเหยื่อรายตัว ในแคมเปญ OctLurk และ SilkLurk ที่เจาะหน่วยงานรัฐเอเชียกลาง ตัวโหลดจะอาศัยข้อมูลเฉพาะของเครื่องแต่ละเครื่องมาถอดตำแหน่งและเนื้อหาของเพย์โหลด โดย OctLurk ใช้ หมายเลขซีเรียลของไดรฟ์ ส่วน SilkLurk ใช้ ชื่อคอมพิวเตอร์ (08/004 ) ผลคือตัวอย่างที่เก็บมาจากเครื่องหนึ่งอาจถอดออกมาไม่ได้เลยหากไม่มีบริบทของเครื่องนั้น ซึ่งทำลายสมมติฐานพื้นฐานของการวิเคราะห์มัลแวร์แบบรวมศูนย์

ภาพที่ 2: การกระจายตัวของปฏิบัติการระดับรัฐในห้วงสิงหาคม 2569 จำแนกตามประเทศต้นทางที่ถูกประเมินและชั้นของห่วงโซ่ความไว้วางใจที่ถูกใช้เป็นเส้นทางเข้าถึง แสดงให้เห็นว่าจีนกระจายตัวครอบคลุมมากที่สุดทั้งห้าชั้น ขณะที่อิหร่านเน้นชั้นการยึดบัญชีและช่องทางสื่อสารที่กลืนกับทราฟฟิกปกติ

2. วิวัฒนาการและไทม์ไลน์ห้วงสิงหาคม 2569

2.1 ลำดับเหตุการณ์สำคัญ

ตารางต่อไปนี้รวบรวมเหตุการณ์ที่เกี่ยวข้องกับการจารกรรมผ่านห่วงโซ่ความไว้วางใจและการเข้ามาของ AI ในสายพานปฏิบัติการ เรียงตามวันที่เผยแพร่รายงานหรือวันที่หน่วยงานประกาศ

2.2 การอ่านไทม์ไลน์: สามคลื่นที่ทับซ้อนกัน

เมื่ออ่านตารางข้างต้นตามลำดับเวลา จะเห็นว่าเดือนสิงหาคม 2569 ไม่ได้มีเพียงแนวโน้มเดียว แต่มีสามคลื่นที่เคลื่อนตัวทับซ้อนกัน

คลื่นที่หนึ่ง — สัปดาห์แรก (1–8 สิงหาคม) เป็นคลื่นของการเปิดเผยกรณีห่วงโซ่อุปทานแบบดั้งเดิม ทั้ง QuickFox, Zbtlink, npm ที่เล็ง Alibaba และ NullReceiver ล้วนถูกเปิดเผยในช่วงนี้ สิ่งที่น่าสังเกตคือทั้งสี่กรณีถูกเปิดเผยโดยผู้ให้บริการคนละราย (Fortinet, VulnCheck, Socket, OpenSource Malware) และเล็งชั้นของห่วงโซ่ที่ต่างกัน แต่มีจุดร่วมคือ ระยะเวลาที่ช่องทางถูกวางยาก่อนถูกตรวจพบยาวเกินหนึ่งปีในทุกกรณี

คลื่นที่สอง — สัปดาห์ที่สอง (9–15 สิงหาคม) เป็นคลื่นที่แกน AI ปรากฏตัวชัดเจน ภายในช่วงเวลาเพียงสามวัน มีสามเหตุการณ์ที่ชี้ไปทางเดียวกัน คือรายงานของ Genians เรื่อง Kimsuky ยกโมเดลมารันเอง การเปิดตัว GPT-5.6-Cyber ที่ยอมรับตรง ๆ ว่าลดกลไกกำกับพฤติกรรมของโมเดล และรายงานของ Dream เรื่องกรอบเอเจนต์ AI ที่เจาะรัฐบาลเองได้ การที่ทั้งสามเรื่องมาพร้อมกันในสัปดาห์เดียวไม่ใช่ความบังเอิญ แต่สะท้อนว่าเทคโนโลยีที่รองรับได้สุกงอมพอ ๆ กันทั้งฝั่งที่สร้างและฝั่งที่นำไปใช้

คลื่นที่สาม — สัปดาห์ที่สาม (16–22 สิงหาคม) เป็นคลื่นที่สองแกนมาบรรจบกัน รายงาน SilkParasite แสดง AI ที่ฝังอยู่ในกระบวนการพัฒนาเครื่องมือจารกรรมของทีมมืออาชีพ ประกาศ AA26-231A แสดง AI ที่ถูกใช้สร้างสคริปต์โจมตี PLC ในโครงสร้างพื้นฐานทางกายภาพ และบทวิเคราะห์เรื่อง MCP server แสดง AI ในฐานะห่วงโซ่อุปทานชั้นใหม่ที่ตัวมันเองกลายเป็นเป้า สัปดาห์นี้จึงเป็นจุดที่คำถามเปลี่ยนจาก “AI จะถูกใช้โจมตีหรือไม่” ไปเป็น “AI ถูกใช้ในขั้นตอนไหนของสายพานปฏิบัติการบ้าง และเราตรวจจับขั้นตอนนั้นได้หรือยัง”

ภาพที่ 3: ไทม์ไลน์การเปิดเผยเหตุการณ์ตลอดห้วงวันที่ 1–22 สิงหาคม 2569 แยกตามสองแกนหลักคือการจารกรรมผ่านห่วงโซ่ความไว้วางใจ และการเข้ามาของ AI ในสายพานปฏิบัติการ พร้อมแสดงเหตุการณ์ที่กระทบประเทศไทยโดยตรงเป็นแถบล่างสุด

2.3 ระยะเวลาที่ช่องทางถูกวางยา — ตัวเลขที่ควรบันทึกไว้

ประเด็นที่ควรค้างไว้จากไทม์ไลน์นี้ไม่ใช่จำนวนเหตุการณ์ แต่คือ ช่องว่างระหว่างวันที่โค้ดร้ายถูกใส่เข้าไป กับวันที่มีคนพบ ซึ่งเป็นตัวเลขที่บอกได้ตรงที่สุดว่ากลไกตรวจสอบที่มีอยู่ทำงานได้แค่ไหน

ตัวเลขในตารางนี้มีนัยเชิงปฏิบัติที่ตรงไปตรงมา คือ กรอบเวลาการตรวจสอบย้อนหลังที่องค์กรส่วนใหญ่ใช้กันอยู่ ซึ่งมักอยู่ที่ 30 ถึง 90 วัน สั้นเกินกว่าจะครอบคลุมกรณีเหล่านี้ได้เลย คำแนะนำของ Fortinet ในกรณี QuickFox จึงระบุชัดว่าให้ค้นหาการเชื่อมต่อไปยังโดเมน cdns3.51quickfox[.]cn ในล็อก DNS และพร็อกซี ย้อนหลังอย่างน้อยหนึ่งปี ซึ่งเป็นข้อกำหนดที่หลายองค์กรทำไม่ได้เพราะนโยบายเก็บล็อกไม่ยาวพอ

3. ยุทธวิธี เทคนิค และเครื่องมือ (TTPs) แยกตามชั้นของห่วงโซ่

3.1 ชั้นผู้ผลิต — เมื่อแบ็กดอร์มาพร้อมอุปกรณ์ตั้งแต่วันแกะกล่อง

กรณี Zbtlink เป็นตัวอย่างที่สะอาดที่สุดของการโจมตีที่ชั้นผู้ผลิต และมีรายละเอียดทางเทคนิคที่ควรบันทึกไว้เพราะเรียบง่ายจนน่าตกใจ

แกนกลางของ ENDLESSDOORS คือเครื่องมือขนาดเล็กชื่อ rctl ซึ่งย่อมาจาก remote control linux นาย Jacob Baines ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของ VulnCheck อธิบายว่า “มันถูกอัปโหลดขึ้น GitHub เมื่อวันที่ 14 มกราคม 2558 และไม่เคยถูกแตะต้องอีกเลย ที่เก็บโค้ดที่แทบไม่มีใครรู้จักนี้ทำหน้าที่เป็นไคลเอนต์และเซิร์ฟเวอร์สั่งการอย่างง่าย” กล่าวคือผู้ที่ใส่แบ็กดอร์นี้ไม่ได้เขียนอะไรขึ้นมาใหม่เลย แต่หยิบโครงการโอเพนซอร์สที่ถูกทิ้งร้างมากว่าสิบปีมาดัดแปลงใช้

ตัวฝังถูกตั้งชื่อไฟล์ให้กลืนกับระบบอย่างจงใจ โดยวางไว้ที่ /usr/sbin/kworker พร้อมไลบรารี /usr/lib/librctl.so ไฟล์ตั้งค่า /etc/kworker.cfg และสคริปต์เรียกทำงานตอนบูตชื่อ /etc/init.d/skworker ชื่อ kworker ถูกเลือกเพราะเป็นชื่อของ เธรดในเคอร์เนล Linux ของจริง ซึ่งผู้ดูแลระบบเห็นในรายการโปรเซสจนชินตา สิ่งที่บอกว่าผิดปกติคือตำแหน่ง เพราะ kworker ของจริงเป็นเธรดในเคอร์เนล ไม่ใช่ไฟล์ที่วางอยู่ใน /usr/sbin

โปรโตคอลของ ENDLESSDOORS มีคำศัพท์เพียงสองประโยค ตามที่ Baines สรุปไว้ว่า “คำศัพท์ทั้งหมดของโปรโตคอลนี้มีสองประโยค คือ รันสิ่งนี้ด้วยสิทธิ์ root และ ขอเชลล์ root ให้ฉันหน่อย ใครก็ตามที่อยู่บนเส้นทางเครือข่ายสามารถแย่งการสื่อสารระหว่างไคลเอนต์กับเซิร์ฟเวอร์ได้” ตัวฝังจะส่งข้อความ hello พร้อมที่อยู่ MAC ของฝั่ง LAN ออกไป ทุก 35 วินาที แล้วรันทุกอย่างที่เซิร์ฟเวอร์ตอบกลับมา โดยไม่มีการจับมือ ไม่มีการเจรจา และไม่มีการยืนยันตัวตนใด ๆ มีสตริงสงวนหนึ่งตัวคือ rctlbash ซึ่งสั่งให้ตัวฝังเปิดการเชื่อมต่อที่สองไปยังพอร์ต 7001 จองเทอร์มินัลเสมือน สร้างโปรเซส /bin/sh แล้วเชื่อมทั้งสองเข้าด้วยกัน ผลคือเชลล์ root แบบโต้ตอบสด

นัยเชิงยุทธศาสตร์ของโครงสร้างนี้รุนแรงกว่าแบ็กดอร์ทั่วไปหนึ่งระดับ เพราะโดยปกติผู้โจมตีต้องเข้าถึงเราเตอร์จากอินเทอร์เน็ตให้ได้ก่อน แต่ในกรณีนี้ตัวเราเตอร์เป็นฝ่ายวิ่งออกไปหาเซิร์ฟเวอร์เองทุก 35 วินาที ผู้โจมตีจึงเพียงต้องอยู่ในตำแหน่งที่ดักหรือชี้ทางการสื่อสารขาออกนั้นได้ ไม่ว่าจะเป็นผู้ให้บริการเครือข่ายกลางทาง ผู้ควบคุมเซิร์ฟเวอร์ DNS หรือ ผู้ที่จดโดเมนต่อเมื่อโดเมนเดิมหมดอายุ ประเด็นสุดท้ายนี้สำคัญเป็นพิเศษ เพราะหมายความว่าอำนาจควบคุมอุปกรณ์นับหมื่นเครื่องอาจเปลี่ยนมือได้ด้วยค่าจดโดเมนเพียงไม่กี่ร้อยบาท

คำชี้แจงของผู้ผลิตที่ว่าฟีเจอร์นี้ “มีไว้เพื่อการบำรุงรักษาหลังการขายเพียงอย่างเดียว” และ “โดยทั่วไปมันจะถูกคงไว้เฉพาะในเครื่องตัวอย่างเพื่อช่วยลูกค้าในการดีบักซอฟต์แวร์” ขัดกับสิ่งที่ VulnCheck พบ เพราะตัวฝังปรากฏอยู่ในเฟิร์มแวร์ทุกไฟล์ที่เผยแพร่สู่สาธารณะ อย่างไรก็ตาม ต้องบันทึกไว้ตามตรงว่า VulnCheck ไม่ได้รายงานว่ามีการนำแบ็กดอร์นี้ไปใช้โจมตีจริงแล้วหรือยัง ไม่มีตัวเลขจำนวนอุปกรณ์ที่ติดตั้งใช้งานอยู่ และไม่มีข้อสรุปว่าใครเป็นผู้ควบคุมโครงสร้างพื้นฐาน C2 ปลายทาง การจัดกรณีนี้เป็น “ปฏิบัติการจารกรรมของรัฐ” จึงยังเป็นการอนุมานจากบริบท ไม่ใช่ข้อสรุปที่ผู้วิจัยยืนยัน

รุ่นที่ได้รับผลกระทบตามรายงานได้แก่ CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326, WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WG108, WG1602, WG1608-DSIM, WG209, WG2105, WG2107, WG259, WG3526 และ Z8102AX-2DSIM ซึ่งหลายรุ่นเป็นอุปกรณ์ประเภท CPE และเราเตอร์ที่รองรับซิม อันเป็นกลุ่มที่มักถูกนำไปใช้ในสาขาย่อย จุดติดตั้งภาคสนาม และงาน IoT ที่ไม่ค่อยมีคนดูแลเป็นประจำ

3.2 ชั้นการเซ็นรับรอง — เมื่อลายเซ็นดิจิทัลไม่ใช่หลักฐานความปลอดภัย

กรณี HoneyMyte กับแบ็กดอร์ CoolClient แสดงการโจมตีอีกชั้นหนึ่งของห่วงโซ่ความไว้วางใจ นั่นคือกลไกการเซ็นรับรองไดรเวอร์บน Windows

ห่วงโซ่การติดเชื้อเริ่มต้นหลังจาก PlugX ได้ที่มั่นบนเครื่องแล้ว ผู้โจมตีจะสร้างโฟลเดอร์ Windows Defender ปลอม ขึ้นมาที่ C:\Program Files\microsoft\windows defender\ เพิ่มรายการยกเว้นให้ทั้งโฟลเดอร์นั้นและไฟล์ปฏิบัติการที่ถูกเปลี่ยนชื่อ แล้วใช้แอปพลิเคชันของ Sangfor ซึ่งเป็นโปรแกรมจริงที่ถูกเปลี่ยนชื่อเป็น defender.exe มาโหลดไฟล์ libngs.dll ที่เป็นอันตราย จากนั้น CoolClient จะฉีดโค้ดของตัวเองเข้าไปในโปรเซสชื่อ synchost.exe ซึ่ง สะกดผิดจากชื่อโปรเซสจริงของ Windows เพียงเล็กน้อย มากพอจะรอดสายตาคนที่ไล่ดูรายการโปรเซสแบบเร่งรีบ

เมื่อได้สิทธิ์ผู้ดูแลระบบแล้ว มัลแวร์จะถอดรหัสและเขียนไดรเวอร์ของตัวเองลงเป็นไฟล์ msagent.sys แล้วติดตั้งเป็นเซอร์วิสไดรเวอร์ จุดที่ต้องอ่านให้ละเอียดคือไดรเวอร์ตัวนี้มีลายเซ็นดิจิทัลติดมาด้วย แต่ใบรับรองถูกออกให้กับบริษัทชื่อ Nanjing Ranyi Technology Co., Ltd. และ หมดอายุไปหลายปีก่อนที่ปฏิบัติการนี้จะถูกพบ กรณีนี้จึงเป็นตัวอย่างชัดเจนว่ากระบวนการตรวจสอบที่หยุดอยู่แค่คำถามว่า “มีลายเซ็นหรือไม่” นั้นไม่พอ ต้องดูด้วยว่าใครเป็นผู้ออก ใบรับรองยังใช้ได้อยู่หรือไม่ และไดรเวอร์นั้นควรมีอยู่บนเครื่องตั้งแต่แรกหรือเปล่า

ความสามารถของรูตคิตตัวนี้กระทบความน่าเชื่อถือของหลักฐานที่ทีมสอบสวนเก็บได้โดยตรง ตัวกรองระบบไฟล์ของไดรเวอร์ซ่อนโฟลเดอร์และไฟล์ที่เลือกไว้ด้วยการปฏิเสธการเข้าถึงระหว่างการทำงานปกติ callback ของรีจิสทรีตัดคีย์และค่าที่ถูกปกป้องออกจากผลการไล่รายการ และไดรเวอร์ยังถอดโปรเซสออกจากรายการโปรเซสที่ทำงานอยู่ของ Windows ได้ จุดที่กระทบงานเฝ้าระวังเครือข่ายมากที่สุดคือรูตคิตนี้ hook ไดรเวอร์ Nsiproxy แล้วลบที่อยู่ไอพีของเซิร์ฟเวอร์สั่งการออกจากข้อมูลเครือข่ายที่ส่งกลับไปให้เครื่องมือในโหมดผู้ใช้ ผู้ดูแลระบบที่ไล่ดูการเชื่อมต่อบนเครื่องจึงอาจมองไม่เห็นที่อยู่ของแบ็กดอร์เลย

บทเรียนเชิงกระบวนการที่ตรงที่สุดคือ ทีมที่สรุปว่า “ตรวจแล้วไม่เจออะไร” จากมุมมองในโหมดผู้ใช้เพียงอย่างเดียว อาจกำลังดูภาพที่ผู้โจมตีเป็นคนจัดให้ดู ซึ่งเป็นเหตุผลที่การเก็บเทเลเมทรีระดับเคอร์เนลและการวิเคราะห์ทราฟฟิกจากอุปกรณ์เครือข่ายภายนอกเครื่องมีความสำคัญมากขึ้น เป้าหมายของปฏิบัติการนี้ครอบคลุมองค์กรในปากีสถาน มองโกเลีย เมียนมา และรัสเซีย ซึ่งการที่เมียนมาอยู่ในรายชื่อทำให้เรื่องนี้ไม่ใช่ปฏิบัติการที่ไกลตัวสำหรับภูมิภาคอาเซียน

3.3 ชั้นช่องทางแจกจ่าย — กรณี QuickFox และการคัดกรองเหยื่อที่หน้าประตู

กรณี QuickFox VPN มีคุณค่าเชิงวิเคราะห์สูงเป็นพิเศษ เพราะแสดงให้เห็นทั้งความประณีตของการแทรกโค้ดและตรรกะการคัดเลือกเหยื่อที่ชัดเจนผิดปกติ

จุดที่ถูกแก้ไขไม่ใช่ไฟล์โปรแกรมหลัก แต่เป็นไฟล์ HTML ที่ Electron ใช้แสดงหน้าจอ ซึ่งถูกแทรกโค้ด JavaScript เพียงสองบรรทัดให้ไปดึงเพย์โหลดสองตัวคือ firebase-app-compat.js และ firebase-analytics-compat.js จากโดเมน cdns3.51quickfox[.]cn ซึ่งตั้งชื่อให้ดูคล้ายโดเมนทางการ 51quickfox[.]com ในสองไฟล์นี้ firebase-analytics-compat.js เป็นโค้ด Google Firebase ของจริง ใช้ประกอบฉากให้ดูปกติ ส่วน firebase-app-compat.js คือเพย์โหลดที่ถูกทำให้อ่านยากอย่างหนักและเลียนแบบ Firebase SDK

ตรรกะการคัดกรองเหยื่อทำงานสองชั้น ชั้นแรกคือถ้าพบ steam.exe จะยกเลิกการทำงานทันที ซึ่งเป็นเทคนิคเลี่ยงเครื่องของผู้ใช้ทั่วไปที่ไม่ใช่เป้าหมาย ชั้นที่สองคือต้องพบอย่างน้อยหนึ่งโปรเซสที่ตรงกับรายการแอปพลิเคชัน 26 รายการ ครอบคลุมทั้งเครื่องมือของนักพัฒนา กระเป๋าคริปโต และซอฟต์แวร์องค์กร ได้แก่ Xshell, MobaXterm, Tabby Terminal, Navicat, DBeaver, Git, IntelliJ IDEA, Sublime Text, Notepad++, Visual Studio Code, Exodus Wallet, Binance, Ledger Live, Trezor Suite, Telegram รวมถึงแอปแปลภาษาและแอปสำหรับคนจีนในต่างประเทศอย่าง Ai Fanyi, Haiwang Chuhai, Yi Fanyi, Kuai Fanyi และ HaiYiTong

รายการนี้เป็นเอกสารเชิงเจตนาที่มีค่ามาก เพราะบอกได้ค่อนข้างชัดว่าผู้โจมตีไม่ได้ต้องการเครื่องจำนวนมาก แต่ต้องการเครื่องที่มีค่า กล่าวคือเครื่องของนักพัฒนาที่มีเครื่องมือเชื่อมต่อฐานข้อมูลและเซิร์ฟเวอร์ เครื่องที่มีกระเป๋าคริปโต และเครื่องที่ใช้ Telegram เป็นช่องทางสื่อสาร การเข้าถึงเครื่องประเภทนี้เพียงเครื่องเดียวสามารถต่อยอดไปยังระบบภายในองค์กรหรือสินทรัพย์ดิจิทัลได้ทันที

เมื่อผ่านทั้งสองเงื่อนไข สคริปต์จะดาวน์โหลดเพย์โหลดขั้นถัดไปเป็นไฟล์ ZIP โดยพบสองรุ่น รุ่นแรกมีมาตั้งแต่อย่างน้อยกันยายน 2568 ใช้ DLL side-loading เพื่อโหลด DLL ที่ฝัง FDMTP ไว้ข้างใน (Client.dll) ส่วนรุ่นที่สองที่พบตั้งแต่พฤษภาคม 2569 ยังใช้ DLL side-loading เหมือนเดิม แต่ DLL ทำหน้าที่เป็นตัวโหลดไฟล์เข้ารหัสชื่อ update.bin ที่บรรจุ FDMTP อีกชั้นหนึ่ง

ในเวอร์ชันล่าสุด FDMTP จะเชื่อมต่อ C2 ก่อน จากนั้นเซิร์ฟเวอร์จะตอบกลับด้วยคำสั่ง GetInfo เพื่อเก็บชื่อหน้าต่างของโปรแกรมที่กำลังใช้งานอยู่บนสุด รายชื่อโปรแกรมแอนติไวรัสที่ติดตั้ง เวอร์ชันของ .NET Framework ข้อมูลเครือข่ายและระบบปฏิบัติการ ชื่อผู้ใช้ปัจจุบัน และรายละเอียดของตัวมัลแวร์เอง หลังส่งข้อมูลชุดนี้ออกไป เซิร์ฟเวอร์จะสั่งให้ลิสต์โปรเซสอีกครั้งเพื่อกรองเครื่องที่ไม่ต้องการออก ซึ่งเป็นการคัดกรองรอบที่สามที่เกิดขึ้นฝั่งผู้ควบคุม

ประเด็นเรื่องตัวตนของเหยื่อเป็นจุดที่ต้องอ่านอย่างระวัง เนื่องจากฐานผู้ใช้หลักของ QuickFox คือนักเรียนและชาวจีนที่พำนักอยู่ต่างประเทศ Fortinet จึงสงสัยว่าแคมเปญนี้อาจเล็งพลเมืองจีนนอกประเทศเป็นหลัก แต่บริษัทก็เสนอสมมติฐานคู่แข่งไว้ด้วยว่า “แคมเปญนี้อาจมุ่งเป้าไปที่ผู้ประกอบวิชาชีพที่จำเป็นต้องติดต่อกับผู้พูดภาษาจีนเป็นภาษาแม่ อาจเพื่อวัตถุประสงค์ด้านการค้าหรือการทูต” พร้อมย้ำว่า “ไม่สามารถยืนยันสมมติฐานใดได้เลยหากไม่เข้าใจบริบทของเหยื่อในการบุกรุกขั้นที่สอง” สมมติฐานหลังนี้มีนัยต่อประเทศไทยโดยตรง เพราะกลุ่มผู้ประกอบวิชาชีพที่ต้องติดต่อกับผู้พูดภาษาจีนเพื่อการค้าหรือการทูตมีอยู่จำนวนมากในไทย และเป็นกลุ่มที่มีเหตุผลอันควรที่จะติดตั้งซอฟต์แวร์เร่งความเร็วเครือข่ายเพื่อเชื่อมต่อกลับไปยังบริการในประเทศจีน

3.4 ชั้นการแจกจ่ายภายในองค์กร — กรณี TrueConf ที่ฝ่ายไอทีกลายเป็นผู้แพร่มัลแวร์เอง

สายการโจมตีของ Head Mare เริ่มจากการเชื่อมต่อไปยังเซิร์ฟเวอร์ TrueConf ที่พอร์ต TCP 4307 ซึ่งเปิดอยู่เป็นค่าเริ่มต้น แล้วใช้ช่องโหว่สองตัวต่อกัน ตัวแรกคือ KLCERT-26-057 เพื่อรันสคริปต์ประสงค์ร้ายบนเซิร์ฟเวอร์ แต่สคริปต์นั้นจะเริ่มทำงานอยู่ในสภาพแวดล้อมแยกส่วนที่จำกัดการเข้าถึงฟังก์ชันของระบบปฏิบัติการ ผู้โจมตีจึงใช้ช่องโหว่ตัวที่สองคือ KLCERT-26-058 เพื่อหลุดออกจากสภาพแวดล้อมแยกส่วนนั้นและรันคำสั่งบนโฮสต์จริงด้วยสิทธิ์ NT AUTHORITY\SYSTEM

จากนั้นผู้โจมตีแทนที่ไฟล์ที่พาธ ...\public\js\locale.php ด้วยเว็บเชลล์ เพื่อคงช่องทางเข้าถึงระยะไกลไว้อย่างถาวร Kaspersky ระบุว่าเว็บเชลล์ตัวนี้ถูกใช้เก็บข้อมูลโครงสร้างพื้นฐานไอทีขององค์กร เข้าถึงฐานข้อมูลของ TrueConf ในระดับสิทธิ์สูง และท้ายที่สุด ใช้แทนที่ไฟล์แจกจ่าย TrueConf Client ตัวจริงด้วยเวอร์ชันที่ติดเชื้อและมี PhantomCore ฝังอยู่

จุดที่ทำให้การโจมตีครั้งนี้ต่างจากการเจาะเซิร์ฟเวอร์ทั่วไปโดยสิ้นเชิงคือ พนักงานที่ดาวน์โหลดไคลเอนต์จากเซิร์ฟเวอร์ขององค์กรตัวเองไม่มีทางสงสัยได้เลย เพราะเป็นแหล่งที่ฝ่ายไอทีบอกให้ใช้ คำแนะนำมาตรฐานที่ว่า “อย่าโหลดจากแหล่งที่ไม่รู้จัก” กลับกลายเป็นสิ่งที่ทำให้เหยื่อไว้ใจมากขึ้น

เว็บเชลล์ยังทำหน้าที่เป็นช่องทางส่งแบ็กดอร์อีกตัวชื่อ PhantomGraph ซึ่งประกอบด้วยโมดูล DLL สองตัว ตัวแรกคือ SysExcSvc.dll รับคำสั่งและส่งผลลัพธ์กลับออกไปยัง Microsoft OneDrive ที่ถูกใช้เป็นเซิร์ฟเวอร์สั่งการ ส่วนตัวที่สองคือ SysReadSvc.dll แยกวิเคราะห์คำสั่งที่โมดูลแรกรับมา ทั้งสองถูกติดตั้งเป็นบริการของ Windows ผ่านคำสั่ง PowerShell ที่เข้ารหัสแบบ Base64

การเลือกใช้ OneDrive เป็นช่องทางสั่งการเป็นประเด็นที่ทีมเฝ้าระวังต้องรับมือ เพราะทราฟฟิกที่วิ่งไปยังบริการคลาวด์ของ Microsoft มักถูกจัดเป็นทราฟฟิกปกติในองค์กรที่ใช้ Microsoft 365 อยู่แล้ว การแยกแยะระหว่างการซิงก์ไฟล์ทั่วไปกับการรับคำสั่งของมัลแวร์จึงต้องอาศัยการวิเคราะห์พฤติกรรมมากกว่าการบล็อกโดเมน ซึ่งในทางปฏิบัติแทบทำไม่ได้ด้วยการบล็อกแบบเหมารวม

รายงานฉบับเดียวกันยังกล่าวถึงแคมเปญ HelloNet ที่อาศัย กลไกอัปเดตของชุดผลิตภัณฑ์ ViPNet เจาะหน่วยงานรัฐและภาคพลังงาน ขนส่ง การศึกษา และโลจิสติกส์ของรัสเซีย ตั้งแต่อย่างน้อยพฤษภาคม 2569 โดยโหลด DLL ปลอมชื่อ wtsapi32.dll ผ่านกลไก sideload ของไบนารีอัปเดต itcsrvup64.exe แล้วฉีดตัวเองเข้าไปทำงานใน svchost.exe แคมเปญนี้มีนัยสำคัญเพราะเป็นการยึดกลไกอัปเดตซึ่งเป็นชั้นที่องค์กรไว้ใจที่สุด อย่างไรก็ตาม Kaspersky เชื่อมโยงกิจกรรมกับกลุ่ม APT ที่พูดภาษาจีนซึ่งยังไม่ทราบชื่อด้วย ความเชื่อมั่นระดับต่ำ เท่านั้น จึงไม่ควรนำไปอ้างเป็นการชี้ตัวผู้กระทำ

นอกจากนี้ Check Point ยังเคยรายงานว่าช่องโหว่ระดับสูงอีกตัวในไคลเอนต์ของ TrueConf ที่ติดตามในหมายเลข CVE-2026-3502 ถูกใช้โจมตีจริงในลักษณะซีโรเดย์ โดยเป็นส่วนหนึ่งของแคมเปญที่พุ่งเป้าไปยังหน่วยงานรัฐในภูมิภาคเอเชียตะวันออกเฉียงใต้ เพื่อติดตั้งเฟรมเวิร์กสั่งการ Havoc ประเด็นนี้แยกจากแคมเปญของ Head Mare แต่มีความหมายในเชิงภูมิภาคอย่างยิ่ง เพราะแสดงว่าผลิตภัณฑ์ TrueConf ถูกใช้เป็นเป้าโจมตีของผู้ก่อเหตุมากกว่าหนึ่งกลุ่ม และ เหยื่อไม่ได้จำกัดอยู่แค่ในรัสเซีย

3.5 ชั้นเดียวกันในรูปแบบชั่วคราว — CaptiveCrunch และการยึด “สถานที่” แทนการยึด “องค์กร”

แคมเปญ CaptiveCrunch ที่ Microsoft เปิดเผยแสดงตัวแปรที่น่าสนใจของชั้นการแจกจ่าย นั่นคือการยึดช่องทางที่ ไม่ใช่ขององค์กรเป้าหมาย แต่เป็นของสถานที่ที่พนักงานขององค์กรเป้าหมายผ่านไป

ต้นทางของปัญหาอยู่ที่สถาปัตยกรรมเครือข่ายของสถานที่ให้บริการเอง เพราะบนเครือข่ายที่ ReliaQuest เข้าไปตรวจสอบ เกตเวย์ที่ทำหน้าที่เป็น captive portal ยังทำหน้าที่เป็น DNS resolver ที่แจกให้อุปกรณ์ที่เชื่อมต่อด้วย เมื่อผู้โจมตีคุมเกตเวย์ในระดับผู้ดูแลระบบได้ ก็สามารถปลอมคำตอบ DNS และเปลี่ยนเส้นทางทราฟฟิกที่ตามมาได้ทั้งหมด รวมถึงเปลี่ยนเส้นทางการตรวจสอบการเชื่อมต่ออัตโนมัติของโน้ตบุ๊กไปยังหน้าอัปเดตเบราว์เซอร์หรือระบบปฏิบัติการปลอม

สิ่งที่ต้องระบุให้ชัดเพื่อไม่ให้ประเมินความเสี่ยงเกินจริงคือ เกตเวย์ควบคุมได้เพียงว่าผู้ใช้จะถูกพาไปที่ใด แต่ไม่ได้ติดมัลแวร์ให้เครื่องเหยื่อเงียบ ๆ เหยื่อยังต้องเป็นผู้ดาวน์โหลดหรือรันเพย์โหลดเอง โดยบางหน้าใช้เทคนิค ClickFix ที่หลอกให้เหยื่อเปิดเทอร์มินัลแล้วรันคำสั่งที่ผู้โจมตีเตรียมไว้ด้วยตัวเอง

เมื่อเหยื่อรันเพย์โหลด CornFlake ซึ่งเป็นอิมแพลนต์ที่เขียนด้วยภาษา Go จะคัดลอกตัวเองไปที่ %APPDATA%\svchost32\svchost32.exe และลงทะเบียนเซอร์วิสชื่อ svchost32 โดยใช้ชื่อแสดงผลว่า Cloud Sync Service ความสามารถที่ Microsoft ระบุครอบคลุมการจับภาพหน้าจอเมื่อเครื่องอยู่ในสถานะว่างงาน บันทึกเนื้อหาในคลิปบอร์ดพร้อมชื่อหน้าต่างที่กำลังใช้งาน ขโมยคุกกี้และรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ รวมถึงคุกกี้ที่ได้รับการป้องกันด้วย Chrome App-Bound Encryption สแกนสื่อบันทึกข้อมูลแบบถอดได้ และเปิดเชลล์จากระยะไกล

จุดที่สำคัญที่สุดในเชิงยุทธวิธีคือ ตั้งแต่วันที่ 16 กรกฎาคมเป็นต้นมา หน้าปลายทางบางหน้าเปลี่ยนไปพาผู้เข้าพักเข้าสู่กระบวนการยืนยันตัวตนแบบ device code ของ Microsoft แทน ซึ่งการกรอกรหัสที่ผู้โจมตีเตรียมไว้ลงในหน้าล็อกอินที่ถูกต้องของ Microsoft จริง ๆ จะทำให้เซสชันที่ผู้โจมตีควบคุม ได้รับสิทธิ์เข้าถึงในสถานะที่ผ่าน MFA แล้ว นี่คือตัวอย่างที่ชัดที่สุดของการยึดกลไกล็อกอินที่ถูกต้องแทนการเจาะช่องโหว่ และเป็นเหตุผลที่ Microsoft แนะนำให้ปิดกั้นกระบวนการนี้ผ่าน Conditional Access ในทุกกรณีที่องค์กรไม่จำเป็นต้องใช้

นอกจากนี้ยังพบเครื่องมืออีกตัวชื่อ ChocoShell ซึ่งเป็นสติลเลอร์ที่ทำงานในหน่วยความจำผ่าน PowerShell เก็บโทเคนสำหรับเข้าถึงและโทเคนรีเฟรชของ Microsoft 365 และ Azure Active Directory รวมถึงโทเคนของ Web Account Manager จากไฟล์นามสกุล .tbres ในแคชของ Token Broker โทเคนที่ถูกขโมยไปเหล่านี้เปิดทางให้ผู้โจมตีเล่นซ้ำเซสชันได้โดยไม่ต้องมีคุกกี้ของเบราว์เซอร์เลย ซึ่งมีนัยเชิงปฏิบัติว่า การเปลี่ยนรหัสผ่านอย่างเดียวไม่ตัดการเข้าถึง ต้องเพิกถอนโทเคนและบังคับลงชื่อเข้าใช้ใหม่ด้วย

3.6 ชั้น dependency ของนักพัฒนา — จากการปลอมชื่อสู่การซอยชิ้นส่วน

แคมเปญ 18 แพ็กเกจ npm ที่เล็งนักพัฒนาซึ่งใช้เครื่องมือภายในของ Alibaba แสดงวิวัฒนาการที่ชัดเจนจากเทคนิค dependency confusion แบบเดิม

แพ็กเกจตัวเด่นคือ lib-mtop ซึ่งเป็นแพ็กเกจแบบไม่มีสโคปที่ ตั้งชื่อซ้ำกับแพ็กเกจส่วนตัวของ Alibaba ภายใต้สโคป @ali แพ็กเกจนี้ถูกเผยแพร่ครั้งแรกช่วงพฤศจิกายน 2566 โดยไม่มีฟังก์ชันอะไรเลย ก่อนที่จะมีการอัปโหลดเวอร์ชันใหม่สามตัวในช่วงมีนาคมถึงเมษายน 2569 ซึ่งแถมโค้ดโหลดเดอร์ที่ดึงเพย์โหลด JavaScript จากเซิร์ฟเวอร์ระยะไกลด้วย curl แล้วสั่งรันทันที รูปแบบ “สร้างบัญชีและแพ็กเกจเปล่าไว้ก่อน แล้วรอให้ผ่านการตรวจสอบและสะสมความน่าเชื่อถือ ก่อนเติมโค้ดร้ายในภายหลัง” คือสิ่งที่ทำให้เครื่องมือสแกนแบบดูครั้งเดียวตอนเพิ่ม dependency ใช้ไม่ได้ผล

จุดที่ทำให้แคมเปญนี้ต่างจากการวางแพ็กเกจปลอมทั่วไปคือ ผู้ก่อเหตุแยกโค้ดโหลดเดอร์ออกเป็นชิ้น ๆ แล้วฝังกระจายไว้ในหลายแพ็กเกจที่ถูกส่งถึงเป้าหมายผ่านสายพันธุ์ dependency เดียวกัน นักวิจัยพบว่ามีแพ็กเกจตัวล่อชั้นบนมากถึง 10 ตัวที่พึ่งพา smart-config-manager ซึ่งทำหน้าที่เป็นสะพานชั้นกลางเชื่อมไปยังแพ็กเกจชั้นล่างที่บรรจุตรรกะโหลดเดอร์ นาย Karlo Zanki นักวิจัยของ Socket อธิบายว่า “เมื่อแพ็กเกจแบบนี้ถูกติดตั้งในสภาพแวดล้อมที่เข้าถึงแพ็กเกจส่วนตัวแบบมีสโคปที่ถูกเลียนแบบได้ กระบวนการ resolve dependency จะทำงานตามปกติ พร้อมกับฟังก์ชันพิเศษเล็ก ๆ ที่แถมมากับ dependency เพิ่มเติมที่ถูกติดตั้งไปด้วย”

พฤติกรรมของเพย์โหลดแตกต่างกันไปตามแพลตฟอร์ม บน Windows สั่งหยุดการทำงานของแอปพลิเคชัน Alilang ซึ่งเป็นเครื่องมือด้านความมั่นคงปลอดภัยองค์กร VPN และงานสำนักงาน แล้วแทนที่โค้ดแกนกลางของแอปด้วยเวอร์ชันที่ฝังโทรจันไว้ บน Linux ดาวน์โหลดไบนารีไปไว้ที่ /tmp รันเป็นโปรเซสแยก แล้วลบไฟล์ออกจากดิสก์หลังจากถูกโหลดเข้าหน่วยความจำแล้ว บน macOS แทรกสคริปต์เบื้องหลังลงในไฟล์ ~/.zshrc และตั้ง Launch Agent ให้ทำงานทุก 10 นาที ส่วนเพย์โหลดชั้นสุดท้ายยังคงอยู่ในระบบด้วยการฉีดโค้ดเข้าไปในแอปพลิเคชันสำหรับทำงานร่วมกันที่ใช้แพร่หลายในองค์กร ได้แก่ DingTalk, Wukong และ Qoder

นาย Zanki ระบุว่า “เป้าหมายของแคมเปญดูเหมือนจะเป็นการจารกรรมทางอุตสาหกรรม” และเสริมประเด็นที่สำคัญมากสำหรับการประเมินความเสี่ยงว่า “แม้จำนวนดาวน์โหลดของแพ็กเกจประสงค์ร้ายจะไม่มากนัก แต่ผลกระทบของแคมเปญประเมินได้ยาก เพราะลักษณะที่เจาะจงเป้าหมายและความสามารถในการแพร่กระจายด้านข้างของเพย์โหลดชั้นสุดท้าย” กล่าวอีกอย่างคือจำนวนดาวน์โหลดที่ต่ำไม่ได้แปลว่าความเสียหายต่ำ เมื่อผู้โจมตีคัดเป้าหมายมาแล้ว ซึ่งเป็นเกณฑ์ที่ทีมความปลอดภัยจำนวนมากยังใช้ผิด

3.7 การซ่อนโครงสร้างพื้นฐานบนบล็อกเชน — NullReceiver กับข้อจำกัดที่แลกมา

เทคนิค NullReceiver ที่ผูกกับปฏิบัติการ Contagious Interview ของเกาหลีเหนือแสดงทิศทางที่ชัดเจนของการทำให้โครงสร้างพื้นฐานฝั่งผู้โจมตีทนทานต่อการถอดถอน

กลไกทำงานด้วยการอ่านที่อยู่ผู้รับจากธุรกรรมขาออกล่าสุดของกระเป๋าเงิน Ethereum ที่ผู้โจมตีควบคุม ที่อยู่ผู้รับนั้นไม่ใช่ปลายทางของการชำระเงินจริง แต่ถูกเลือกไบต์มาอย่างจงใจ เพื่อให้ค่าบางส่วนแปลงกลับออกมาเป็นหมายเลข IP ของเซิร์ฟเวอร์ C2 ธุรกรรมที่ใช้ไม่มีมูลค่าการชำระเงินและไม่มีข้อมูล input ใด ๆ แนบมา ซึ่งเป็นจุดที่ทำให้มันกลมกลืนไปกับกิจกรรมทั่วไปบนบล็อกเชน เพราะไม่มีการเรียกใช้สัญญาอัจฉริยะ ไม่มีสคริปต์ซ่อนอยู่ และไม่มีฟิลด์เพย์โหลดให้เครื่องมือด้านความปลอดภัยเข้าไปตรวจสอบ

การออกแบบนี้ต่างจาก EtherHiding ที่ผู้โจมตีเก็บข้อมูลคำสั่งไว้ใน calldata ของธุรกรรมหรือในสัญญาอัจฉริยะ NullReceiver มีข้อจำกัดมากกว่าตรงที่บรรจุข้อมูลได้เพียงเล็กน้อยระดับหมายเลข IP เท่านั้น แต่แลกมาด้วยต้นทุนการดำเนินการที่ถูกกว่าและสังเกตเห็นบนเชนได้ยากกว่า ซึ่งเป็นการแลกเปลี่ยนที่สะท้อนวุฒิภาวะเชิงปฏิบัติการของกลุ่ม กล่าวคือผู้โจมตีเลือกความสามารถที่น้อยลงเพื่อแลกกับความอยู่รอดที่นานขึ้น

ในเชิงการป้องกัน จุดที่มีประโยชน์คือเมื่อรู้แล้วว่ากระเป๋าเงินใดเป็นของผู้โจมตี ฝ่ายป้องกันสามารถติดตามธุรกรรมของกระเป๋านั้น และระบุโครงสร้างพื้นฐานชุดใหม่ที่ถูกเข้ารหัสไว้ได้ก่อนที่ระบบซึ่งติดเชื้อจะเชื่อมต่อไปถึง ซึ่งเป็นการพลิกข้อได้เปรียบของผู้โจมตีให้กลายเป็นสัญญาณเตือนล่วงหน้าของฝ่ายตั้งรับ ส่วนสัญญาณที่ใช้ได้จริงในระดับเครือข่ายองค์กรคือ การที่แอปพลิเคชันซึ่งไม่ควรยุ่งกับคริปโตกลับส่งทราฟฟิกไปยังผู้ให้บริการ RPC ของ Ethereum อย่าง 1rpc[.]io หรือ eth[.]drpc[.]org

ข้อจำกัดสำคัญที่ต้องระบุคือ นักวิจัยไม่ได้รันแพ็กเกจเหล่านี้จริง ข้อค้นพบทั้งหมดมาจากการวิเคราะห์แบบสถิตและการตรวจสอบบล็อกเชนแบบอ่านอย่างเดียว จึงยังไม่มีข้อมูลว่าเพย์โหลดขั้นถัดไปทำอะไรบ้างเมื่อทำงานจริง

ภาพที่ 4: เปรียบเทียบห่วงโซ่การโจมตีสามรูปแบบที่แทรกเข้าห่วงโซ่ความไว้วางใจคนละชั้น ได้แก่ QuickFox ที่แทรกในตัวติดตั้งของแท้พร้อมตรรกะคัดกรองเหยื่อสองชั้น TrueConf ที่ยึดเซิร์ฟเวอร์แล้วสลับไฟล์แจกจ่ายภายในองค์กร และ Zbtlink ที่ฝังแบ็กดอร์มาตั้งแต่ระดับเฟิร์มแวร์จากโรงงาน

4. ปฏิบัติการรัฐชาติ: สี่ชาติ สี่รูปแบบการใช้ห่วงโซ่ความไว้วางใจ

การจัดกลุ่มตามประเทศต้นทางมีข้อจำกัดที่ต้องระบุไว้ก่อน คือการระบุตัวผู้กระทำ (attribution) ในรายงานของผู้ให้บริการเอกชนมักมาพร้อมระดับความเชื่อมั่นที่ต่างกัน และหลายกรณีในเดือนนี้ผู้วิจัยเองเลือกไม่ฟันธง บทวิเคราะห์ฉบับนี้จึงระบุระดับความเชื่อมั่นกำกับไว้ทุกครั้ง และขอให้ผู้อ่านใช้การจัดกลุ่มนี้เป็นกรอบทำความเข้าใจรูปแบบ ไม่ใช่ข้อสรุปทางการเมือง

4.1 จีน — กระจายตัวครอบคลุมทุกชั้นของห่วงโซ่

ปฏิบัติการที่ถูกประเมินว่าเชื่อมโยงกับจีนในเดือนนี้มีลักษณะเด่นคือ ความหลากหลายของชั้นที่ถูกโจมตี โดยปรากฏครบทั้งห้าชั้นของห่วงโซ่ความไว้วางใจภายในเดือนเดียว

ที่ชั้นผู้ผลิต คือกรณี Zbtlink ที่กล่าวถึงไปแล้ว ที่ชั้นช่องทางแจกจ่าย คือ QuickFox ที่ทับซ้อนเชิงยุทธวิธีกับ Mustang Panda ซึ่งเป็นกลุ่มที่ Cloud Thunder เคยจัดทำบทวิเคราะห์เฉพาะไว้แล้ว และมีประวัติพุ่งเป้าประเทศไทยและภูมิภาคอาเซียนมาต่อเนื่อง ที่ชั้น dependency คือแคมเปญ 18 แพ็กเกจ npm ที่เล็งนักพัฒนาของ Alibaba ซึ่งมีคอมเมนต์ภาษาจีนในซอร์สโค้ดและคอมมิตบน GitHub ประทับเวลาด้วยเขตเวลา UTC+08:00 อันเป็นรูปแบบของ ผู้ก่อภัยที่พูดภาษาจีนซึ่งไล่ล่านักพัฒนาที่พูดภาษาจีนด้วยกันเอง ที่ชั้นการเซ็นรับรอง คือ HoneyMyte กับใบรับรองที่หมดอายุของบริษัทจีน และ ที่ชั้น AI คือ SilkParasite ที่พบร่องรอย AI ช่วยพัฒนา

นอกจากนี้ยังมีสองปฏิบัติการที่เจาะหน่วยงานรัฐในเอเชียกลางโดยตรง ซึ่งควรอ่านคู่กันเพราะมีเป้าหมายทับซ้อน แต่เป็นคนละชุดเครื่องมือ

ชุดแรกคือ OctLurk และ SilkLurk ที่ Kaspersky เปิดเผยเมื่อ 1 สิงหาคม โจมตีองค์กรภาครัฐในอัฟกานิสถาน คีร์กีซสถาน ทาจิกิสถาน อุซเบกิสถาน คาซัคสถาน และซีเรีย ตั้งแต่มกราคม 2568 เป้าหมายกระจายตั้งแต่สาธารณสุข งานวิจัย สำนักงานราชการ กระทรวงการต่างประเทศ โลจิสติกส์ หน่วยงานบังคับใช้กฎหมาย ไปจนถึงสถานศึกษาของรัฐ ซึ่งเป็นชุดเป้าหมายที่สอดคล้องกับงานเก็บข่าวกรองมากกว่าอาชญากรรมเรียกค่าไถ่

สายงานหลังการเจาะระบบของ OctLurk มีความละเอียดที่ควรบันทึกไว้ เริ่มจากเก็บลายนิ้วมือของโฮสต์ ตามด้วย รันคำสั่งส่งออกเหตุการณ์ล็อกอินสำเร็จเฉพาะแบบ remote interactive แล้วค้นเหตุการณ์เหล่านั้นเจาะจงรายผู้ใช้ เพื่อไล่หาบัญชีที่มีค่าต่อการขยายสิทธิ์ จากนั้นดึงค่าแฮชของรหัสผ่านจากโดเมนคอนโทรลเลอร์ด้วย secretsdump.py ของชุด Impacket แล้ววางคีย์ล็อกเกอร์ที่ ปลอมตัวเป็นโปรแกรม AnyDesk ควบคู่กับการดึงรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ ก่อนสร้างช่องทางเข้าถึงระยะไกลด้วยเอเจนต์ Pandora RC และสแกนเครือข่ายด้วย Fscan หาบริการบนพอร์ต SSH 22 และ MySQL 3306 แล้วลองรหัสผ่านจากไฟล์ pp.txt

ฝั่ง SilkLurk ใช้ cmd.exe เปิด PowerShell แล้วเชื่อมต่อทรัพยากรที่แชร์บนเครือข่ายด้วยข้อมูลรับรองระดับผู้ดูแลระบบ ค้นและรวบรวมเอกสารลับไว้ที่จุดพัก ตัดการเชื่อมต่อจากแชร์ แล้วใช้โปรแกรมบีบอัดที่ถูกกฎหมายอย่าง WinRAR และ 7-Zip บีบอัดข้อมูลที่ขโมยมา ซึ่งเป็นรูปแบบที่ตรวจจับได้ถ้าเปิดล็อกที่เหมาะสม เพราะการเรียกใช้ WinRAR หรือ 7-Zip ในบริบทที่ไม่ใช่งานปกติของผู้ใช้เป็นสัญญาณที่ค่อนข้างชัด

ชุดที่สองคือ SilkParasite ที่ Bitdefender เปิดเผยเมื่อ 19 สิงหาคม ใช้ RAT ถึง 7 ตระกูล ซึ่ง 5 ตัวไม่เคยถูกบันทึกมาก่อน ได้แก่ DriveSilkRAT, CookiETagRAT, NomadRAT, GoginRAT และ NodeEdgeRAT ปฏิบัติการนี้ถูกประเมินด้วย ความมั่นใจระดับปานกลาง ว่าเชื่อมโยงกับจีน โดยหลักฐานหลักคือการใช้แบ็กดอร์ BLOODALCHEMY ซึ่งเป็นรุ่นปรับปรุงของ Deed RAT ที่สืบทอดมาจาก ShadowPad และ ShadowPad เองก็เป็นวิวัฒนาการของ PlugX

รายละเอียดของแต่ละตระกูลสะท้อนแนวคิด “ใช้บริการที่ถูกกฎหมายเป็นทางเดินของทราฟฟิก” อย่างเป็นระบบ

• DriveSilkRAT (.NET/C++) ใช้ Google Drive เป็นช่องทางสั่งการ โดยคอยตรวจโฟลเดอร์ที่กำหนดเพื่อรับงาน แล้วรันผ่านระบบปลั๊กอิน .NET ในหน่วยความจำ ก่อนอัปโหลดผลลัพธ์กลับไปยังโฟลเดอร์เดิม รองรับปลั๊กอิน 12 ตัว
• CookiETagRAT (C++) ใช้ ส่วนหัวตอบกลับ HTTP Cookie และ ETag เป็นช่องทาง C2 ซึ่งเป็นฟิลด์ที่แทบไม่มีระบบเฝ้าระวังใดตรวจเนื้อหา
• NomadRAT (C++) มีตัวประสานงานหลัก ไลบรารีส่งข้อมูลแยกต่างหากที่รับผิดชอบทราฟฟิก C2 ทั้งหมด และปลั๊กอินที่ถูกดึงจากเซิร์ฟเวอร์ด้วยหมายเลขระบุตัวเฉพาะเมื่อจำเป็น
• GoginRAT (Go) มีสถาปัตยกรรมใกล้เคียงกับ NomadRAT
• NodeEdgeRAT (JavaScript) รวมความสามารถทั้งหมดไว้ในสคริปต์เดียว

อิมแพลนต์ทั้ง 7 ตัวเขียนด้วยภาษาโปรแกรมต่างกันถึง 4 ภาษา ได้แก่ .NET, C++, Go และ JavaScript โดยใช้ DLL sideloading เป็นช่องทางส่งมอบหลัก และวิธีที่ใช้คือ การหอบสำเนาโปรแกรมที่มีลายเซ็นถูกต้องมาเองแทนที่จะอาศัยไบนารีที่ติดตั้งอยู่บนเครื่องอยู่แล้ว ซึ่งเป็นรายละเอียดที่สำคัญต่อการตั้งกฎตรวจจับ

ห่วงโซ่เริ่มจาก ไฟล์บีบอัด RAR ที่ตั้งรหัสผ่านไว้ โดยรหัสผ่านอยู่ในเนื้อความอีเมล ซึ่งเป็นเทคนิคที่ทำให้ระบบสแกนไฟล์แนบที่ปลายทางเปิดไฟล์ไม่ได้ เอกสารล่อถูกปั้นให้ดูเกี่ยวข้องกับหน่วยงานภาครัฐในอุซเบกิสถาน เติร์กเมนิสถาน คีร์กีซสถาน ทาจิกิสถาน และคาซัคสถาน โดยหลายฉบับปลอมเป็นกระทรวงที่ระบุชื่อเจาะจง และพบเอกสารอีกฉบับที่จ่าหน้าถึงหน่วยงานภาครัฐของจอร์เจีย นอกจากนี้ มาโครจะตรวจสอบก่อนว่าเครื่องเป้าหมายติดตั้งและกำลังรันซอฟต์แวร์ป้องกันไวรัสของ Kaspersky อยู่หรือไม่ก่อนที่จะทำงานต่อ ซึ่งบ่งชี้ว่าผู้โจมตีศึกษาสภาพแวดล้อมของภูมิภาคเป้าหมายมาก่อนลงมือ ไม่ใช่การกวาดโจมตีแบบสุ่ม

ทั้งนี้ Bitdefender สังเกตพบเครื่องที่ติด DriveSilkRAT ราว 65 เครื่อง ส่วนใหญ่อยู่ในภูมิภาคเอเชีย และ ไม่ได้ระบุจำนวนหน่วยงานที่ถูกเจาะสำเร็จ ไม่ได้บอกว่าข้อมูลใดถูกนำออกไป ซึ่งเป็นข้อจำกัดที่ต้องระบุ

4.2 รัสเซีย — เน้นการยึดช่องทางที่มนุษย์เป็นผู้ตัดสินใจ

ปฏิบัติการที่ถูกประเมินว่าเชื่อมโยงกับรัสเซียในเดือนนี้มีจุดร่วมที่ต่างจากจีนอย่างชัดเจน คือ แทบทุกกรณีมีมนุษย์อยู่ในลูป และอาศัยบริบททางสังคมเป็นตัวผลักให้เหยื่อลงมือเอง

กรณี Head Mare กับ TrueConf ที่กล่าวถึงไปแล้วเป็นการยึดช่องทางที่องค์กรไว้ใจ กรณี CaptiveCrunch ที่ผูกกับ Storm-2945 ซึ่ง Microsoft ประเมินว่าเป็นคลัสเตอร์ย่อยของ Midnight Blizzard / APT29 / Cozy Bear ในสังกัด SVR เป็นการยึดสถานที่แทนการยึดองค์กร และ กรณี UAC-0145 กับ SopraVPN ที่ CERT-UA ระบุว่าเป็นกลุ่มย่อยของ Sandworm / APT44 เป็นการยึดกระบวนการรับสมัครงาน

กรณี SopraVPN สมควรได้รับการวิเคราะห์อย่างละเอียด เพราะเป็นตัวอย่างที่สมบูรณ์ของการ “ยืมความน่าเชื่อถือของแพลตฟอร์มที่ถูกกฎหมายทุกขั้นตอน”

ผู้โจมตีเริ่มจากอ่านเรซูเม่ที่เหยื่ออัปโหลดไว้บนเว็บไซต์หางาน แล้วติดต่อไปโดยตรงในนามบริษัทไอที เช่น ATLAS Business Group จากนั้นย้ายบทสนทนาไปยัง Telegram ซึ่งจะมีผู้ที่อ้างตัวเป็นผู้จัดการฝ่ายบุคคลมาคุยด้วย โดยอ้างว่ารับผิดชอบการคัดกรองผู้สมัครให้ Sopra Steria Bulgaria ซึ่งเป็นบริษัทที่ปรึกษาและพัฒนาซอฟต์แวร์ที่ มีอยู่จริงในยุโรป ก่อนเชิญเข้าประชุมทางวิดีโอบน Zoom

CERT-UA ระบุอย่างระมัดระวังว่าการประชุมเกิดขึ้นจริงตามนัดกับชายที่พูดภาษาอังกฤษและดูอายุราว 30 ถึง 35 ปี แต่ หน่วยงานไม่ฟันธงว่าคนที่ปรากฏในการสัมภาษณ์เป็นบุคคลจริงหรือเป็นตัวตนสังเคราะห์ที่สร้างขึ้นด้วยปัญญาประดิษฐ์ ซึ่งเป็นความไม่แน่นอนที่ควรบันทึกไว้ตามตรง เพราะมันเปลี่ยนการประเมินเรื่องกำลังคนที่ปฏิบัติการนี้ต้องใช้อย่างมีนัยสำคัญ หากเป็นตัวตนสังเคราะห์ ปฏิบัติการลักษณะนี้จะขยายขนาดได้โดยไม่ต้องเพิ่มบุคลากร ซึ่งเป็นจุดที่แกน AI มาบรรจบกับแกนวิศวกรรมสังคม

กับดักอยู่ที่ ไฟล์คอนฟิกสำหรับต่อ WireGuard ที่ถูกตั้งค่ามาให้แสดงข้อผิดพลาดปลอม จากนั้นผู้โจมตีจึงชักชวนให้เหยื่อไปดาวน์โหลดไคลเอนต์ WireGuard ที่ถูกดัดแปลงชื่อ SopraVPN จาก SourceForge ซึ่งหน้าดาวน์โหลดยังใส่ลิงก์ไปยังโดเมน soprasteria-bg[.]com เพื่อเพิ่มความน่าเชื่อถือ ทั้งที่โดเมนนี้ไม่มีความเกี่ยวข้องใด ๆ กับบริษัทตัวจริง

กลไกทางเทคนิคของไคลเอนต์ดัดแปลงเป็นจุดที่ประณีตที่สุด CERT-UA อธิบายว่า “แก่นของกลลวงนี้คือไคลเอนต์ VPN ของผู้โจมตีถูกคอมไพล์มาจากซอร์สโค้ดของ WireGuard พร้อมการดัดแปลงหลายจุด โดยเฉพาะการเพิ่มการรองรับตัวเลือกนอกมาตรฐานชื่อ SymmetricKey เข้าไปในกลไกประมวลผลไฟล์ตั้งค่า ซึ่งค่าของมันบรรจุข้อมูลที่เข้ารหัส BASE64 สำหรับ AES-256-GCM ได้แก่ nonce, ciphertext และ authentication tag” และเสริมว่า “ค่าขนาด 32 ไบต์ที่ได้จากการถอดรหัส PrivateKey ถูกใช้เป็นกุญแจ AES-256 จากนั้นโค้ด PowerShell ที่ถอดรหัสได้จะถูกส่งต่อไปยังกลไกมาตรฐานชื่อ runScriptCommand ซึ่ง WireGuard ใช้สำหรับรันคำสั่งที่ระบุไว้ในตัวเลือก PostUp”

รายละเอียดตรงนี้อธิบายว่าทำไมกลลวงจึงแนบเนียน เพราะผู้โจมตีไม่ได้สร้างกลไกรันคำสั่งขึ้นมาใหม่ แต่ยืมกลไกที่ WireGuard มีอยู่แล้วโดยชอบธรรมอย่าง PostUp และ runScriptCommand มาใช้ต่อ ส่วนกุญแจถอดรหัสก็คือค่า PrivateKey ในไฟล์คอนฟิกเดียวกันซึ่งดูเป็นของปกติทุกประการ ผลรวมคือไฟล์ตั้งค่าที่อ่านผ่าน ๆ แล้วไม่มีอะไรน่าสงสัย กลับเป็นทั้งกุญแจและเพย์โหลดในตัวเดียว

บน Windows คำสั่งที่ถูกรันจะสร้าง scheduled task ไว้เพื่อคงอยู่ในระบบ แล้วดาวน์โหลดเพย์โหลดเพิ่มเติม ส่วนบน Linux จะใช้ cURL ดึงไฟล์ปฏิบัติการอีกตัว โดยดึงผ่านช่องทาง VPN ที่เพิ่งเชื่อมต่อนั่นเอง ซึ่งหมายความว่าทราฟฟิกการดาวน์โหลดจะถูกห่อไว้ในอุโมงค์ที่ระบบเฝ้าระวังฝั่งเครือข่ายมองไม่เห็นเนื้อใน

เป้าหมายของปฏิบัติการนี้คือคนไอทีและผู้ดูแลระบบโดยเฉพาะ ซึ่งเป็นการเลือกเป้าที่คุ้มค่าที่สุด เพราะบุคคลเหล่านี้มักถือสิทธิ์สูงในระบบขององค์กรที่ทำงานอยู่ และรูปแบบการโจมตียัง เจาะจงช่องว่างที่มาตรการขององค์กรครอบไม่ถึง เพราะการสมัครงานเป็นกิจกรรมส่วนตัวที่คนทำบนเครื่องของตัวเองนอกเวลางาน อีเมลที่ใช้ก็เป็นอีเมลส่วนตัว การพูดคุยเกิดบน Telegram และการติดตั้งโปรแกรมทดสอบก็ดูเป็นเรื่องส่วนบุคคล นโยบายความปลอดภัยที่บังคับเฉพาะบนอุปกรณ์ขององค์กรจึงไม่มีผลกับเส้นทางนี้เลย

ประเด็นที่ควรบันทึกไว้ในภาพกว้างคือ การปรากฏตัวของปฏิบัติการนี้ทำให้ผู้โจมตีที่โยงกับรัสเซีย เข้าร่วมกลุ่มเดียวกับผู้โจมตีจากจีน อิหร่าน และเกาหลีเหนือ ที่ใช้แคมเปญรับสมัครงานปลอมเป็นช่องทางเข้าถึงระบบเป้าหมายมาก่อนหน้านี้ กลวิธีนี้จึงไม่ใช่ลายเซ็นเฉพาะของกลุ่มใดกลุ่มหนึ่งอีกต่อไป ซึ่งแปลว่า องค์กรไม่สามารถใช้คำถามว่า “ใครน่าจะเล็งเรา” เป็นเกณฑ์ประเมินความเสี่ยงของช่องทางนี้ได้อีก

4.3 เกาหลีเหนือ — ผสมงานจารกรรมเข้ากับการหารายได้ และลงทุนกับ AI เป็นโครงสร้างพื้นฐาน

ปฏิบัติการของเกาหลีเหนือในเดือนนี้แสดงลักษณะเฉพาะที่ต่างจากอีกสามชาติ คือ การผสมภารกิจข่าวกรองเข้ากับภารกิจหารายได้อย่างแยกไม่ออก และ การลงทุนกับโครงสร้างพื้นฐาน AI ของตัวเอง

ด้านห่วงโซ่อุปทาน คือเทคนิค NullReceiver ที่ผูกกับ Contagious Interview ซึ่งเป็นปฏิบัติการที่เล่นงานนักพัฒนาผ่านโครงการและแพ็กเกจที่ดูน่าเชื่อถือมาแล้วหลายครั้ง จุดที่ควรสังเกตคือแพ็กเกจที่ใช้ (bianira-ui และ fluid-type-ui) ปลอมตัวเป็นปลั๊กอินของ Tailwind CSS ที่ถูกต้อง ซึ่งเป็นเครื่องมือที่ใช้กันแพร่หลายในงานพัฒนาส่วนหน้า และ การที่ผู้ก่อภัยที่มีรัฐหนุนหลังเลือกใช้ช่องทางนี้แทนการหาช่องโหว่ ยืนยันว่าการหลอกให้ติดตั้งของปลอมยังคงเป็นเส้นทางที่ได้ผลคุ้มค่ากว่าสำหรับพวกเขา

ด้าน AI คือรายงานของ Genians เรื่อง Kimsuky ซึ่งอยู่ภายใต้สำนักงานลาดตระเวนใหญ่ของเกาหลีเหนือ และถูกกระทรวงการคลังสหรัฐฯ คว่ำบาตรเมื่อปี 2566 หลักฐานแกนกลางคือเครื่องมือสำหรับรันโมเดลภาษาแบบออฟไลน์ ได้แก่ Ollama, GPT4All และ Msty ซึ่งพบทั้งหมดบนโครงสร้างพื้นฐานที่ Genians เชื่อมโยงกับกลุ่มนี้

จุดที่ทำให้หลักฐานมีน้ำหนักคือรายงานระบุว่าเครื่องมือเหล่านั้นถูกรันหรือถูกตั้งค่าแล้ว ไม่ใช่เพียงถูกดาวน์โหลดมาเก็บไว้เฉย ๆ โดย Ollama ได้สร้างคีย์ที่โปรแกรมจะสร้างขึ้นเมื่อเปิดใช้งานครั้งแรก ส่วน GPT4All มีไฟล์ localdocs_v3.db ที่ถูกตั้งค่าไว้แล้ว ซึ่งเป็นฐานข้อมูลที่ฟีเจอร์ LocalDocs ใช้ทำ retrieval-augmented generation หรือ RAG การมีฐานข้อมูลตัวนี้จึงเป็นหลักฐานว่าผู้ก่อเหตุพยายามเชื่อมเอกสารที่ตัวเองถือครองอยู่เข้ากับระบบ AI แต่ไม่ได้พิสูจน์ว่าเอกสารเหล่านั้นเป็นของที่ขโมยมา ซึ่งเป็นเส้นแบ่งที่รายงานระบุไว้อย่างระมัดระวัง

บนโครงสร้างพื้นฐานเดียวกัน Genians ยังพบไลบรารีสำหรับนักพัฒนา ได้แก่ LLaMaSharp, Semantic Kernel ของ Microsoft และ Microsoft.Agents.AI ซึ่งเป็นส่วนประกอบสำหรับ สร้างฟังก์ชัน AI ลงในซอฟต์แวร์ C# และ .NET ที่เขียนขึ้นเอง นอกจากนี้ยังพบไฟล์ของ Whisper ซึ่งเป็นระบบถอดเสียงเป็นข้อความของ OpenAI พร้อมคู่มือการสกัดข้อความจากไฟล์เสียง และร่องรอยการใช้งานจริงของ Cursor ซึ่งเป็นเครื่องมือแก้ไขโค้ดที่ขับเคลื่อนด้วย AI

นักวิจัยยังกู้คืนคำสั่งของผู้ปฏิบัติการรายหนึ่งได้ เป็นการขอให้ตรวจชุดข้อมูลเพื่อหารายละเอียดกระเป๋าเงินคริปโต ข้อมูลรับรองตัวตนของ Gmail และประวัติการลงทะเบียนเว็บไซต์ โดยลงท้ายว่า “ยิ่งวิเคราะห์ละเอียดยิ่งดี กรุณาอย่าทำแบบลวก ๆ” คำสั่งนี้เป็นหลักฐานที่แสดงการผสมภารกิจได้ชัดที่สุด เพราะรวมทั้งข้อมูลรับรองสำหรับงานข่าวกรองและกระเป๋าเงินคริปโตสำหรับงานหารายได้ไว้ในคำขอเดียวกัน อย่างไรก็ตามรายงานไม่สามารถยืนยันได้ว่าคำขอชิ้นนี้ถูกส่งเข้าไปยังบริการ AI จริงหรือไม่

ไม่มีเครื่องมือชิ้นใดในรายการนี้ที่แปลกประหลาด ทั้งหมดเป็นซอฟต์แวร์ที่นักพัฒนาทั่วไปใช้กันอยู่แล้ว สิ่งที่ใหม่คือการที่กลุ่มจารกรรมระดับรัฐชาติประกอบเครื่องมือเหล่านี้เข้าด้วยกันอย่างจงใจ เพื่อผลัก AI ให้ลึกเข้าไปในกระบวนการทำงานของการโจมตีเอง

ผลกระทบเชิงปฏิบัติการที่สำคัญที่สุดของการย้ายมารันโมเดลเองคือการลบร่องรอยอีกชั้นหนึ่ง เพราะที่ผ่านมาการใช้บริการ AI สาธารณะทิ้งบันทึกไว้ที่ผู้ให้บริการ ซึ่งบริษัทเจ้าของโมเดลเคยใช้ระบุและปิดบัญชีของกลุ่มรัฐหนุนหลังมาแล้ว การย้ายมาทำงานออฟไลน์ตัดช่องทางการมองเห็นนั้นทิ้งทั้งหมด และทำให้กลุ่มป้อนข้อมูลอ่อนไหวเข้าโมเดลได้โดยไม่ต้องกังวลว่าจะถูกตรวจสอบ

ในทางกลับกัน ควรระวังไม่ตีความเกินกว่าที่หลักฐานรองรับ ชุดเครื่องมือออฟไลน์ที่เพิ่งพบยังไม่เคยถูกแสดงให้เห็นว่าทำงานกับเหยื่อจริงในรายงานที่มีอยู่ Genians ก็ไม่พบหลักฐานว่ากลุ่มนี้ฝึกโมเดลขึ้นมาเอง และสำนักข่าว Reuters ระบุว่าข้อค้นพบใหม่ชุดนี้ยังไม่สามารถตรวจสอบยืนยันได้อย่างเป็นอิสระ สิ่งที่กำลังเกิดคือการวางรากฐานเพื่อทำให้บางส่วนของปฏิบัติการเป็นอัตโนมัติ ไม่ใช่การเปลี่ยนโฉมการโจมตีที่เสร็จสมบูรณ์แล้ว

แต่ผลกระทบต่อฝ่ายตั้งรับเกิดขึ้นแล้วในวันนี้ เพราะเมื่อ AI เป็นคนเขียนเหยื่อล่อ ร่องรอยเดิมอย่างสำนวนแปลที่ขัดเขิน การจัดรูปแบบที่งุ่มง่าม และคำสะกดผิด ก็จะหายไป องค์กรที่ยังวัดผลการฝึกอบรมด้วยอัตราการกดลิงก์ในอีเมลจำลองที่เขียนหยาบ ๆ จะประเมินความพร้อมของตัวเองสูงเกินจริง สิ่งที่ต้องเฝ้าดูจึงเปลี่ยนจากคุณภาพของข้อความ ไปเป็นสิ่งที่การบุกรุกทำจริงบนเครื่อง โดยเฉพาะสายที่เริ่มจากไฟล์ LNK แล้วตามด้วย PowerShell ซึ่งเป็นลายเซ็นหลักของแคมเปญ Operation GitPower ที่ใช้ GitHub เป็นช่องทางสั่งการ

4.4 อิหร่าน — สองภารกิจที่แยกกันชัดเจน คือจารกรรมเชิงเศรษฐกิจและการเตรียมบ่อนทำลาย

ปฏิบัติการของอิหร่านในเดือนนี้มีคุณค่าเชิงวิเคราะห์สูงเป็นพิเศษ เพราะแสดง สองภารกิจที่มีตรรกะต่างกันโดยสิ้นเชิงแต่ดำเนินไปพร้อมกัน

4.4.1 ภารกิจจารกรรมเชิงเศรษฐกิจระยะยาว — คดี Mabna Institute

คำฟ้องของกระทรวงยุติธรรมสหรัฐฯ เมื่อ 19 สิงหาคม 2569 ต่อชาวอิหร่าน 17 ราย ในเครือ Mabna Institute เป็นเอกสารที่ให้ภาพขนาดของปฏิบัติการจารกรรมเชิงเศรษฐกิจระดับรัฐได้ชัดเจนที่สุดของเดือน โดยในจำนวนนี้มี 9 รายที่เคยถูกตั้งข้อหาไปแล้วตามคำฟ้องเมื่อมีนาคม 2561 ฐานแฮ็กมหาวิทยาลัยและบริษัทเอกชนมากกว่า 300 แห่ง

ตัวเลขที่ประกาศออกมาสะท้อนขนาดได้ชัด ปฏิบัติการเชื่อว่าเริ่มขึ้นราวปี 2556 และเล็งบัญชีของอาจารย์ทั่วโลกมากกว่า 100,000 ราย โดยเจาะสำเร็จราว 8,000 ราย จากนั้นใช้สิทธิ์เข้าถึงบัญชีเหล่านั้นขโมยข้อมูลวิชาการออกไป 31.5 เทระไบต์ ทั้งวารสาร วิทยานิพนธ์ ดุษฎีนิพนธ์ หนังสืออิเล็กทรอนิกส์ และงานวิจัยข้ามสาขา คิดเป็นมูลค่าราว 3.4 พันล้านดอลลาร์สหรัฐ กิจกรรมนี้กระทบ มหาวิทยาลัย 178 แห่ง (144 แห่งอยู่ในสหรัฐฯ) บริษัทเอกชนอย่างน้อย 53 แห่ง (42 แห่งอยู่ในสหรัฐฯ) องค์กรพัฒนาเอกชน 2 แห่ง และหน่วยงานระดับมลรัฐของสหรัฐฯ อย่างน้อย 10 แห่ง

รูปแบบของปฏิบัติการที่ปรากฏจากตัวเลขในคำฟ้องคือการโจมตีที่กระจายวงกว้างแล้วคัดเก็บผลจากส่วนที่สำเร็จ อัตราความสำเร็จราว 8 เปอร์เซ็นต์ สอดคล้องกับการโจมตีที่อาศัยการหลอกเอาข้อมูลรับรองในปริมาณมาก มากกว่าการเจาะระบบเป็นรายแห่งด้วยช่องโหว่ทางเทคนิค

จุดที่ทำให้ปฏิบัติการนี้ให้ผลตอบแทนสูงคือการเลือกเป้าที่บัญชีบุคคลแทนที่จะเป็นระบบขององค์กร บัญชีของอาจารย์มหาวิทยาลัยหนึ่งบัญชีมาพร้อมสิทธิ์เข้าถึงฐานข้อมูลวารสารและคลังทรัพยากรของห้องสมุดที่สถาบันจ่ายค่าสมาชิกไว้ ซึ่งเป็นเนื้อหาที่มีมูลค่าทางการค้าสูงและ ถูกออกแบบมาให้ผู้ใช้ที่ถูกต้องดึงได้อยู่แล้ว การขโมยข้อมูลจึงเกิดขึ้นผ่านช่องทางที่ระบบมองว่าเป็นการใช้งานปกติ นี่คือเหตุผลที่ข้อมูลปริมาณ 31.5 เทระไบต์ไหลออกไปได้โดยไม่ถูกสกัด

สิ่งที่คดีนี้บอกในเชิงโครงสร้างไม่ใช่แค่เรื่องอิหร่าน แต่คือ โครงสร้างของตลาดรับจ้างแฮ็กที่เชื่อมรัฐกับเอกชนเข้าด้วยกัน กระทรวงยุติธรรมระบุชัดว่า Mabna Institute ทำงานให้ทั้ง IRGC หน่วยงานรัฐอื่น มหาวิทยาลัย และลูกค้าที่จ่ายเงินจ้าง ซึ่งหมายความว่าโครงสร้างพื้นฐานและความสามารถชุดเดียวถูกใช้ทั้งเพื่อภารกิจของรัฐและเพื่อธุรกิจ กรณี HBO ที่ถูกกรรโชกเป็นบิตคอยน์มูลค่า 6 ล้านดอลลาร์ในบริบทเดียวกันนี้เป็นตัวอย่างที่ชัดที่สุดของการทับซ้อนดังกล่าว เพราะการกรรโชกเงินไม่ใช่พฤติกรรมที่ปฏิบัติการจารกรรมของรัฐทำเป็นปกติ แต่เป็นสิ่งที่เกิดขึ้นเมื่อทีมเดียวกันรับงานหลายประเภท

ข้อจำกัดของหลักฐานที่ต้องระบุคือ ประกาศของกระทรวงยุติธรรมไม่ได้ลงรายละเอียดว่าบัญชีทั้ง 8,000 รายถูกยึดด้วยวิธีใดในเชิงเทคนิค ไม่ได้ระบุเครื่องมือหรือมัลแวร์ที่ใช้ และไม่ได้อธิบายว่าเหตุใดการดึงข้อมูลปริมาณมหาศาลเช่นนี้จึงไม่ถูกตรวจพบในเวลาอันสมควร สิ่งที่ยืนยันได้จากเอกสารคือขอบเขต ระยะเวลา และมูลค่าที่รัฐบาลสหรัฐฯ ประเมิน ไม่ใช่รายละเอียดของห่วงโซ่การโจมตี

อีกประเด็นที่ควรบันทึกไว้คือ กรอบเวลา ปฏิบัติการเริ่มราวปี 2556 คำฟ้องฉบับแรกออกปี 2561 และการตั้งข้อหาเพิ่มเกิดขึ้นในปี 2569 ระยะห่างกว่าแปดปีระหว่างคำฟ้องสองฉบับสะท้อนว่าการดำเนินคดีข้ามพรมแดนกับผู้ต้องหาที่อยู่ในประเทศซึ่งไม่มีสนธิสัญญาส่งผู้ร้ายข้ามแดนกับสหรัฐฯ เป็นกระบวนการที่ยาวนาน และเครื่องมือหลักที่เหลืออยู่คือการเปิดเผยตัวตน การตั้งเงินรางวัล (สูงถึง 10 ล้านดอลลาร์สำหรับจำเลย 5 ราย) และการจำกัดการเดินทางของผู้ต้องหา มากกว่าการจับกุมจริง

4.4.2 ภารกิจข่าวกรองเชิงยุทธศาสตร์ — เฟรมเวิร์ก Cavern และการทำให้ทราฟฟิก C2 กลืนกับของจริง

เฟรมเวิร์ก Cavern (หรือ Cav3rn) ที่ Kaspersky ติดตามมาตั้งแต่ธันวาคม 2568 เป็นตัวอย่างของงานข่าวกรองที่ลงทุนกับ การอยู่รอดของช่องทางสื่อสาร มากกว่าการเพิ่มความสามารถในการขโมยข้อมูล

การใช้ Cavern เชื่อมโยงกับกลุ่ม Cavern Manticore ที่อยู่ในเครือ กระทรวงข่าวกรองและความมั่นคงของอิหร่าน (MOIS) และมีจุดทับซ้อนกับ MuddyWater รวมถึงกลุ่มย่อยของ OilRig ที่รู้จักในชื่อ Lyceum โดยเป้าหมายหลักคือองค์กรในอิสราเอล

ข้อค้นพบหลักรอบล่าสุดคือโมดูลสื่อสารชื่อ GoogleService.dll ที่อ่านไฟล์ตั้งค่า conf.json จากดิสก์ แล้วส่งคำถาม DNS แบบ A-record เพื่อ “ถามทาง” ว่าการติดต่อครั้งนี้จะวิ่งตรงไปที่ HTTPS หรือจะอ้อมผ่านรีเลย์ Google Apps Script โดย ตัดสินใจใหม่ทุกทรานแซกชัน Kaspersky ระบุว่า “สิ่งที่ค้นพบหลักคือโมดูล C2 ที่ซับซ้อน ซึ่งใช้คำตอบ DNS A-record เพื่อเลือกระหว่าง HTTPS โดยตรงกับรีเลย์ Google Apps Script ในแต่ละทรานแซกชัน”

จุดที่ทำให้ยากกว่านั้นคือความสามารถในการหมุนช่องทาง เพราะโครงสร้าง DNS ชุดเดียวกันใช้ ตรวจสอบและแทนที่ deployment ID ของรีเลย์ ได้ ดังนั้นแม้ผู้ป้องกันจะไล่ปิด deployment หนึ่ง ผู้ควบคุมก็เพียงแก้ค่าที่ฝั่ง DNS แล้วเครื่องเหยื่อจะเปลี่ยนไปใช้ deployment ตัวใหม่เอง โดยไม่ต้องส่งมัลแวร์เวอร์ชันใหม่ลงเครื่องอีกครั้ง ผลคือการ takedown ช่องทางหนึ่งได้ผลเพียงชั่วคราว

อีกชิ้นที่พบใหม่คือ broker ระหว่างส่วนประกอบชื่อ rnp.dll ซึ่งทำหน้าที่เป็นสะพานภายในเครื่อง คือค้นหาและโหลดคอมโพเนนต์ที่เป็นไฟล์ DLL ส่งข้อความไปมาระหว่างกัน และ รองรับการอัปเกรดขณะทำงาน ทำให้ Cavern ไม่ต้องเป็นไบนารีก้อนใหญ่ก้อนเดียว แต่แตกเป็นชิ้น DLL เล็ก ๆ ที่โหลดเข้ามาเฉพาะเมื่อจำเป็น ซึ่งทั้งลดร่องรอยที่นักสืบสวนจะเก็บได้ และทำให้การวิเคราะห์จากตัวอย่างชิ้นเดียวไม่เห็นภาพรวมของความสามารถทั้งหมด

ก่อนหน้านี้โมดูลในตระกูลเดียวกันชื่อ HOLLOWGRAPH ใช้แนวคิดคล้ายกันแต่เกาะบริการของ Microsoft คือใช้ Microsoft Graph API ปฏิบัติกับ ปฏิทินของกล่องจดหมายที่ถูกเจาะเป็น dead-drop สองทาง ผู้ควบคุมฝังงานเป็นนัดหมาย ส่วนตัวมัลแวร์ส่งไฟล์ที่ขโมยออกมาโดยสร้างนัดหมายของตัวเองแล้วแนบข้อมูลที่เข้ารหัสไว้ และเพื่อไม่ให้เจ้าของกล่องจดหมายสังเกต ทุกนัดหมายถูกลงวันที่ไว้ไกลถึง 13 พฤษภาคม 2593

Kaspersky สรุปประเด็นเชิงยุทธศาสตร์ไว้ว่า “ด้วยการใช้บริการที่ถูกต้องตามกฎหมายในทางที่ผิด — ก่อนหน้านี้คือนัดหมายบนปฏิทิน Outlook และตอนนี้คือ Google Apps Script — เฟรมเวิร์กนี้ทำให้ทราฟฟิก C2 ของตัวเองกลืนไปกับกิจกรรมเครือข่ายปกติ ซึ่งทำให้การตรวจจับที่อาศัยเครือข่ายซับซ้อนขึ้น”

สิ่งที่เปลี่ยนไปสำหรับผู้ป้องกันจึงไม่ใช่ความสามารถใหม่ในการขโมยข้อมูล แต่เป็นตำแหน่งที่ทราฟฟิก C2 ไปปรากฏ เมื่อช่องสั่งการวิ่งผ่าน Google Apps Script หรือ Microsoft Graph การบล็อกตามชื่อโดเมนหรือชื่อเสียงของไอพีจะใช้ไม่ได้ เพราะปลายทางคือบริการเดียวกับที่พนักงานทั้งองค์กรใช้ทำงานจริงทุกวัน

ข้อจำกัดที่ต้องอ่านอย่างระวังคือ Kaspersky ระบุเองว่าความเชื่อมโยงกับ OilRig อยู่ในระดับความมั่นใจต่ำ และไม่มีโค้ดหรือโครงสร้างพื้นฐานทับซ้อนกันตรง ๆ ขณะที่รายงานไม่ได้ระบุจำนวนเหยื่อ ชื่อองค์กรที่ถูกเจาะ หรือระยะเวลาที่ผู้โจมตีฝังตัวอยู่ ดังนั้นการนำชื่อกลุ่มไปใช้เป็นข้อสรุปเรื่องผู้ลงมือจึงยังเร็วเกินไป

ในช่วงเดียวกัน DarkAtlas ยังเผยแพร่รายละเอียดการใช้มัลแวร์ TAMECAT ของกลุ่ม APT42 ในการโจมตีแบบ spear-phishing ช่วงเมษายนถึงพฤษภาคม 2569 โดยเล็งไปที่บุคคลที่เกี่ยวข้องกับภาคพลังงานนิวเคลียร์ ใช้ไฟล์ LNK ปลอมตัวเป็นเอกสาร PDF และใช้ ธีมชวนออกพอดแคสต์หรือขอสัมภาษณ์ เป็นเครื่องมือหลอกล่อ ซึ่งเป็นรูปแบบที่องค์กรควรซ้อมพนักงานกลุ่มที่มักถูกทาบทามให้สัมภาษณ์เป็นพิเศษ

ภาพที่ 5: เปรียบเทียบสองภารกิจของปฏิบัติการอิหร่านที่ปรากฏในห้วงสิงหาคม 2569 ด้านซ้ายคือจารกรรมเชิงเศรษฐกิจระยะยาวของ Mabna Institute ที่กินเวลา 13 ปีและดูดข้อมูลวิชาการ 31.5 เทระไบต์ ด้านขวาคือสถาปัตยกรรมช่องสั่งการของเฟรมเวิร์ก Cavern ที่ใช้คำตอบ DNS เลือกเส้นทางเป็นรายทรานแซกชันเพื่อให้ทราฟฟิกกลืนกับบริการคลาวด์ที่องค์กรอนุญาต

5. ปัญญาประดิษฐ์ในสายพานปฏิบัติการ APT: สี่บทบาทที่แยกจากกันชัดเจน

การอภิปรายเรื่อง “AI กับภัยไซเบอร์” มักล้มเหลวเพราะรวมสิ่งที่ต่างกันโดยสิ้นเชิงไว้ในคำเดียว บทวิเคราะห์ฉบับนี้จึงแยกบทบาทของ AI ในสายพานปฏิบัติการของ APT ออกเป็น สี่บทบาท ซึ่งมีหลักฐานรองรับต่างกัน มีระดับความสุกงอมต่างกัน และต้องการมาตรการรับมือคนละชุด

5.1 บทบาทที่ 1 — AI ในฐานะผู้ช่วยพัฒนา (AI-Assisted Development)

นี่คือบทบาทที่มีหลักฐานหนักแน่นที่สุดและกำลังเกิดขึ้นจริงในวงกว้าง กรณีศึกษาที่ดีที่สุดคือ SilkParasite

Bitdefender เน้นประเด็นนี้เป็นพิเศษโดยระบุว่า “สิ่งที่ทำให้ SilkParasite น่าสนใจคือร่องรอยของการพัฒนาโดยมี AI ช่วย ซึ่งแทรกอยู่ในโค้ดที่นอกเหนือจากนั้นเป็นฝีมือผู้เชี่ยวชาญ และนั่นเป็นคนละเรื่องกับมัลแวร์ที่ AI สร้างขึ้น”

ประโยคนี้สำคัญเพราะมันปฏิเสธภาพจำสองแบบที่คุ้นเคยพร้อมกัน ทั้งภาพ “มัลแวร์ที่ AI เขียนทั้งก้อน” ซึ่งมักมีคุณภาพต่ำและจับได้ง่าย และภาพ “เครื่องมือมืออาชีพที่ไม่ยุ่งกับ AI เลย” สิ่งที่ SilkParasite แสดงคือ ทีมมนุษย์ที่มีฝีมืออยู่แล้วใช้ AI เร่งงานส่วนที่ซ้ำซาก เช่นการเขียนโครงเดียวกันซ้ำในอีกภาษาหนึ่ง หรือการร่างข้อความล่อ ผลคือความเร็วในการผลิตเครื่องมือเพิ่มขึ้นโดยที่คุณภาพไม่ตก

ร่องรอยที่ระบุได้เป็นรูปธรรมมีสามจุด

จุดแรก คือค่ากุญแจตัวอย่างที่ลืมเปลี่ยน GoginRAT มีฟังก์ชันทดสอบของภาษา Go ติดมาด้วยและฝังกุญแจ AES แบบตายตัวไว้เป็นค่า "0123456789abcdef" ขณะที่ NodeEdgeRAT มีฟิลด์ตั้งค่ากุญแจเข้ารหัสเป็นข้อความตรงตัวว่า "change_this_key" ค่าเหล่านี้เป็นค่ามาตรฐานที่โมเดลภาษามักใส่ให้เป็นตัวอย่าง และการที่มันหลุดไปอยู่ในเครื่องมือที่ใช้งานจริงคือหลักฐานว่ามีการรับโค้ดที่โมเดลสร้างมาใช้โดยไม่ได้ทบทวนทุกบรรทัด

จุดที่สอง คือสถาปัตยกรรมที่ซ้ำกันข้ามภาษา NomadRAT และ GoginRAT ใช้สถาปัตยกรรมคล้ายกันมาก ซึ่งบ่งชี้ว่า แบบออกแบบระดับสูงชุดเดียวถูกนำไปเขียนซ้ำเป็นสองภาษา อันเป็นสิ่งที่ทำได้ค่อนข้างง่ายด้วยกระบวนการทำงานที่มี AI ช่วย และเป็นคำอธิบายที่สมเหตุสมผลว่าทำไมกลุ่มเดียวจึงผลิต RAT ใหม่ได้ถึง 5 ตระกูลในเวลาไม่นาน

จุดที่สาม คือเหยื่อล่อในอีเมลฟิชชิงที่เห็นได้ชัดว่าถูกสร้างโดย AI Bitdefender ระบุว่านั่นเป็นจุดเดียวที่ผู้โจมตีดูจะปล่อยปละละเลย ซึ่งเปิดความเป็นไปได้ว่าอาจเป็นการเลือกทำโดยตั้งใจเพื่อทำให้ความพยายามระบุตัวผู้อยู่เบื้องหลังสับสน ข้อสังเกตนี้ควรบันทึกไว้เพราะมันเตือนว่า “ร่องรอย AI” อาจถูกใช้เป็นเครื่องมือรบกวนการวิเคราะห์ได้เช่นกัน

นัยเชิงปฏิบัติที่ใช้ได้ทันทีคือ ร่องรอยที่ AI ทิ้งไว้กลายเป็นเบาะแสที่ผู้ป้องกันใช้ได้จริง ค่ากุญแจตัวอย่างที่ไม่ถูกเปลี่ยน ฟังก์ชันทดสอบที่ติดมากับโค้ดที่ใช้งานจริง และคอมเมนต์ที่มีลักษณะเป็นเทมเพลต ล้วนเป็นสัญญาณที่ทีมวิเคราะห์มัลแวร์ควรเพิ่มเข้าไปในรายการตรวจ

5.2 บทบาทที่ 2 — AI ในฐานะโครงสร้างพื้นฐานของกลุ่ม (Self-Hosted AI Infrastructure)

บทบาทนี้มีกรณีศึกษาชัดเจนเพียงกรณีเดียวในเดือนนี้ คือ Kimsuky ตามที่วิเคราะห์ไว้ในหัวข้อ 4.3 แต่มีนัยเชิงยุทธศาสตร์ที่ควรแยกออกมาพิจารณาต่างหาก

นัยแรกคือการตัดช่องทางการมองเห็นของผู้ให้บริการโมเดล ที่ผ่านมาบริษัทเจ้าของโมเดลรายใหญ่เคยเผยแพร่รายงานเรื่องการปิดบัญชีของกลุ่มรัฐหนุนหลัง ซึ่งเป็นแหล่งข่าวกรองที่มีค่าสำหรับประชาคมความมั่นคง การที่กลุ่มย้ายมารันโมเดลบนเซิร์ฟเวอร์ของตัวเองทำให้แหล่งข่าวกรองนั้นหายไป และหมายความว่าการประเมินระดับการใช้ AI ของกลุ่มรัฐชาติในอนาคตจะยากขึ้นอย่างมีนัยสำคัญ

นัยที่สองคือการปลดล็อกข้อจำกัดด้านความอ่อนไหวของข้อมูล เมื่อกลุ่มรันโมเดลเอง พวกเขาสามารถป้อนข้อมูลที่ขโมยมาเข้าไปวิเคราะห์ได้โดยไม่ต้องกังวลว่าจะถูกตรวจสอบ การมีฐานข้อมูล RAG ที่ตั้งค่าไว้แล้วเป็นหลักฐานว่าความตั้งใจนี้มีอยู่จริง แม้จะยังพิสูจน์ไม่ได้ว่าเอกสารที่เชื่อมเข้าไปเป็นของที่ขโมยมา

นัยที่สามคือการทำให้ขั้นตอนวิเคราะห์ข้อมูลหลังการขโมยเป็นอัตโนมัติ ซึ่งเป็นคอขวดที่แท้จริงของงานจารกรรมสมัยใหม่ ปัญหาของกลุ่มจารกรรมทุกวันนี้ไม่ใช่การขโมยข้อมูลไม่ได้ แต่คือการมีข้อมูลมากเกินกว่าที่นักวิเคราะห์ที่เป็นมนุษย์จะอ่านไหว การเชื่อม RAG เข้ากับคลังเอกสารที่ถือครองอยู่จึงเป็นการแก้คอขวดที่ตรงจุดที่สุด และเป็นเหตุผลที่บทวิเคราะห์ฉบับนี้ประเมินว่าบทบาทนี้จะขยายตัวเร็วกว่าที่คาด

5.3 บทบาทที่ 3 — AI ในฐานะผู้ปฏิบัติการ (Autonomous Agent as Operator)

บทบาทนี้มีกรณีศึกษาที่สมบูรณ์ที่สุดคือเวิร์กสเปซที่ Dream Security เปิดโปงเมื่อ 12 สิงหาคม 2569 ซึ่งประกอบด้วยไฟล์ 1,395 ไฟล์ ขนาดราว 160 เมกะไบต์ ที่ถูกทิ้งไว้บนอินเทอร์เน็ตแบบเปิดโล่ง

กรอบการทำงานตัวนี้ไม่ใช่มัลแวร์ที่เขียนขึ้นใหม่ แต่ประกอบขึ้นจากเฟรมเวิร์กเอเจนต์ AI โอเพนซอร์สที่ใครก็โหลดมาใช้ได้อย่าง Hermes และ OpenClaw แล้วสั่งให้ปล่อยเอเจนต์ย่อยทำงานคู่ขนานกันสูงสุด 8 ตัวต่อหนึ่งระลอก ตลอด 4 วันระหว่าง 1–4 กรกฎาคม 2569 และ 12 ระลอกการโจมตี ระบบได้แม็ประบบราชการที่เชื่อมต่อกันได้ 21 ระบบ แคร็กบัญชีเจ้าหน้าที่ได้ 85 บัญชี ดูดประวัติบุคลากรออกไปมากกว่า 2,564 รายการ และฝังแบ็กดอร์ค้างไว้บนเว็บแอปพลิเคชันของราชการ ก่อนขยายการสแกนต่อไปยังผู้รับเหมาไอทีของภาครัฐ หน่วยงานความปลอดภัยทางนิวเคลียร์ ระบบอีเมลของรัฐ และบริษัทในภาคพลังงานอีกอย่างน้อย 7 แห่ง

สิ่งที่ต้องระบุอย่างชัดเจนเรื่องการระบุตัวผู้กระทำ คือรายงานของ Dream เอง ไม่ได้ระบุชื่อประเทศเป้าหมาย และ ไม่ได้ระบุชื่อกลุ่มผู้โจมตีอย่างเป็นทางการ รวมทั้ง ไม่สามารถระบุได้ว่าโมเดลภาษาขนาดใหญ่ตัวใดเป็นตัวขับเคลื่อนเอเจนต์เหล่านี้ การระบุว่าเป้าหมายคือไต้หวันมาจากแหล่งข่าวที่ให้ข้อมูลกับสื่อ ส่วนการชี้ว่าเป็นฝีมือของฝ่ายจีนอาศัยหลักฐานทางภาษาเป็นหลัก กล่าวคือเอกสารรายงานสถานะภายในของปฏิบัติการเขียนด้วย ภาษาจีนตัวย่อ ขณะที่ข้อมูลที่ดึงออกมาจากเป้าหมายอยู่ใน ภาษาจีนตัวเต็ม

ประเด็นที่สำคัญที่สุดในเชิงวิเคราะห์คือ เทคนิคที่เอเจนต์ใช้ไม่มีอะไรใหม่เลย ทุกอย่างล้วนเป็นของพื้นฐานที่ผู้ทดสอบเจาะระบบมือใหม่ก็ทำได้ ทั้งการอ่านบันเดิล JavaScript หาปลายทาง API การพ่นรหัสผ่านที่คาดเดาได้ การใช้ JWT ที่ตั้ง alg เป็น none และการอาศัย SSO ที่เชื่อเซสชันข้ามระบบโดยไม่ตรวจซ้ำ สิ่งที่เปลี่ยนไปคือความเร็วและความขนาน เมื่อไม่มีใครต้องอนุมัติทีละคำสั่ง งานสำรวจที่เคยกินเวลาหลายสัปดาห์จึงจบใน 4 วัน

องค์ประกอบที่นักวิจัยมองว่าโดดเด่นที่สุดคือ เครื่องยนต์ตัดสินใจเชิงความน่าจะเป็นแบบสองชั้น ชั้นแรกให้คะแนนช่องโหว่รายตัวด้วยโมเดลเบส์ โดยเริ่มทุกช่องโหว่ที่ค่าความน่าจะเป็นก่อนหน้า P=0.50 แล้วปรับด้วยอัตราส่วนความควรจะเป็นตามหลักฐาน เช่น ผลสแกนจากเครื่องมือให้ LR+ = 6.0 การยืนยันด้วย curl ด้วยมือให้ LR+ = 10.0 ส่วนการพบ WAF ให้ LR− = 0.30 ค่า P เกิน 0.95 ถือว่ายืนยันแล้วให้เลื่อนขึ้นเป็นห่วงโซ่โจมตี ส่วนค่าต่ำกว่า 0.30 ให้ทิ้งเพื่อไม่เสียแรงเปล่า ชั้นที่สองให้คะแนนห่วงโซ่โจมตีทั้งสายด้วยสูตร P_success = P_chain × (1 − P_blocker) ตัวอย่างที่ทีมวิจัยยกมาคือห่วงโซ่เคลื่อนตัวผ่าน SSO ที่ระบบให้คะแนนไว้ 99% และผลจริงออกมาที่ 98.8%

นอกจากนี้ยังมี “รอบการเรียนรู้” (Learning Cycles) ซึ่งเป็นช่วงที่ระบบไปค้นฐานข้อมูลช่องโหว่ คลัง GitHub และงานวิจัยความปลอดภัยด้วยตัวเอง เพื่อหาเทคนิคที่ใช้ได้กับโครงสร้างพื้นฐานของเป้าหมายโดยเฉพาะ โดยพบรอบที่มีเอกสารบันทึกไว้ 5 รอบ และที่น่าสนใจไม่แพ้กันคือ ความสามารถในการจับผิดตัวเอง โดยสรุปรอบสุดท้ายระบุ ผลบวกลวงไว้ 7 รายการ ควบคู่กับช่องโหว่จริง ตัวอย่างที่ชัดที่สุดคือกรณีที่เอเจนต์รายงานว่าพบ SQL injection แบบ blind จากการที่เซิร์ฟเวอร์ตอบช้า 21 วินาที แต่เมื่อทดสอบซ้ำตามระเบียบที่กำหนดให้ต้อง “ยืนยันทางกายภาพ” กลับพบว่าความล่าช้านั้นเกิดจาก SMTP timeout ตอนที่เซิร์ฟเวอร์พยายามส่งอีเมลยืนยัน จึงถูกจัดใหม่เป็นผลบวกลวงและตัดออกถาวร

ความสามารถในการจับผิดตัวเองนี้เป็นสิ่งที่ควรให้ความสำคัญมากกว่าตัวเลขจำนวนบัญชีที่ถูกแคร็ก เพราะข้อจำกัดที่ผ่านมาของการทำงานอัตโนมัติคือผลบวกลวงที่ท่วมท้นจนต้องมีมนุษย์มาคัดกรอง เมื่อระบบคัดกรองตัวเองได้ด้วยระเบียบการทวนสอบข้ามเอเจนต์ 2 รอบ รอบละ 3 ตัว รวม 6 ครั้ง ก่อนนับเป็นของจริง คอขวดสุดท้ายที่ต้องใช้มนุษย์ก็หายไป

5.4 บทบาทที่ 4 — AI ในฐานะห่วงโซ่อุปทานชั้นใหม่ที่ถูกโจมตีเสียเอง

บทบาทนี้เป็นประเด็นที่ใหม่ที่สุดและถูกมองข้ามมากที่สุด เพราะการอภิปรายส่วนใหญ่โฟกัสที่ AI ในฐานะอาวุธ ไม่ใช่ AI ในฐานะพื้นผิวการโจมตี เดือนนี้มีสองกรณีที่ชี้ประเด็นนี้ตรง ๆ

5.4.1 FaceHugger — เมื่อคลังโมเดล AI กลายเป็นช่องทางรันโค้ด

ช่องโหว่ระดับรุนแรงสูง 3 รายการ ในไลบรารี Diffusers ของ Hugging Face เปิดทางให้คลังโมเดลที่ถูกสร้างขึ้นมาเป็นพิเศษรันโค้ดใดก็ได้บนเครื่องที่โหลดมันขึ้นมา อย่างเงียบเชียบ

ต้นเหตุร่วมคือกรณี Time-of-Check to Time-of-Use (TOCTOU) เนื่องจากการดาวน์โหลดโมเดลถูกออกแบบให้เป็น คำขอ HTTP สองครั้งที่ทำงานต่อเนื่องกันและไม่เป็นหน่วยเดียวกัน แทนที่จะเป็นปฏิบัติการอะตอมมิกครั้งเดียว ขณะที่ด่านความปลอดภัย trust_remote_code ถูกตั้งให้ทำงานกับคำขอแรกเท่านั้น นักวิจัยของ Zafran อธิบายว่า “ต้นตอของช่องโหว่ทุกตัวแปรที่นำไปสู่การรันโค้ด คือการที่ด่านตรวจสอบความน่าเชื่อถืออยู่ในเฟสแรกทั้งหมด ดังนั้นวิธีใดก็ตามที่ทำให้ตัวโหลดมองเห็นโค้ดแบบกำหนดเองที่ด่านตรวจไม่เห็น ย่อมข้ามกลไก trust_remote_code ได้”

สิ่งที่ทำให้ชุดช่องโหว่นี้อันตรายกว่าช่องโหว่รันโค้ดทั่วไปคือ ผู้ใช้ที่ทำทุกอย่างถูกต้องตามคำแนะนำด้านความปลอดภัย นั่นคือไม่เปิด trust_remote_code ก็ยังโดนได้อยู่ดี เพราะกลไกที่ควรจะปกป้องนั้นถูกข้ามไปตั้งแต่แรก ผู้ใช้จึงไม่มีสัญญาณเตือนใด ๆ ให้สังเกตระหว่างการโหลดโมเดลตามปกติ

ขนาดของฐานผู้ใช้ที่อาจได้รับผลกระทบสะท้อนจากตัวเลข ยอดดาวน์โหลดมากกว่า 8.1 ล้านครั้งในเดือนกรกฎาคม 2569 เพียงเดือนเดียว และแม้จะแก้ไขแล้วในเวอร์ชัน 0.38.0 ตั้งแต่ต้นพฤษภาคม 2569 แต่รายละเอียดเพิ่งถูกเปิดเผยในเดือนสิงหาคม จึงมีความเป็นไปได้สูงที่หลายองค์กรยังใช้เวอร์ชันที่มีช่องโหว่อยู่โดยไม่รู้ตัว โดยเฉพาะในอิมเมจคอนเทนเนอร์ที่สร้างไว้ก่อนหน้าและไม่ได้ถูกสร้างใหม่

ประเด็นเชิงหลักการที่สำคัญกว่าตัวช่องโหว่คือ ข้อสรุปของนักวิจัยที่ว่าต้องปฏิบัติต่อคลังโมเดล AI เสมือนเป็น “โค้ดที่ไม่น่าเชื่อถือ” ไม่ใช่ข้อมูลนิ่ง ๆ ซึ่งเป็นการเปลี่ยนกรอบคิดที่หลายองค์กรยังไม่ได้ปรับตาม เพราะกระบวนการตรวจสอบความปลอดภัยส่วนใหญ่ยังโฟกัสที่แพ็กเกจซอฟต์แวร์และไลบรารี ไม่ได้ครอบคลุมไปถึงไฟล์โมเดลและไฟล์ตั้งค่าที่ดึงมาจากคลังสาธารณะ นักวิจัยสรุปไว้ตรงประเด็นว่า “สิ่งที่ดึงมาจากคลังโมเดล AI มักถูกปฏิบัติเสมือนเป็นข้อมูลที่ไม่ทำอะไร ทั้งที่ไฟล์ตั้งค่า ตัวโหลด และโค้ดไปป์ไลน์แบบกำหนดเอง สามารถข้ามเส้นไปเป็นโค้ดที่รันได้อย่างเงียบ ๆ และเปลี่ยนการโหลดโมเดลตามปกติให้กลายเป็นช่องทางเข้าถึงระบบครั้งแรกได้”

5.4.2 MCP server — ถังเก็บกุญแจที่ไม่มีใครรู้ว่ามีอยู่

Model Context Protocol (MCP) เป็นมาตรฐานเปิดที่ทำหน้าที่ให้ผู้ช่วย AI เชื่อมต่อกับเครื่องมือและข้อมูลภายนอกได้ สิ่งที่ทำให้กลไกนี้ทำงานได้คือ MCP server ซึ่งเป็นโปรแกรมเล็ก ๆ ที่คั่นอยู่ระหว่าง AI กับระบบที่มันต้องการใช้

จุดที่ความเสี่ยงสูงสุดอยู่ตรงตัวกลางนี้เอง เพราะการจะกระทำการใด ๆ บนระบบหนึ่งได้ MCP server ต้องถือข้อมูลยืนยันตัวตนของระบบนั้นไว้ ไม่ว่าจะเป็น credential กุญแจของบัญชีบริการ หรือโทเคน API และเนื่องจาก AI agent ในยุคนี้ไม่ได้แค่ตอบคำถามแต่ ลงมือทำจริงผ่านตัวตนที่ไม่ใช่มนุษย์ การที่ความลับหนึ่งรั่วจึงไม่ได้แปลว่าข้อมูลรั่วเท่านั้น แต่แปลว่าผู้โจมตีได้ความสามารถลงมือทำบนระบบนั้นไปด้วย

เส้นทางที่ความลับรั่วออกไปมีห้าเส้นทางที่ระบุได้ชัด

เส้นทางแรก คือการเก็บ credential เป็นข้อความธรรมดาในไฟล์ตั้งค่า ในหลายการติดตั้ง การทำให้เซิร์ฟเวอร์ทำงานได้หมายถึงการวางสตริงตั้งค่าที่มีข้อมูลยืนยันตัวตนอยู่ในนั้นตรง ๆ เมื่อไฟล์แบบนี้ถูกทิ้งไว้บนดิสก์ มันมีโอกาสสูงมากที่จะถูกคัดลอกข้ามเครื่อง หรือ ถูกส่งขึ้นคลังโค้ด Git โดยไม่ตั้งใจ

เส้นทางที่สอง คือการกระจัดกระจายของ credential ข้ามเซิร์ฟเวอร์ที่ไม่มีการกำกับดูแล เมื่อไม่มีที่เก็บความลับส่วนกลาง กุญแจ API และโทเคนชุดเดียวกันจึงกระจายอยู่ตามไฟล์ตั้งค่าและตัวแปรสภาพแวดล้อม แล้วมีสำเนาซ้ำกองอยู่ทั้งในสภาพแวดล้อมพัฒนา ทดสอบ และใช้งานจริง เมื่อไม่มีใครมีบัญชีรายการที่ครบถ้วน ความลับเหล่านี้จึงแทบไม่เคยถูกหมุนเวียน

เส้นทางที่สาม คือ prompt injection ซึ่งไม่ต้องอาศัยการเจาะระบบเลย ผู้โจมตีอาจซ่อนคำสั่งไว้ในเอกสาร ตั๋วแจ้งปัญหา หรือหน้าเว็บที่ agent เข้าถึง แล้ว agent ก็อาจทำตามคำสั่งที่ซ่อนอยู่นั้นราวกับเป็นคำสั่งที่ถูกต้อง ประเด็นนี้ทำให้เส้นแบ่งระหว่าง “ข้อมูล” กับ “คำสั่ง” เลือนลงในแบบที่โมเดลความปลอดภัยเดิมไม่ได้ออกแบบมารองรับ

เส้นทางที่สี่ คือการให้สิทธิ์เกินจำเป็น เพื่อไม่ให้เจอข้อผิดพลาดเรื่องสิทธิ์ระหว่างพัฒนา นักพัฒนามักให้สิทธิ์ MCP server แบบกว้าง ๆ ไว้ก่อน แต่ขอบเขตสิทธิ์เหล่านั้นมักถูกลืมและติดไปถึงระบบใช้งานจริง

เส้นทางที่ห้า คือความเสี่ยงจากเซิร์ฟเวอร์ที่เปิดให้เชื่อมต่อ ซึ่งเห็นเป็นรูปธรรมแล้วใน CVE-2025-6514 ที่อยู่ใน mcp-remote ซึ่งเป็นพร็อกซี OAuth ที่มียอดดาวน์โหลดกว่า 400,000 ครั้ง ในกรณีนั้นเซิร์ฟเวอร์ที่เป็นอันตรายสามารถกระตุ้นให้เกิดการฉีดคำสั่งระบบปฏิบัติการ นำไปสู่การรันโค้ดจากระยะไกลบนเครื่องที่รันพร็อกซีตัวนั้น

สภาพที่เกิดขึ้นคือสิ่งที่เรียกได้ว่าเป็น shadow AI คือตัวตนที่ไม่มีใครบริหารจัดการและไม่เคยปรากฏในการทบทวนความปลอดภัย แต่กลับถือ credential ที่ยังใช้งานได้อยู่จริง และเนื่องจาก ใครก็สามารถเผยแพร่ MCP server ได้ ประเด็นความน่าเชื่อถือของแหล่งที่มาจึงเป็นปัญหาห่วงโซ่อุปทานที่รอวันปะทุ

ข้อจำกัดที่ต้องระบุอย่างตรงไปตรงมาคือ เนื้อหาต้นทางของประเด็นนี้เป็นบทวิเคราะห์เชิงความคิดเห็นที่เขียนโดยบุคลากรของผู้ให้บริการระบบจัดการความลับรายหนึ่ง จึงมีมุมมองทางธุรกิจกำกับอยู่ ไม่ใช่รายงานการวิจัยที่มีข้อมูลเชิงประจักษ์ บทความไม่ได้ให้ตัวเลขจำนวน MCP server ที่ตั้งค่าผิดพลาดในโลกจริง และไม่ได้ระบุกรณีองค์กรที่ถูกโจมตีผ่านเส้นทางเหล่านี้ ยกเว้น CVE-2025-6514 เพียงรายการเดียว ผู้อ่านจึงควรใช้เนื้อหานี้เป็นกรอบคิดในการตรวจสอบสภาพแวดล้อมของตัวเอง มากกว่าจะถือเป็นการวัดระดับความเสี่ยงที่ผ่านการพิสูจน์แล้ว

5.5 ตัวเร่งด้านเครื่องมือ — เมื่อกลไกกำกับพฤติกรรมถูกย้ายจากโมเดลไปอยู่ที่กระบวนการ

การเปิดตัว GPT-5.6-Cyber ของ OpenAI เมื่อ 11 สิงหาคม 2569 เป็นเหตุการณ์ที่ควรบันทึกไว้ในบทวิเคราะห์นี้ ไม่ใช่เพราะเป็นภัยคุกคามโดยตรง แต่เพราะมันทำให้เห็นว่า เส้นแบ่งด้านความปลอดภัยของเครื่องมือระดับนี้กำลังย้ายที่

บริษัทระบุตรง ๆ ว่าโมเดลถูกฝึก “เพื่อลดการปฏิเสธงานไซเบอร์แบบสองแง่สองง่ามที่มีความเสี่ยงสูงบางประเภท” และตัวเลขจากการประเมินภายในชื่อ Advanced Cybersecurity Completion Rate แสดงช่องว่างชัดเจน คือ GPT-5.6-Cyber ทำงานสำเร็จ 95.0% ของคำขอที่เกี่ยวกับการพัฒนาลูกโซ่เอ็กซ์พลอยต์ การข้ามการยืนยันตัวตน และการยกระดับสิทธิ์ เทียบกับเพียง 1.5% ของ GPT-5.6 Sol และ 57.3% ของรุ่นก่อนหน้า

การเข้าถึงถูกจำกัดไว้ที่ระดับ Daybreak Red ซึ่งเปิดให้เฉพาะองค์กรพันธมิตรที่ได้รับความไว้วางใจ ได้แก่ Accenture, Akamai, Cisco, Cloudflare, CrowdStrike, Fortinet, IBM, Palo Alto Networks, PwC และ Sophos ประเด็นที่ต้องมองให้ตรงคือเมื่อกลไกป้องกันถูกถอดออกจากตัวโมเดล มันไม่ได้หายไป แต่ย้ายไปอยู่ที่กระบวนการขององค์กรทั้งหมด กระบวนการยืนยันตัวตนของลูกค้า การจัดการคีย์ API และการตรวจสอบว่างานที่ขอนั้นได้รับอนุญาตจริงหรือไม่ จึงกลายเป็นกลไกความปลอดภัยหลัก ความเสี่ยงจึงย้ายจากการที่โมเดลถูกหลอกด้วยพรอมต์ ไปเป็นความเสี่ยงว่าบัญชีของพันธมิตรรายใดรายหนึ่งจะถูกยึด ซึ่ง OpenAI เองยอมรับว่า “โมเดลที่รันด้วยกลไกป้องกันที่ลดลงย่อมมีความเสี่ยงเกินกว่าการใช้งานโมเดลตามปกติ”

สำหรับองค์กรทั่วไปที่ไม่ได้อยู่ในรายชื่อพันธมิตร ผลกระทบที่สัมผัสได้เร็วที่สุดคือช่วงเวลาปลอดภัยหลังผู้ผลิตประกาศแพตช์จะสั้นลงอีก เพราะเครื่องมือระดับนี้ทำให้การแปลงประกาศช่องโหว่เป็นเอ็กซ์พลอยต์ใช้เวลาน้อยลงมาก

ในทางกลับกัน ตัวเลขจากงานวิจัยของ 1Password เตือนไว้อีกด้านหนึ่งว่า อัตราความสำเร็จเฉลี่ยในการสร้างแพตช์ที่แก้ช่องโหว่ได้อย่างสมบูรณ์โดยไม่เปลี่ยนพฤติกรรมของแอปพลิเคชันอยู่ที่เพียง 26.0% ขณะที่ แพตช์ที่ไม่ได้แก้ช่องโหว่ หรือเพิ่มช่องโหว่ใหม่ หรือทั้งสองอย่าง เกิดขึ้นเฉลี่ย 53.9% ตัวเลขนี้ชี้ว่า AI ทำให้ฝ่ายโจมตีได้ประโยชน์เร็วกว่าฝ่ายตั้งรับอย่างมีนัยสำคัญ เพราะการหาช่องโหว่เป็นงานที่ AI ทำได้ดี ส่วนการแก้ให้ถูกต้องโดยไม่พังอย่างอื่นเป็นงานที่ AI ยังทำได้แย่

ภาพที่ 6: สี่บทบาทของปัญญาประดิษฐ์ในสายพานปฏิบัติการของกลุ่ม APT ตามหลักฐานที่ปรากฏในห้วงสิงหาคม 2569 พร้อมประเมินระดับความสุกงอมของแต่ละบทบาทและกรณีศึกษาที่รองรับ แสดงให้เห็นว่าบทบาทผู้ช่วยพัฒนาสุกงอมที่สุด ขณะที่บทบาทผู้ปฏิบัติการอัตโนมัติเพิ่งข้ามเส้นจากการสาธิตมาสู่การใช้งานจริง

6. เมื่อเป้าหมายไม่ใช่ข้อมูล — การเจาะ PLC ตระกูล Siemens S7 ด้วยสคริปต์ที่สร้างจาก AI

หัวข้อนี้แยกออกมาเป็นการเฉพาะ เพราะเป็นจุดที่สองแกนหลักของบทวิเคราะห์ฉบับนี้ คือ ห่วงโซ่ความไว้วางใจ และ การเข้ามาของ AI มาบรรจบกันในเหตุการณ์เดียว และเพราะเป็นกรณีเดียวของเดือนนี้ที่ ผลลัพธ์ปลายทางไม่ใช่การสูญเสียข้อมูล แต่คือความเสียหายในโลกกายภาพ

6.1 สาระของประกาศเตือนร่วม AA26-231A

เมื่อวันที่ 19 สิงหาคม 2569 หน่วยงานความมั่นคงของสหรัฐฯ ห้าแห่ง ได้แก่ สำนักงานความมั่นคงแห่งชาติ (NSA) หน่วยงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐาน (CISA) สำนักงานสอบสวนกลาง (FBI) กระทรวงพลังงาน (DOE) และสำนักงานปกป้องสิ่งแวดล้อม (EPA) ออกประกาศเตือนร่วมหมายเลข AA26-231A ถึงสิ่งที่เรียกว่า “ภัยคุกคามที่กำลังดำเนินอยู่” ต่อองค์กรโครงสร้างพื้นฐานสำคัญภายในประเทศ

สาระของประกาศคือผู้โจมตีใช้ สคริปต์สำหรับเจาะระบบที่สร้างขึ้นด้วยปัญญาประดิษฐ์ พุ่งเป้าไปที่ ตัวควบคุมตรรกะแบบโปรแกรมได้ (Programmable Logic Controller หรือ PLC) ตระกูล Siemens S7 เพื่อสำรวจเป้าหมายและพัฒนาขีดความสามารถในการโจมตี โดยประกาศระบุชัดว่า พฤติกรรมการเล็ง PLC ที่พบนั้นกว้างกว่าอุปกรณ์ของ Siemens เพียงยี่ห้อเดียว

รุ่นของ PLC ที่ประกาศระบุว่าถูกเล็งเป็นการเฉพาะ ได้แก่ S7-200 ทุกรุ่นย่อยของซีพียู, S7-300 ทุกรุ่นย่อยรวมถึงรุ่น 314, 315 และ 317, S7-400 ทุกรุ่นย่อย, S7-1200 ในรุ่น CPU 1211C, 1212C, 1214C, 1215C และ 1217C รวมถึง S7-1500 ทุกรุ่นย่อย โดยนับรวมตัวควบคุมด้านความปลอดภัยตระกูล F-series เข้าไปด้วย ประเด็นสุดท้ายนี้มีน้ำหนักเป็นพิเศษ เพราะ F-series คือชั้นที่ควรทำงานได้แม้ระบบอื่นล้มเหลว

กลุ่มอุตสาหกรรมที่ตกเป็นเป้าหมายครอบคลุม ภาคการผลิตสำคัญ พลังงาน ระบบน้ำและน้ำเสีย เคมีภัณฑ์ อาหารและการเกษตร รวมถึงอาคารสถานที่เชิงพาณิชย์ ซึ่งเป็นรายการที่ตรงกับโครงสร้างพื้นฐานสำคัญตามนิยามของไทยเกือบทั้งหมด

6.2 วิธีการโจมตี — และเหตุผลที่ตรวจจับด้วยวิธีเดิมไม่ได้

ลำดับการทำงานที่ประกาศบรรยายไว้เริ่มจาก การค้นหาเป้าหมายด้วยบริการสแกนอินเทอร์เน็ตเชิงพาณิชย์ อย่าง Censys และ ZoomEye ซึ่งเก็บดัชนีอุปกรณ์ที่ตอบสนองบนพอร์ตสาธารณะไว้อยู่แล้ว ผู้โจมตีจึงไม่ต้องสแกนเองให้เปลืองเวลาและเสี่ยงถูกตรวจจับ เพียงค้นด้วยลายเซ็นของ PLC ก็ได้รายชื่อเครื่องที่เปิดออกสู่อินเทอร์เน็ตพร้อมเวอร์ชันเฟิร์มแวร์มาคัดกรองต่อ

เครื่องมือที่ใช้ในขั้นถัดมาคือ สคริปต์ Python ที่เขียนขึ้นเอง แต่จุดสำคัญที่สุดของทั้งประกาศอยู่ตรงนี้ คือ มันไม่ได้ประดิษฐ์โปรโตคอลใหม่ หากเรียกใช้ไลบรารีระบบอัตโนมัติอุตสาหกรรมแบบโอเพนซอร์สที่มีอยู่แล้วอย่าง snap7.dll หรือ python-snap7 ซึ่งเป็นไลบรารีที่วิศวกรระบบควบคุมใช้งานกันเป็นปกติ

ผลของการเลือกนี้คือทราฟฟิกที่วิ่งเข้าหา PLC ผ่านโปรโตคอล S7comm มีหน้าตาเหมือนเครื่องมือเฝ้าระวังที่ถูกต้อง เพราะโดยเนื้อแท้แล้วมันใช้ไลบรารีตัวเดียวกัน สคริปต์เหล่านั้นยังถูกอำพรางให้ดูเหมือนโปรแกรมเฝ้าระวังระบบตามปกติ ซึ่งเป็นรูปแบบเดียวกับที่ปรากฏในหัวข้อ 3 ของบทวิเคราะห์นี้ กล่าวคือ การยืมความชอบธรรมของเครื่องมือที่มีอยู่แล้ว แทนการสร้างเครื่องมือใหม่ที่ตรวจจับได้

นี่คือจุดที่ทำให้การตรวจจับด้วยคำถามว่า “ใช้ไลบรารีอะไร” ใช้ไม่ได้ผลโดยสิ้นเชิง สิ่งที่ควรเฝ้าแทนคือ บริบทของการเชื่อมต่อ ได้แก่ ต้นทาง ช่วงเวลา ความถี่ และประเภทของคำสั่งที่ส่ง

สิ่งที่ไลบรารีนี้ทำได้คือ การอ่านและเขียนหน่วยความจำของ PLC เข้าถึงข้อมูลการตั้งค่า และเข้าถึงโปรแกรมแลดเดอร์ลอจิก ซึ่งเป็นตรรกะที่กำหนดว่าเครื่องจักรในสายการผลิตจะทำงานอย่างไร

บทบาทของ AI ในเรื่องนี้ตามที่หน่วยงานอธิบายไม่ใช่การค้นพบช่องโหว่ใหม่ แต่คือการเร่งขั้นตอนเขียนและปรับแก้สคริปต์ให้เข้ากับเป้าหมายแต่ละราย จากข้อมูลทางเทคนิคที่เผยแพร่สาธารณะอยู่แล้ว การประเมินของหน่วยงานจึงเรียกสิ่งนี้ว่าเป็น “วิวัฒนาการ” ของขีดความสามารถเชิงรุก ที่ลดกำแพงความรู้เฉพาะทางด้านระบบควบคุมอุตสาหกรรมซึ่งเคยเป็นอุปสรรคสำคัญของผู้โจมตีหน้าใหม่ลงไป

ข้อสรุปที่หน่วยงานเขียนไว้ตรง ๆ คือ การประกอบกันของช่องโหว่ที่รู้จักอยู่แล้ว ไลบรารีสำหรับเจาะระบบที่หาได้ง่าย และการพัฒนาที่มี AI ช่วย สร้างสถานการณ์โจมตีที่มีความน่าจะเป็นสูงต่อ PLC ที่ติดตั้งไว้โดยป้องกันไม่พอ

6.3 ตัวบ่งชี้เชิงพฤติกรรมที่ใช้ล่าภัยได้จริงบนเครือข่าย OT

แม้ประกาศฉบับหลักจะไม่เปิดเผยตัวบ่งชี้การถูกบุกรุกที่นำไปใช้ตรวจจับได้ทันที แต่แนวทางการล่าภัยที่เผยแพร่ตามมาได้ให้รายละเอียดเชิงพฤติกรรมที่ทีมความปลอดภัย OT ในไทยนำไปใช้ได้ทันที และควรบันทึกไว้ในบทวิเคราะห์นี้เพราะเป็นชุดตัวบ่งชี้ที่ อิงพฤติกรรม ไม่ใช่ลายเซ็น จึงยังใช้ได้แม้ผู้โจมตีเปลี่ยนเครื่องมือ

กลุ่มที่หนึ่ง — รูปแบบทราฟฟิก S7comm ที่ควรแจ้งเตือนทันที

กลุ่มที่สอง — ร่องรอยของเครื่องมือที่สร้างบน snap7

• พบไลบรารี snap7.dll หรือ libsnap7 บนเวิร์กสเตชันที่ไม่ได้รับอนุมัติให้เป็นสถานีวิศวกรรม
• โปรเซส Python ที่ import snap7 หรือเชื่อมต่อไปยัง TCP 102
• บริการที่ตั้งชื่อให้ดูเหมือนซอฟต์แวร์เฝ้าระวัง ตรวจวัด หรือเก็บข้อมูล (monitoring / telemetry / collector) แต่พูดโปรโตคอล S7comm ซึ่งเป็นลายเซ็นของการอำพรางที่ประกาศระบุถึงโดยตรง
• ไฟล์โครงการ S7 ที่วางอยู่ในพาธที่ผู้ใช้เขียนได้ เช่น Temp, Downloads, ProgramData
• ในระดับหน่วยความจำ ให้มองหาสัญลักษณ์ที่ส่งออกของ snap7 อย่าง Cli_ConnectTo, Cli_DBRead, Cli_DBWrite ควบคู่กับร่องรอยของเซสชันที่ยังทำงานอยู่

กลุ่มที่สาม — รูปแบบการเชื่อมต่อที่บ่งชี้การสแกน

ตัวอย่างการค้นหาที่ใช้ได้จริงคือการนับจำนวนปลายทางที่ไม่ซ้ำกันซึ่งเครื่องหนึ่งเชื่อมต่อไปยังพอร์ต 102 หากเครื่องเดียวติดต่อ PLC มากกว่า 5 เครื่อง นั่นคือรูปแบบการสแกน ไม่ใช่การทำงานปกติของสถานีวิศวกรรม นอกจากนี้ยังควรเฝ้า คำขอเชื่อมต่อ COTP ที่แสดงบทบาทเป็นอุปกรณ์โปรแกรมมิง (TSAP 0x01) จากโฮสต์ที่ไม่ได้รับอนุมัติ และ ความสม่ำเสมอของจังหวะเวลาที่เป็นแบบเครื่องจักร ซึ่งต่างจากรูปแบบการทำงานของมนุษย์อย่างชัดเจน

กลุ่มที่สี่ — เกณฑ์ที่ต้องยกระดับเป็นเหตุการณ์ทันที

การเขียนค่าที่ยืนยันแล้วโดยไม่มีบันทึกการเปลี่ยนแปลง การดาวน์โหลดโปรแกรมจากต้นทางที่ไม่ได้รับอนุญาต การอัปโหลดตรรกะที่บ่งชี้การสำรวจ การสั่งหยุดหรือเริ่ม CPU การกระทำใด ๆ ต่อตัวควบคุมด้านความปลอดภัย S7-1500 F-series โดยไม่ได้รับอนุญาต การยืนยันได้จากดัชนีสาธารณะหลายแหล่งว่ามี TCP 102 เปิดออกสู่อินเทอร์เน็ต การพบไลบรารี snap7 บนเวิร์กสเตชันที่ไม่ได้รับอนุมัติ และ ความแตกต่างของโค้ดหรือเฟิร์มแวร์ที่ไม่มีใบสั่งงานรองรับ

6.4 ผลกระทบที่ต่างจากการรั่วไหลของข้อมูลโดยสิ้นเชิง

ในทางปฏิบัติ ความเสี่ยงที่หนักที่สุดของกรณีนี้ไม่ใช่ข้อมูลรั่ว แต่คือการที่ผู้โจมตีเขียนค่าลงหน่วยความจำหรือแตะโปรแกรมแลดเดอร์ลอจิกของ PLC ได้ เพราะนั่นหมายถึงการเปลี่ยนพฤติกรรมของเครื่องจักรจริงในโลกกายภาพ ทั้งการสั่งหยุดกะทันหัน การทำให้ค่าที่แสดงบนหน้าจอผู้ควบคุมไม่ตรงกับสถานะจริง ไปจนถึงการรบกวนตัวควบคุมด้านความปลอดภัย

ผลที่ประกาศระบุว่าอาจตามมาครอบคลุม การหยุดชะงักของกระบวนการอุตสาหกรรม อุบัติเหตุด้านความปลอดภัย เวลาหยุดเดินเครื่องหรือความเสียหายของอุปกรณ์ การละเมิดข้อกำหนดกำกับดูแล ไปจนถึงผลกระทบลูกโซ่ข้ามระบบที่เชื่อมต่อถึงกัน

ประเด็นที่ทำให้ประกาศฉบับนี้ต่างจากคำเตือนชุดเดิมคือ รอบนี้ไม่ได้ชี้ไปที่กลุ่มผู้โจมตีรายใดรายหนึ่ง หากชี้ไปที่วิธีการซึ่งใครก็หยิบไปใช้ได้ องค์กรที่ควรอ่านประกาศนี้อย่างจริงจังจึงไม่ใช่เฉพาะรายที่คิดว่าตัวเองอยู่ในเรดาร์ของกลุ่มรัฐหนุนหลัง แต่รวมถึงโรงงานหรือการประปาขนาดกลางที่เคยเชื่อว่าตัวเองไม่มีอะไรน่าสนใจพอให้ใครลงแรงเจาะ เพราะเมื่อต้นทุนการเขียนสคริปต์โจมตีลดลง เกณฑ์ที่ว่าเป้าหมายไหน “คุ้มค่าที่จะโจมตี” ก็ลดลงตามไปด้วย

บริบทที่ควรอ่านประกอบคือเหตุการณ์ที่นำมาก่อนหน้า ทั้งการที่ระบบประปาในมินนิโซตากว่า 30 แห่งถูกถล่มพร้อมกัน และการที่รัฐนิวยอร์กต้องอัดฉีดงบ 9 ล้านดอลลาร์ เสริมเกราะไซเบอร์ให้ระบบน้ำ 153 แห่ง ตามหลังคลื่นโจมตี OT ระบบประปาทั่วสหรัฐ (08/025 ) ทั้งหมดนี้คือภาพของแนวโน้มเดียวกัน คือโครงสร้างพื้นฐานขนาดกลางที่เคยอยู่นอกสายตากำลังกลายเป็นเป้าที่คุ้มค่า

6.5 ข้อจำกัดของหลักฐานที่ต้องระบุ

เพื่อความเที่ยงตรงของการประเมิน ต้องบันทึกข้อจำกัดของประกาศฉบับนี้ไว้ให้ชัด กล่าวคือ ประกาศไม่ได้ระบุหมายเลขช่องโหว่ที่ถูกใช้จริง ไม่ได้บอกจำนวนองค์กรที่ถูกเจาะสำเร็จ และที่สำคัญที่สุดคือไม่ได้อธิบายว่าใช้หลักฐานอะไรสรุปว่าสคริปต์ที่พบ “สร้างด้วย AI” ซึ่งเป็นคำกล่าวอ้างที่พิสูจน์จากตัวโค้ดได้ยากมาก และเป็นจุดที่ผู้อ่านควรระวังไม่ตีความเกินกว่าหลักฐาน

อย่างไรก็ตาม ข้อจำกัดนี้ไม่ได้ลดทอนคุณค่าของประกาศในเชิงปฏิบัติ เพราะมาตรการที่แนะนำ ได้แก่ การปรับปรุงอุปกรณ์ให้อยู่ที่เวอร์ชันล่าสุด การแยกอุปกรณ์ออกจากอินเทอร์เน็ตทุกกรณีที่ทำได้ การตั้งการควบคุมการเข้าถึงให้รัดกุม และการติดตั้งเครื่องมือเฝ้าระวังสภาพแวดล้อมระบบควบคุมอุตสาหกรรม ล้วนเป็นมาตรการที่จำเป็นอยู่แล้วไม่ว่าสคริปต์นั้นจะถูกสร้างด้วย AI หรือไม่ก็ตาม

6.6 การอ่านคู่กับกรณีเอเจนต์ AI ที่เจาะรัฐบาลเอง

ประกาศเรื่อง PLC ออกมาในจังหวะเดียวกับรายงานของ Dream Security เรื่องกรอบเอเจนต์ AI ที่เจาะหน่วยงานรัฐในเอเชียเอง จุดที่ควรอ่านสองเรื่องนี้ประกอบกันคือ ทั้งคู่ชี้ไปที่การเปลี่ยนแปลงเดียวกัน นั่นคือต้นทุนของการลงมือโจมตีอย่างมีคุณภาพกำลังลดลงอย่างรวดเร็ว ในขณะที่ต้นทุนของการตั้งรับยังเท่าเดิม

และสำหรับผู้อ่านในไทย เรื่องนี้ไม่ใช่เรื่องไกลตัว เพราะเอเจนต์ Hermes ซึ่งเป็นหนึ่งในองค์ประกอบของกรอบการทำงานที่ถูกใช้ในเหตุการณ์ที่ไต้หวัน เคยถูกพบว่าใช้เจาะเครือข่ายของกระทรวงการคลังของไทยมาแล้ว ตามที่ Cloud Thunder ได้จัดทำบทวิเคราะห์เฉพาะไว้ในรายงานเดือนกรกฎาคม 2569 ทั้งสองเคสมีจุดร่วมที่ตรงกันคือ ระบบเป้าหมายมีการตั้งค่าเริ่มต้นที่หละหลวมอยู่ก่อนแล้ว ไม่ว่าจะเป็นบริการที่ยอมรับรหัสผ่านอะไรก็ได้ หรือปลายทาง API ที่เปิดให้เข้าถึงโดยไม่ต้องยืนยันตัวตน เอเจนต์ AI เพียงแต่ทำให้การไล่หาสิ่งเหล่านี้ถูกลงและเร็วขึ้นเท่านั้น

ภาพที่ 7: ห่วงโซ่การโจมตี PLC ตระกูล Siemens S7 ตามประกาศเตือนร่วม AA26-231A ตั้งแต่การค้นหาเป้าหมายผ่านบริการสแกนเชิงพาณิชย์ การใช้สคริปต์ Python ที่เรียกไลบรารี snap7 ซึ่งกลืนกับเครื่องมือวิศวกรรมของจริง ไปจนถึงผลกระทบในโลกกายภาพ พร้อมแสดงรหัสฟังก์ชัน S7comm ที่ควรตั้งกฎแจ้งเตือนแยกตามระดับความรุนแรง

7. ผลกระทบและความเสี่ยงต่อประเทศไทยโดยตรง

7.1 หลักฐานที่ผูกภูมิภาคและประเทศไทยเข้ากับปฏิบัติการในเดือนนี้

ก่อนจะประเมินความเสี่ยงเชิงระบบ ควรแยกหลักฐานออกเป็นสามระดับ เพื่อไม่ให้การประเมินเกินกว่าที่ข้อมูลรองรับ

ระดับที่ 1 — กรณีที่ระบุประเทศไทยโดยตรงในเดือนนี้ ได้แก่ วิกฤตข้อมูลภาครัฐรั่วไหลจากปมทะเบียนรถ (08/027 , 08/046 , 08/089 , 08/090 ) และคลื่นแรนซัมแวร์ที่ประกาศชื่อองค์กรไทยบนเว็บปล่อยข้อมูล (08/028 , 08/047 , 08/091 , 08/113 )

ระดับที่ 2 — กรณีที่ระบุภูมิภาคอาเซียนหรือประเทศเพื่อนบ้านโดยตรง ได้แก่ ปฏิบัติการของ HoneyMyte ที่ระบุ เมียนมา เป็นหนึ่งในเป้าหมาย การที่ CVE-2026-3502 ในไคลเอนต์ TrueConf ถูกใช้เป็นซีโรเดย์โจมตี หน่วยงานรัฐในภูมิภาคเอเชียตะวันออกเฉียงใต้ เพื่อติดตั้งเฟรมเวิร์ก Havoc และการที่กลุ่มแรนซัมแวร์หน้าใหม่ Dysphor1a เปิดตัวด้วยเหยื่อ 5 รายที่อยู่ในเอเชียตะวันออกเฉียงใต้ทั้งหมด แบ่งเป็นไทย 2 ราย เมียนมา 2 ราย และอินโดนีเซีย 1 ราย

ระดับที่ 3 — กรณีที่มีความเสี่ยงเชิงระบบต่อไทยแม้ไม่ได้ระบุชื่อ ได้แก่ QuickFox, Zbtlink, npm/Alibaba, FaceHugger, MCP server และประกาศเรื่อง PLC ตระกูล Siemens S7 ซึ่งเป็นกลุ่มที่บทวิเคราะห์นี้ให้น้ำหนักมากที่สุด เพราะเป็น ความเสี่ยงที่ไทยรับมาโดยไม่รู้ตัวผ่านการพึ่งพาห่วงโซ่เดียวกัน

ข้อสังเกตที่สำคัญที่สุดสำหรับผู้อ่านชาวไทยคือ Dysphor1a ที่เปิดตัวด้วยเหยื่อกระจุกอยู่ในภูมิภาคเดียวทั้งหมด ไม่น่าจะเป็นความบังเอิญ และเป็นสัญญาณว่าผู้ลงมือน่าจะมีชุดช่องทางเข้าถึงองค์กรในภูมิภาคนี้อยู่ในมือก่อนแล้ว แล้วค่อยตั้งแบรนด์ขึ้นมาเพื่อประกาศผลงาน ไม่ใช่ตั้งกลุ่มก่อนแล้วค่อยไล่หาเหยื่อ ข้อสังเกตนี้มีนัยตรงกับแกนของบทวิเคราะห์ฉบับนี้ เพราะ “ชุดช่องทางเข้าถึงที่มีอยู่ในมือก่อนแล้ว” คือผลผลิตของห่วงโซ่ความไว้วางใจที่ถูกยึดไว้ล่วงหน้า

7.2 วิกฤตข้อมูลภาครัฐไทย — กรณีศึกษาที่ยืนยันแกนของบทวิเคราะห์นี้

เหตุการณ์ข้อมูลภาครัฐไทยรั่วไหลตลอดเดือนสิงหาคม 2569 มีคุณค่าเชิงวิเคราะห์สูงกว่าที่การรายงานข่าวทั่วไปสะท้อน เพราะมัน ยืนยันแกนของบทวิเคราะห์ฉบับนี้ด้วยกรณีที่เกิดขึ้นในประเทศไทยเอง

ลำดับเหตุการณ์เริ่มจากวันที่ 4–5 สิงหาคม เมื่อมีเว็บไซต์ภายนอกเปิดให้ค้นข้อมูลผู้ครอบครองรถยนต์จากหมายเลขทะเบียน แสดงทั้งชื่อ ที่อยู่ เลขบัตรประชาชนบางส่วน รายละเอียดรถและข้อมูลประกันภัย กระทรวงคมนาคมสั่งปิดระบบเชื่อมต่อ API ทุกช่องทางตั้งแต่เที่ยงวันที่ 4 สิงหาคม จุดที่ต่างจากเหตุข้อมูลรั่วทั่วไปคือหน่วยงานเจ้าของระบบเองยอมรับตั้งแต่วันแรกว่าข้อมูลบางส่วนไม่ตรงกับฐานข้อมูลของตน ซึ่งชี้ไปที่ห่วงโซ่การเชื่อมต่อข้อมูลมากกว่าตัวฐานข้อมูลกลาง

จากนั้นในวันที่ 6 สิงหาคม ผู้เปิดโปงเข้าให้ปากคำต่อตำรวจไซเบอร์และระบุว่าปัญหาครอบคลุม 19 กระทรวงและสำนักนายกรัฐมนตรี รวม 20 หน่วยงาน พบข้อมูลคนไทยรั่วไหลกว่า 500,000 ราย แต่สาระสำคัญที่สุดของคำให้การครั้งนี้ไม่ใช่ตัวเลข หากคือคำอธิบายว่าข้อมูลรั่วออกไปอย่างไร กล่าวคือ เหตุส่วนใหญ่ไม่ได้เกิดจากการเจาะระบบฐานข้อมูลโดยตรง แต่เกิดจากรหัสผ่านของเจ้าหน้าที่รัฐหลุดออกไปเพราะเครื่องคอมพิวเตอร์ติดมัลแวร์ขโมยข้อมูล แล้วรหัสผ่านเหล่านั้นถูกนำไปรวบรวมขายบนเว็บไซต์รวบรวมรหัสผ่านที่รั่วไหล เมื่อผู้ซื้อได้รหัสผ่านไปก็จะทดลองล็อกอินเข้าระบบ หากพบว่าข้อมูลข้างในมีมูลค่าก็จะสร้าง API ขึ้นมาดึงข้อมูลออกไปขายต่อ

คำอธิบายนี้สอดคล้องกับข้อสรุปของตำรวจเมื่อวันที่ 13 สิงหาคม ที่ยืนยันว่า ยังไม่พบหลักฐานว่าฐานข้อมูลของหน่วยงานภาครัฐถูกเจาะเข้าไปโดยตรง สิ่งที่เกิดขึ้นคือผู้กระทำผิดได้ข้อมูลบัญชีของบุคคลที่มีสิทธิ์เข้าถึงระบบมาก่อน แล้วใช้ข้อมูลนั้นล็อกอินเข้าสู่ระบบเพื่อสืบค้นและดึงข้อมูลออกมา

นี่คือรูปแบบเดียวกันกับที่ปรากฏในปฏิบัติการระดับรัฐทั่วโลกในเดือนนี้ ต่างกันเพียงว่าในกรณีของไทย ผู้ลงมือเป็นกลุ่มเยาวชนที่รวมตัวกันด้วยความชื่นชอบการขุดค้นข้อมูล ไม่ใช่หน่วยงานข่าวกรองต่างชาติ

และนั่นคือประเด็นที่ต้องอ่านให้ลึกที่สุดของทั้งบทวิเคราะห์ เพราะถ้าช่องทางเดียวกันนี้เปิดกว้างพอให้กลุ่มเยาวชนในประเทศเข้าถึงข้อมูลของบุคคลระดับนายกรัฐมนตรีได้ ช่องทางเดียวกันนี้ย่อมเปิดกว้างยิ่งกว่าสำหรับกลุ่มที่มีทรัพยากรระดับรัฐและมีเป้าหมายเชิงข่าวกรองที่ชัดเจน ตำรวจเองก็ระบุประเด็นนี้ไว้ตรง ๆ ว่า “หากกลุ่มที่มีทรัพยากรและแรงจูงใจสูงกว่าลงมือ ผลกระทบจะรุนแรงกว่านี้มาก”

ช่องว่างระหว่างตัวเลขสองฝั่ง คือ 500,000 ราย จากฝั่งผู้เปิดโปง กับ ประมาณ 800 ราย จากผลตรวจสอบเบื้องต้นของรัฐบาล ไม่ได้วัดสิ่งเดียวกัน ฝั่งแรกน่าจะหมายถึงปริมาณข้อมูลที่พบว่าไหลออกไปอยู่ในมือคนขาย ส่วนฝั่งหลังหมายถึงจำนวนรายการที่ตรวจพบร่องรอยการสืบค้นจากบันทึกการใช้งาน ณ ช่วงเวลาที่ตรวจ แต่ความต่างระดับหลายร้อยเท่านี้เองคือหลักฐานที่ชัดที่สุดว่าหน่วยงานที่ไม่มีบันทึกการใช้งานระดับที่จำเป็น จะไม่สามารถตอบได้ด้วยซ้ำว่าข้อมูลของตนรั่วไปเท่าใด

มาตรการที่ ครม. อนุมัติเมื่อ 11 สิงหาคม ตรงกับลักษณะของปัญหาที่พบ กล่าวคือ (1) ให้กว่า 300 กรมสั่งเปลี่ยนรหัสผ่านของเจ้าหน้าที่ทั้งหมดทันที (2) ให้ตรวจสอบระบบสารสนเทศราว 30,000 ระบบ แล้ว ปิดช่องทางเข้าถึงหลังบ้านของระบบที่เลิกใช้งานหรือล้าสมัยอย่างถาวรภายใน 15 วัน เพราะที่ผ่านมาหลายหน่วยงานปิดเฉพาะหน้าเว็บไซต์แต่ปล่อยให้ระบบหลังบ้านยังเปิดรับการเชื่อมต่ออยู่ และ (3) บังคับใช้ MFA หรือ ThaID กับระบบภาครัฐทุกระบบ

อย่างไรก็ตาม มีข้อสังเกตเชิงลำดับที่สำคัญมากซึ่งควรบันทึกไว้ คือการเปลี่ยนรหัสผ่านช่วยตัดวงจรได้เฉพาะกรณีที่เครื่องต้นทางสะอาดแล้วเท่านั้น หากเครื่องยังติดมัลแวร์อยู่ รหัสผ่านใหม่ก็จะถูกขโมยซ้ำในรอบถัดไป ดังนั้นลำดับที่ถูกต้องคือ ตรวจและล้างเครื่องปลายทางก่อน แล้วจึงเปลี่ยนรหัสผ่าน ไม่ใช่กลับกัน และต้อง ยกเลิกเซสชันที่ค้างอยู่ทั้งหมดด้วย เพราะการเปลี่ยนรหัสผ่านอย่างเดียวไม่ตัดคุกกี้เซสชันที่มัลแวร์ขโมยไปแล้ว ซึ่งเป็นบทเรียนเดียวกับที่ปรากฏในกรณี ChocoShell ของแคมเปญ CaptiveCrunch

ตัวเลขที่กระทรวงดิจิทัลฯ อ้างถึงคือ มีข้อมูลรับรองการเข้าใช้งานที่เกี่ยวข้องกับผู้ใช้ในไทยหลุดเพิ่มขึ้นราว 60 ล้านรายการในรอบปีที่ผ่านมา ซึ่งเป็นจำนวนที่มากกว่าประชากรของประเทศ ตัวเลขนี้คือขนาดของ “วัตถุดิบ” ที่ผู้โจมตีทุกระดับ ตั้งแต่เยาวชนในประเทศไปจนถึงหน่วยข่าวกรองต่างชาติ สามารถหยิบไปใช้ได้ในราคาถูก

7.3 พื้นผิวความเสี่ยงที่ตรงกับบริบทไทยมากที่สุด

จากการวิเคราะห์กรณีทั้งหมดของเดือนนี้เทียบกับสภาพการใช้เทคโนโลยีในประเทศไทย บทวิเคราะห์ฉบับนี้ประเมินว่ามีพื้นผิวความเสี่ยง เจ็ดจุด ที่ตรงกับบริบทไทยมากที่สุด เรียงตามลำดับความเร่งด่วน

จุดที่ 1 — อุปกรณ์เครือข่ายราคาประหยัดที่ไม่มีใครดูแลเฟิร์มแวร์ กรณี Zbtlink มีนัยตรงกับไทยเป็นพิเศษ เพราะบริษัทระบุเองว่าเชี่ยวชาญงาน OEM และ ODM ซึ่งหมายความว่าฮาร์ดแวร์และเฟิร์มแวร์ชุดเดียวกันอาจถูกขายภายใต้แบรนด์อื่นอีกจำนวนมาก ผู้ใช้ปลายทางในไทยจึงอาจมีอุปกรณ์ที่ได้รับผลกระทบอยู่โดยไม่รู้ว่าต้นทางคือผู้ผลิตรายนี้ และรุ่นที่ปรากฏในรายการหลายรุ่นเป็นอุปกรณ์ประเภท CPE และเราเตอร์ที่รองรับซิม ซึ่งในไทยมักถูกนำไปใช้ในสาขาย่อย จุดติดตั้งภาคสนาม ตู้คอนเทนเนอร์ ระบบกล้องวงจรปิดนอกสถานที่ และงาน IoT ที่ไม่มีใครดูแลเป็นประจำ การมีเชลล์ระดับ root บนเราเตอร์เท่ากับความสามารถในการดักจับข้อมูลทั้งเครือข่าย เปลี่ยนการตั้งค่า DNS เพื่อนำผู้ใช้ไปยังเว็บปลอม และเปิดช่องทางเข้าสู่เครือข่ายภายใน

จุดที่ 2 — บัญชีเจ้าหน้าที่รัฐและเครื่องปลายทางที่มาตรฐานการป้องกันไม่เท่ากัน ตามที่วิเคราะห์ไว้ในหัวข้อ 7.2 จุดอ่อนของระบบราชการไทยไม่ได้อยู่ที่กำแพงรอบฐานข้อมูล แต่อยู่ที่บัญชีผู้ใช้ของเจ้าหน้าที่หลายแสนคนที่กระจายอยู่ทั่วประเทศ และอยู่ที่เครื่องคอมพิวเตอร์ที่เจ้าหน้าที่ใช้ทำงานซึ่งมาตรฐานการป้องกันไม่เท่ากันในแต่ละหน่วยงาน ประโยคที่สรุปสภาพนี้ได้ตรงที่สุดคือ ความปลอดภัยของข้อมูลประชาชนทั้งประเทศเท่ากับความปลอดภัยของเครื่องคอมพิวเตอร์ที่อ่อนแอที่สุดในระบบราชการ

จุดที่ 3 — ซอฟต์แวร์ VPN และเครื่องมือเร่งความเร็วเครือข่ายที่พนักงานติดตั้งเอง กรณี QuickFox มีความเกี่ยวข้องกับไทยผ่านสมมติฐานที่ Fortinet เสนอไว้ว่า แคมเปญนี้อาจมุ่งเป้าไปที่ผู้ประกอบวิชาชีพที่จำเป็นต้องติดต่อกับผู้พูดภาษาจีนเป็นภาษาแม่ เพื่อวัตถุประสงค์ด้านการค้าหรือการทูต ซึ่งเป็นกลุ่มที่มีอยู่จำนวนมากในไทย ทั้งภาคธุรกิจนำเข้าส่งออก ภาคการท่องเที่ยว ภาคการศึกษา และหน่วยงานด้านการต่างประเทศ องค์กรที่มีนโยบายอนุญาตให้พนักงานติดตั้งซอฟต์แวร์ VPN เองจึงควรตรวจสอบว่ามีเครื่องใดติดตั้งโปรแกรมนี้อยู่บ้าง โดยเฉพาะเครื่องของนักพัฒนาและผู้ดูแลระบบ ประเด็นนี้ยังเชื่อมกับกรณี ส่วนขยาย VPN ฟรี 737 ตัวบน Chrome ที่ดันทราฟฟิกทั้งเบราว์เซอร์ผ่านพร็อกซีเจ้าเดียว โดย 274 ตัวปลอมเป็นแบรนด์ดัง 66 ราย (08/079 ) ซึ่งเป็นพฤติกรรมที่พบได้ทั่วไปในองค์กรไทยที่ไม่มีนโยบายควบคุมส่วนขยายเบราว์เซอร์

จุดที่ 4 — ทีมพัฒนาซอฟต์แวร์และระบบ CI/CD ที่ดึงแพ็กเกจจากคลังสาธารณะโดยไม่มีการตรึงเวอร์ชัน แคมเปญ npm ที่เล็ง Alibaba และเทคนิค NullReceiver ล้วนเป็นรูปแบบที่ทำงานได้ในทุกองค์กรที่ใช้ npm หรือ PyPI จุดที่ต้องเน้นคือเป้าหมายของการโจมตีคือเครื่องของนักพัฒนาและระบบสร้างซอฟต์แวร์ ซึ่งมักถือข้อมูลรับรองของคลาวด์ กุญแจสำหรับเซ็นโค้ด และสิทธิ์เข้าถึงคลังโค้ดภายใน เครื่องเหล่านี้จึงเป็นจุดตั้งต้นที่คุ้มค่าต่อผู้โจมตีมากกว่าเครื่องผู้ใช้ทั่วไปหลายเท่า สำหรับองค์กรไทยที่จ้างผู้พัฒนาภายนอกหรือใช้ทีมพัฒนาแบบ outsource ความเสี่ยงนี้ขยายตัวอีกชั้นหนึ่ง เพราะองค์กรมองไม่เห็นสภาพแวดล้อมการพัฒนาของผู้รับจ้างเลย

จุดที่ 5 — ระบบ SSO กลางที่หน่วยงานภายในเชื่อเซสชันของกันและกันอัตโนมัติ บทเรียนจากกรณีเอเจนต์ AI ที่เจาะรัฐบาลในเอเชียชี้ตรงจุดนี้ เพราะ บัญชี 84 จาก 85 บัญชี หรือ 98.8% เข้าสู่ระบบสารสนเทศภายในได้สำเร็จ ด้วยเหตุผลว่าระบบภายในแต่ละตัวมีจุดเข้า SSO เฉพาะที่ เชื่อเซสชันของระบบสำนักงานอัตโนมัติโดยอัตโนมัติ ไม่ต้องยืนยันตัวตนซ้ำ ไม่มี MFA ไม่ต้องให้ผู้ใช้ยืนยัน องค์กรไทยที่กำลังทยอยเชื่อมระบบเข้ากับ SSO กลางหรือ ThaID ควรตั้งคำถามให้ชัดว่า เมื่อบัญชีหนึ่งถูกยึด ระบบปลายทางจะยังตรวจสอบอะไรเพิ่มอีกหรือไม่ หรือเพียงแค่เห็นโทเคนแล้วปล่อยผ่าน ประเด็นนี้เร่งด่วนเป็นพิเศษเพราะมติ ครม. กำลังผลักให้ระบบภาครัฐเชื่อมกับ ThaID เป็นวงกว้าง ซึ่งเป็นสิ่งที่ถูกต้องในหลักการ แต่ถ้าออกแบบผิดจะกลายเป็นการรวมความเสี่ยงไว้ที่จุดเดียว

จุดที่ 6 — ระบบ OT และ PLC ในภาคการผลิต พลังงาน และการประปาของไทย ประกาศ AA26-231A ระบุกลุ่มอุตสาหกรรมเป้าหมายที่ตรงกับโครงสร้างพื้นฐานสำคัญของไทยเกือบทั้งหมด จุดที่น่ากังวลที่สุดสำหรับบริบทไทยคือ PLC ตระกูล S7-200, S7-300 และ S7-400 ซึ่งเป็นรุ่นเก่าที่ยังใช้งานแพร่หลายในโรงงานและระบบสาธารณูปโภคของไทย เพราะเป็นรุ่นที่ติดตั้งมานานและมักไม่มีแผนเปลี่ยนทดแทน และเมื่อรวมกับข้อเท็จจริงที่ว่า ผู้โจมตีค้นหาเป้าหมายด้วยบริการสแกนเชิงพาณิชย์ที่ใคร ๆ ก็เข้าถึงได้ องค์กรไทยที่มี PLC ตอบสนองจากอินเทอร์เน็ตจึงอยู่ในรายการเป้าหมายแล้วโดยไม่ต้องมีใครมาเจาะจงเลือก มาตรการที่ให้ผลเร็วที่สุดคือ การใช้บริการสแกนตัวเดียวกับที่ผู้โจมตีใช้เป็นเครื่องมือตรวจสอบตัวเอง โดยค้นด้วยเงื่อนไข port:102 และ product:"Siemens S7" จำกัดขอบเขตด้วยช่วงไอพีขององค์กร

จุดที่ 7 — การนำ AI agent และ MCP server เข้าสู่กระบวนการทำงานโดยที่ทีมความปลอดภัยยังไม่ได้เข้ามามีส่วนร่วม องค์กรไทยจำนวนมากอยู่ในช่วงทดลองใช้ผู้ช่วย AI ในงานจริง และรูปแบบการเริ่มต้นที่พบบ่อยที่สุดคือ ทีมพัฒนาหรือทีมข้อมูลเริ่มทดลองกันเองก่อนที่ทีมความปลอดภัยจะเข้ามามีส่วนร่วม ซึ่งเป็นจุดกำเนิดของ shadow AI ที่ถือกุญแจของระบบจริง ความเสี่ยงนี้ยังไม่ปรากฏเป็นเหตุการณ์ในไทย แต่เป็นความเสี่ยงที่ป้องกันได้ง่ายที่สุดถ้าลงมือตอนนี้ และแพงที่สุดถ้ารอให้เกิดเหตุก่อน

7.4 ภาคส่วนของไทยที่ควรจัดลำดับความสำคัญสูงสุด

อันดับที่ 1 — หน่วยงานภาครัฐที่ถือฐานข้อมูลประชาชน เป็นอันดับแรกโดยไม่ต้องถกเถียง เพราะมีทั้งหลักฐานว่าถูกเข้าถึงแล้วในเดือนนี้ และมีมติ ครม. รองรับให้ดำเนินการทันที ประเด็นที่ควรเพิ่มเติมจากมติคือ การกำหนดเพดานจำนวนรายการที่บัญชีหนึ่งสืบค้นได้ต่อวัน พร้อมตั้งการแจ้งเตือนเมื่อมีการเรียกดูผิดปกติ เพราะการยืนยันตัวตนช่วยกันคนแปลกหน้าได้ แต่ไม่ช่วยกันบัญชีที่ถูกสวมรอยจากเครื่องที่ยึดได้แล้ว

อันดับที่ 2 — องค์กรโครงสร้างพื้นฐานสำคัญที่มีระบบ OT ทั้งการไฟฟ้า การประปา ระบบขนส่ง โรงงานปิโตรเคมี และโรงงานอาหาร ตามที่วิเคราะห์ไว้ในหัวข้อ 6 ความเร่งด่วนของภาคส่วนนี้สูงกว่าที่ตัวเลขเหตุการณ์สะท้อน เพราะความเสียหายไม่ใช่ข้อมูลรั่ว แต่คือการหยุดชะงักของบริการสาธารณะและความปลอดภัยของบุคลากรหน้างาน

อันดับที่ 3 — สถาบันการศึกษาและองค์กรวิจัยของไทย ซึ่งเป็นภาคส่วนที่คดี Mabna Institute ชี้ตรง ๆ ว่าเป็นเป้าหมายของการจารกรรมเชิงเศรษฐกิจระดับรัฐ บทเรียนที่ใช้ได้ทันทีคือ ทรัพย์สินที่มีค่าที่สุดของมหาวิทยาลัยไม่ได้อยู่ในระบบที่มีการป้องกันแน่นหนาที่สุดเสมอไป งานวิจัยที่ยังไม่ตีพิมพ์ ข้อมูลความร่วมมือกับภาคเอกชน และสิทธิ์เข้าถึงฐานข้อมูลที่สถาบันจ่ายค่าสมาชิก ล้วนผูกอยู่กับบัญชีของบุคลากรรายคน ซึ่งมักได้รับการป้องกันน้อยกว่าระบบส่วนกลาง ประเด็นนี้ยังเชื่อมกับเหตุการณ์ในไทยเดือนนี้โดยตรง เพราะหนึ่งในเหยื่อไทยที่ถูกประกาศชื่อคือ ระบบจัดการเรียนการสอนบนแพลตฟอร์ม Moodle ที่ผู้โจมตีอ้างว่าได้บัญชีผู้ใช้ไป 273 บัญชี ระบบเรียนออนไลน์เป็นเป้าหมายที่ผู้โจมตีชอบเป็นพิเศษ เพราะเก็บข้อมูลส่วนบุคคลของผู้เรียนจำนวนมาก มักถูกดูแลด้วยงบประมาณและกำลังคนที่จำกัดกว่าระบบธุรกิจหลัก และผู้ใช้จำนวนมากตั้งรหัสผ่านซ้ำกับบริการอื่น

อันดับที่ 4 — บริษัทเทคโนโลยีและผู้ให้บริการที่ดูแลระบบให้หลายองค์กร ซึ่งเป็นภาคส่วนที่รับความเสี่ยงจากหลายทิศทางพร้อมกัน ทั้งจากปฏิบัติการที่เล็งนักพัฒนาโดยตรงอย่างแคมเปญ npm และ SopraVPN และจากการเป็นตัวคูณความเสียหายเมื่อถูกยึด กรณีที่ควรอ่านประกอบคือ ช่องโหว่วิกฤตใน N-able N-central ที่เปิดทางยึดคอนโซล RMM ระดับ god-mode และถูกใช้โจมตีจริง (08/008 , 08/031 ) ซึ่งต่อมา Microsoft เปิดเผยว่ากลุ่มโยงจีน Storm-1175 เปลี่ยนมาใช้แรนซัมแวร์ตัวใหม่ StormEncryptor โดยคาดว่าเจาะผ่านช่องโหว่นี้ (08/059 ) กรณีนี้เป็นตัวอย่างที่ชัดของการที่กลุ่มที่ถูกประเมินว่าเชื่อมโยงกับรัฐหันมาใช้แรนซัมแวร์ ซึ่งเป็นแนวโน้มที่ทำให้การแยกแยะแรงจูงใจจากพฤติกรรมที่สังเกตได้ยากขึ้น

อันดับที่ 5 — ภาคการเงินและประกันภัย ซึ่งปรากฏชื่อในคลื่นแรนซัมแวร์ของเดือนนี้ และมีรายละเอียดหนึ่งที่ควรบันทึกไว้เป็นบทเรียนของทั้งประเทศ กล่าวคือในกรณีบริษัทประกันรายหนึ่งที่ถูกกลุ่มหน้าใหม่ประกาศชื่อ ผู้โจมตีแนบข้อมูลรับรองของบัญชีผู้ดูแลระบบมาในคำประกาศด้วย โดยรหัสผ่านที่ปรากฏมีรูปแบบเป็นตัวอักษรสี่ตัวตามด้วยตัวเลขเรียงสี่หลัก ซึ่งเป็นรูปแบบที่เดาได้ในเวลาไม่กี่วินาที หากข้อมูลรับรองชุดนี้เป็นของจริง มันบอกอะไรได้มากกว่าตัวคำอ้าง เพราะสะท้อนถึงมาตรฐานการตั้งรหัสผ่านของระบบภายในที่ผู้โจมตีเข้าถึงได้ และตรงกับข้อสังเกตในกรณีเอเจนต์ AI ที่ว่า นโยบายรหัสผ่านที่อนุญาตให้ตั้งจากรหัสประจำตัวพนักงานหรือชื่อผู้ใช้ที่เติมสัญลักษณ์เพียงเล็กน้อย ควรถูกปิดตายด้วยกฎฝั่งเซิร์ฟเวอร์ ไม่ใช่แค่คำแนะนำในคู่มือ เพราะรูปแบบเหล่านี้คือสิ่งแรกที่ระบบอัตโนมัติจะลอง

ทั้งนี้ต้องย้ำว่ารายการเหยื่อที่ปรากฏบนเว็บปล่อยข้อมูลของกลุ่มแรนซัมแวร์เป็นคำอ้างฝ่ายเดียวของผู้โจมตี ซึ่งเป็นเครื่องมือกดดันให้เหยื่อเข้าเจรจา ไม่ใช่หลักฐานที่ผ่านการตรวจสอบ โดยเฉพาะกรณีของกลุ่มที่เพิ่งเปิดตัว ซึ่งมีแรงจูงใจสูงเป็นพิเศษที่จะขยายขนาดความเสียหายเกินจริงเพื่อสร้างชื่อ

ภาพที่ 8: เมทริกซ์ประเมินพื้นผิวความเสี่ยงของประเทศไทย จำแนกตามภาคส่วนหลักและชั้นของห่วงโซ่ความไว้วางใจที่เกี่ยวข้อง ระดับสีแสดงความเร่งด่วนที่ประเมินจากทั้งหลักฐานการถูกโจมตีจริงในเดือนนี้ ระดับการพึ่งพาห่วงโซ่นั้น และความรุนแรงของผลกระทบหากถูกยึด

8. การประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ

8.1 ข้อประเมินหลักหกข้อ

ข้อที่ 1 — สมมติฐานพื้นฐานของการป้องกันไซเบอร์ที่ใช้กันอยู่ในไทยล้าสมัยแล้วอย่างน้อยหนึ่งข้อ สมมติฐานนั้นคือ “ผู้โจมตีต้องฝ่าอะไรบางอย่างเข้ามา” ซึ่งเป็นฐานของการลงทุนในไฟร์วอลล์ ระบบตรวจจับการบุกรุก และการบริหารช่องโหว่ แต่ทุกกรณีสำคัญของเดือนนี้ ทั้งในระดับโลกและในประเทศไทย ผู้โจมตีไม่ได้ฝ่าอะไรเข้ามาเลย พวกเขาเดินเข้าประตูหน้าด้วยตัวติดตั้งที่องค์กรสั่งให้ใช้ เฟิร์มแวร์ที่มากับอุปกรณ์ แพ็กเกจที่ระบบ CI ดึงเอง หรือรหัสผ่านของเจ้าหน้าที่ที่หลุดออกไปแล้ว ผลคือการลงทุนที่ตั้งอยู่บนสมมติฐานเดิมให้ผลตอบแทนลดลงอย่างมีนัยสำคัญ ในขณะที่การลงทุนด้านการยืนยันความถูกต้องของสิ่งที่ระบบยอมรับเข้ามา และการเฝ้าระวังพฤติกรรมของบัญชีที่ถูกต้อง ยังต่ำกว่าที่ควรมาก

ข้อที่ 2 — ประเทศไทยมีความเสี่ยงเชิงโครงสร้างจากการเป็นผู้รับเทคโนโลยีมากกว่าผู้ผลิต กรณี Zbtlink แสดงประเด็นนี้ตรงที่สุด เพราะไทยแทบไม่มีอำนาจต่อรองใด ๆ ในการกำหนดว่าเฟิร์มแวร์ที่มากับอุปกรณ์นำเข้าราคาประหยัดจะมีอะไรอยู่ข้างในบ้าง และแม้จะตรวจพบ ก็ไม่มีกลไกบังคับให้ผู้ผลิตต่างชาติแก้ไข สิ่งที่ทำได้จริงจึงมีเพียงสองอย่าง คือ การจัดทำบัญชีทรัพย์สินที่ครอบคลุมอุปกรณ์เครือข่ายด้วย และ การออกแบบสถาปัตยกรรมโดยสมมติว่าอุปกรณ์เหล่านี้อาจถูกยึดอยู่แล้ว ซึ่งหมายถึงการแยกส่วนเครือข่ายอย่างจริงจัง ไม่ใช่การหวังพึ่งความไว้ใจในตัวอุปกรณ์

ข้อที่ 3 — ต้นทุนของการโจมตีที่มีคุณภาพกำลังลดลงเร็วกว่าต้นทุนของการตั้งรับอย่างชัดเจน ข้อสรุปนี้มีหลักฐานรองรับจากสามทิศทางที่เป็นอิสระจากกัน คือ (ก) กรอบเอเจนต์ AI ที่ผลิตงาน 1,395 ไฟล์ใน 4 วัน ในระดับที่ผู้ปฏิบัติการซึ่งเป็นมนุษย์ทำเองคนเดียวไม่ไหว (ข) ประกาศ AA26-231A ที่ระบุว่า AI ลดกำแพงความรู้เฉพาะทางด้านระบบควบคุมอุตสาหกรรมลง และ (ค) ตัวเลขของ 1Password ที่ชี้ว่า แพตช์ที่ AI สร้างแล้วไม่ได้แก้ปัญหาจริงหรือสร้างช่องโหว่ใหม่เกิดขึ้นเฉลี่ย 53.9% กล่าวคือ AI ทำให้ฝ่ายโจมตีเร็วขึ้นมาก แต่ทำให้ฝ่ายตั้งรับเร็วขึ้นน้อยกว่ามาก และในบางกรณีอาจทำให้แย่ลงถ้ารับผลลัพธ์ไปใช้โดยไม่ทบทวน

ข้อที่ 4 — เกณฑ์ “เป้าหมายไหนคุ้มค่าที่จะโจมตี” กำลังลดต่ำลงจนองค์กรขนาดกลางเข้าข่ายแล้ว เมื่อต้นทุนต่อการโจมตีหนึ่งครั้งถูกลง เป้าหมายระดับรองที่เคยไม่คุ้มค่าลงแรงก็กลายเป็นเป้าหมายที่คุ้มขึ้นมาทันที สำหรับไทย นี่หมายความว่าโรงงานขนาดกลาง การประปาส่วนภูมิภาค โรงพยาบาลระดับจังหวัด สถาบันการศึกษาเอกชน และหน่วยงานท้องถิ่น ซึ่งเคยอยู่นอกสายตา กำลังเข้าสู่ขอบเขตความคุ้มค่าของผู้โจมตี ข้อมูลจากคลื่นแรนซัมแวร์ในเดือนนี้สนับสนุนข้อประเมินนี้ เพราะเหยื่อไทยที่ปรากฏครอบคลุมตั้งแต่ธุรกิจครอบครัวที่ก่อตั้งเมื่อปี 2531 ไปจนถึงกลุ่มธุรกิจข้ามชาติ

ข้อที่ 5 — เส้นแบ่งระหว่างจารกรรมของรัฐกับอาชญากรรมเพื่อกำไรพร่าเลือนจนไม่ควรใช้เป็นเกณฑ์จัดลำดับความสำคัญอีกต่อไป หลักฐานในเดือนนี้มีทั้งกรณี Mabna Institute ที่ทำงานให้ IRGC และลูกค้าที่จ่ายเงินจ้างด้วยโครงสร้างพื้นฐานชุดเดียวกัน กรณี Kimsuky ที่คำสั่งของผู้ปฏิบัติการรวมทั้งข้อมูลรับรองสำหรับงานข่าวกรองและกระเป๋าเงินคริปโตไว้ในคำขอเดียว และกรณี Storm-1175 ที่กลุ่มโยงจีนหันมาใช้แรนซัมแวร์ บทเรียนเชิงกระบวนการคือ การจัดระดับความสำคัญของเหตุการณ์ตาม “หน้าตาของภัย” มีความเสี่ยงที่จะประเมินต่ำกว่าความจริงอย่างมีนัยสำคัญ ทีมเฝ้าระวังของไทยที่ปิดเหตุ “มัลแวร์ขโมยคุกกี้ทั่วไป” ด้วยการล้างเครื่อง อาจกำลังปิดจุดเริ่มต้นของปฏิบัติการที่ใหญ่กว่านั้นมาก

ข้อที่ 6 — ความสามารถในการตรวจสอบย้อนหลังของไทยยังไม่รองรับกรอบเวลาของภัยที่เผชิญอยู่ เมื่อกรณีจริงมีระยะเวลาที่ช่องทางถูกวางยานาน 12 ถึง 24 เดือน แต่นโยบายเก็บล็อกของหน่วยงานส่วนใหญ่อยู่ที่ 30 ถึง 90 วัน องค์กรจึงไม่มีทางตอบได้ว่าตัวเองได้รับผลกระทบหรือไม่ แม้จะได้รับตัวบ่งชี้ที่ถูกต้องมาแล้วก็ตาม ช่องว่างระหว่างตัวเลข 800 รายกับ 500,000 รายในกรณีข้อมูลภาครัฐไทยคือหลักฐานเชิงประจักษ์ของข้อจำกัดนี้ และการที่มติ ครม. กำหนดให้ จัดทำระบบบันทึกการใช้งานย้อนหลัง ควบคู่กับคำสั่งเรื่อง MFA แสดงว่าฝ่ายนโยบายเห็นประเด็นนี้แล้ว แต่ความท้าทายอยู่ที่การบังคับใช้จริง เพราะที่ผ่านมาการสั่งการลักษณะนี้มักจบลงด้วยการรายงานผลบนกระดาษมากกว่าการตรวจสอบจริงในระบบ

8.2 สิ่งที่ยังไม่รู้และไม่ควรอนุมานเกินหลักฐาน

เพื่อความเที่ยงตรง บทวิเคราะห์นี้ระบุประเด็นที่ยังไม่มีคำตอบไว้ให้ชัด

ประเด็นแรก คือใครควบคุมโครงสร้างพื้นฐาน C2 ของ ENDLESSDOORS VulnCheck ไม่ได้สรุปเรื่องนี้ และไม่มีหลักฐานยืนยันเจตนาร้ายของผู้ผลิต การเรียกกรณีนี้ว่า “แบ็กดอร์ของรัฐ” จึงยังเป็นการอนุมาน แม้ผลลัพธ์เชิงความเสี่ยงจะเหมือนกันไม่ว่าเจตนาเดิมคืออะไร

ประเด็นที่สอง คือใครอยู่เบื้องหลัง QuickFox Fortinet ระบุเพียงความทับซ้อนเชิงยุทธวิธีกับ Mustang Panda และ ไม่มีการเปิดเผยจำนวนเหยื่อที่ถูกฝังแบ็กดอร์สำเร็จ รวมถึงไม่มีข้อมูลว่าเกิดอะไรขึ้นหลังจากนั้น

ประเด็นที่สาม คือขอบเขตที่แท้จริงของข้อมูลภาครัฐไทยที่รั่วออกไป ยังไม่มีหน่วยงานใดออกมายืนยันเป็นรายหน่วยว่าระบบของตนถูกเข้าถึงจริง ยังไม่มีการเปิดเผยตัวบ่งชี้การถูกบุกรุก ไม่มีการระบุชื่อมัลแวร์ขโมยข้อมูลที่พบบนเครื่องเจ้าหน้าที่ และยังไม่มีข้อสรุปจากตำรวจว่าเจ้าของบัญชีที่ถูกใช้เข้าระบบเป็นเหยื่อของมัลแวร์ล้วน ๆ หรือมีบางรายที่มีส่วนรู้เห็น

ประเด็นที่สี่ คือหลักฐานที่ใช้สรุปว่าสคริปต์โจมตี PLC “สร้างด้วย AI” ซึ่งประกาศ AA26-231A ไม่ได้อธิบาย และเป็นคำกล่าวอ้างที่พิสูจน์จากตัวโค้ดได้ยาก

ประเด็นที่ห้า คือสถานะทางกฎหมายของผู้เปิดโปงช่องโหว่ในไทย ซึ่งยังเป็นความตึงเครียดที่ไม่มีกรอบรองรับชัดเจน และเป็นประเด็นเชิงนโยบายที่มีผลโดยตรงต่อความมั่นคงไซเบอร์ของประเทศในระยะยาว เพราะหากผู้พบช่องโหว่ประเมินว่าการแจ้งเตือนมีความเสี่ยงทางกฎหมายสูงกว่าการนิ่งเฉย ประเทศจะสูญเสียกลไกตรวจจับที่ไม่ต้องลงทุนไปโดยปริยาย

9. ข้อเสนอเชิงยุทธศาสตร์และแนวทางรับมือ

ข้อเสนอต่อไปนี้จัดเรียงตามกรอบเวลา และเขียนขึ้นสำหรับ ผู้กำหนดนโยบาย หน่วยงานด้านความมั่นคง และองค์กรโครงสร้างพื้นฐานสำคัญ โดยพยายามระบุให้ชัดว่าแต่ละข้อแก้ปัญหาอะไรและวัดผลอย่างไร

9.1 การดำเนินการเร่งด่วน (0–30 วัน)

(1) ขยายกรอบเวลาการตรวจสอบย้อนหลังเป็นอย่างน้อย 12 เดือนสำหรับล็อก DNS และพร็อกซี และไล่ค้นตัวบ่งชี้ของกรณีในเดือนนี้ย้อนหลังตามกรอบนั้น โดยเริ่มจากโดเมนของ QuickFox, ปลายทาง C2 ของ ENDLESSDOORS ทั้งสี่แห่ง และปลายทางของ NullReceiver ข้อนี้ต้องทำก่อนข้ออื่นเพราะถ้าเก็บล็อกไม่ถึงหนึ่งปี ต้องเปลี่ยนนโยบายเก็บล็อกทันที มิฉะนั้นตัวบ่งชี้ที่ได้รับในอนาคตก็จะไร้ประโยชน์เช่นเดิม

(2) จัดทำบัญชีอุปกรณ์เครือข่ายทั้งหมด ตรวจรุ่นเทียบกับรายการ Zbtlink 20 รุ่น และอย่าดูแค่ยี่ห้อบนกล่อง ให้ตรวจหมายเลขรุ่นบนตัวเครื่องและในหน้าจัดการ เพราะอุปกรณ์ที่ผลิตแบบ OEM อาจติดแบรนด์อื่น บนอุปกรณ์ที่สงสัยให้สแกนหาไฟล์ /usr/sbin/kworker, /usr/lib/librctl.so, /etc/kworker.cfg และ /etc/init.d/skworker มาตรการบรรเทาที่ได้ผลทันทีคือการบล็อกปลายทางขาออกทั้งสี่แห่งบนไฟร์วอลล์ พร้อมบล็อก TCP 7000 และ 7001 จากอุปกรณ์เครือข่าย เพราะแบ็กดอร์อาศัยการติดต่อออกเป็นหลัก

(3) ตรวจว่ามี PLC ใดขององค์กรตอบสนองจากอินเทอร์เน็ตอยู่บ้าง โดยใช้บริการสแกนตัวเดียวกับที่ผู้โจมตีใช้เป็นเครื่องมือตรวจสอบตัวเอง ค้นด้วย port:102 และ product:"Siemens S7" จำกัดด้วยช่วงไอพีขององค์กร จากนั้นปิดการเข้าถึงจากภายนอกทุกกรณีที่ทำได้ และตั้งกฎแจ้งเตือนสำหรับคำสั่ง S7comm ที่มีความเสี่ยงสูงตามตารางในหัวข้อ 6.3 โดยเฉพาะ WriteVar (0x05), Program download (0x1A/0x1B/0x1C) และ PLCStop (0x29)

(4) สำหรับหน่วยงานภาครัฐ ให้ตรวจและล้างเครื่องปลายทางของเจ้าหน้าที่ก่อน แล้วจึงเปลี่ยนรหัสผ่านและยกเลิกเซสชันที่ค้างอยู่ทั้งหมด ลำดับนี้สำคัญกว่าความเร็ว เพราะการเปลี่ยนรหัสผ่านบนเครื่องที่ยังติดมัลแวร์คือการสร้างงานเปล่า พร้อมกันนั้นให้ นำรายชื่อบัญชีของหน่วยงานไปเทียบกับฐานข้อมูลรหัสผ่านที่รั่วไหล และ ลบบัญชีผู้ใช้ที่ไม่มีการเคลื่อนไหวออกจากระบบ ตามที่มติ ครม. กำหนด เพราะบัญชีกลุ่มนี้มีความเสี่ยงสูงเป็นพิเศษ เนื่องจากเจ้าของไม่ได้เข้าใช้งานจึงไม่มีใครสังเกตเห็นความผิดปกติหากถูกสวมรอย

(5) ตรวจสอบว่าองค์กรมี MCP server ใดทำงานอยู่บ้าง และไฟล์ตั้งค่าของเซิร์ฟเวอร์เหล่านั้นเก็บ credential เป็นข้อความธรรมดาหรือไม่ พร้อมตรวจว่ามีไฟล์ตั้งค่าใดหลุดขึ้นคลังโค้ด Git ไปแล้วหรือไม่ เพราะสิ่งที่มองไม่เห็นย่อมปกป้องไม่ได้ และการมองเห็นคือสิ่งที่กำจัด shadow AI ได้จริง หากมีการใช้ mcp-remote ให้อัปเดตให้พ้นจาก CVE-2025-6514

(6) อัปเกรดไลบรารี Diffusers เป็นเวอร์ชัน 0.38.0 ขึ้นไป และสร้างอิมเมจคอนเทนเนอร์ใหม่ทั้งหมด เพราะการอัปเกรดเฉพาะเครื่องนักพัฒนาไม่ได้ครอบคลุมจุดที่ไลบรารีทำงานจริงในระบบ CI/CD

(7) ปิดกั้นกระบวนการยืนยันตัวตนแบบ device code ผ่าน Conditional Access ในทุกกรณีที่องค์กรไม่จำเป็นต้องใช้ เพื่อตัดเส้นทางที่ CaptiveCrunch ใช้ยึดเซสชันในสถานะที่ผ่าน MFA แล้ว และ บังคับใช้ VPN แบบ full-tunnel ที่เปิดทำงานอัตโนมัติทุกครั้งที่เครื่องเชื่อมต่อเครือข่ายภายนอก สำหรับพนักงานที่เดินทาง

9.2 การปรับปรุงเชิงกระบวนการ (1–3 เดือน)

(1) เปลี่ยนตรรกะการตรวจจับจาก “ชื่อไฟล์และลายเซ็น” ไปเป็น “ความสัมพันธ์ที่ผิดปกติ” โดยตั้งกฎที่ดูความสัมพันธ์ระหว่างไบนารีที่เชื่อถือได้กับตำแหน่งที่มันถูกรัน ตามที่ Bitdefender แนะนำ กล่าวคือ แอปพลิเคชันที่มีลายเซ็นถูกต้องโหลดไลบรารีที่ถูกวางไว้ข้าง ๆ ในขณะที่ตัวมันรันจากตำแหน่งที่ผิดปกติ ซึ่งเป็นสัญญาณของ DLL sideloading ที่ปรากฏในเกือบทุกกรณีของเดือนนี้

(2) ตั้งเส้นฐานว่าเครื่องกลุ่มไหนควรคุยกับบริการคลาวด์ใดบ้าง โดยเฉพาะ Google Drive, Google Apps Script (script.google.com), Microsoft Graph, OneDrive และ GitHub แล้วเฝ้าดูความสัมพันธ์ที่ผิดปกติ เช่น เซิร์ฟเวอร์ที่ไม่ควรมีเบราว์เซอร์หรือผู้ใช้ล็อกอินกลับติดต่อบริการเหล่านี้ หรือเครื่องของผู้ใช้ทั่วไปที่ไม่ได้เขียนโค้ดกลับเรียกดูคลังโค้ดเป็นระยะอย่างสม่ำเสมอ ซึ่งเป็นรูปแบบของการรับคำสั่งมากกว่าการทำงานจริง

(3) เก็บและตรวจล็อก DNS ฝั่งไคลเอนต์ให้ได้ระดับ query ไม่ใช่แค่ปริมาณ เพราะกลไกเลือกช่องทางของ Cavern ทำงานผ่านคำตอบ A-record ล้วน ๆ การมองเห็นเฉพาะทราฟฟิก HTTP จะไม่เห็นขั้นตอนตัดสินใจนี้เลย พร้อมบังคับให้เครื่องผู้ใช้และเซิร์ฟเวอร์คุย DNS ผ่านรีโซลเวอร์ขององค์กรเท่านั้น และเฝ้าดูโดเมนที่ถูกจดทะเบียนใหม่หลังหมดอายุ

(4) เพิ่มการควบคุมในระดับพฤติกรรมของบัญชี ไม่ใช่แค่ระดับการเข้าสู่ระบบ ได้แก่ กำหนดเพดานจำนวนรายการที่บัญชีหนึ่งเรียกดูได้ต่อวัน ตั้งการแจ้งเตือนเมื่อเกินเพดานหรือเมื่อเรียกดูข้อมูลบุคคลที่มีความอ่อนไหว และเก็บบันทึกให้ตรวจสอบย้อนหลังได้ว่า ใครดูข้อมูลของใครเมื่อไร ซึ่งเป็นข้อกำหนดที่ทั้งตอบโจทย์ พ.ร.บ. คุ้มครองข้อมูลส่วนบุคคล และตอบโจทย์การตรวจจับการสวมบัญชีพร้อมกัน

(5) ทบทวนสถาปัตยกรรม SSO ว่าระบบภายในที่รับเซสชันมีการตรวจสอบเพิ่มเติมหรือไม่ และบังคับ MFA สำหรับการเข้าถึงระบบภายในที่มีข้อมูลบุคลากรหรือข้อมูลประชาชน พร้อมบังคับปฏิเสธ JWT ที่มีค่า alg เป็น none ที่ระดับไลบรารีและระดับเกตเวย์ อย่าอาศัยการตรวจในโค้ดแอปพลิเคชันเพียงชั้นเดียว

(6) ตั้งค่า scope และ registry ของ npm ให้ชัดเจน เพื่อไม่ให้ระบบไปดึงแพ็กเกจสาธารณะที่ตั้งชื่อซ้ำกับแพ็กเกจส่วนตัวขององค์กร ซึ่งเป็นแกนกลางของแคมเปญที่เล็ง Alibaba และ ตรวจสายพันธุ์ dependency ทั้งชุด ไม่ใช่แค่แพ็กเกจที่ประกาศติดตั้งโดยตรง โดยเฉพาะแพ็กเกจที่เพิ่งเผยแพร่เวอร์ชันใหม่หลังจากเงียบมานานหลายปี

(7) เปลี่ยนเกณฑ์การฝึกอบรมพนักงานเรื่องฟิชชิง จากการสังเกตข้อผิดพลาดทางภาษา ไปเป็นการตรวจสอบบริบท ได้แก่ ผู้ส่งคนนี้เคยติดต่อมาก่อนหรือไม่ คำขอนี้สมเหตุสมผลกับหน้าที่ของผู้รับหรือไม่ และมีช่องทางยืนยันตัวตนนอกอีเมลหรือไม่ เพราะบริบทเป็นสิ่งที่ AI ปลอมได้ยากกว่าสำนวนภาษามาก พร้อม สื่อสารกับทีมไอทีและผู้ดูแลระบบโดยตรงว่าปฏิบัติการแบบ SopraVPN เล็งพวกเขาเป็นเป้าหมาย และการทดสอบทางเทคนิคที่ขอให้ติดตั้งไคลเอนต์ VPN เฉพาะทางถือเป็นสัญญาณอันตราย

(8) กำหนดให้แพตช์ทุกตัวที่โมเดล AI เสนอต้องผ่านการทบทวนโดยมนุษย์และผ่านชุดทดสอบถดถอยก่อนขึ้นระบบจริง โดยเฉพาะเมื่อแพตช์นั้นแตะโค้ดที่เกี่ยวกับการยืนยันตัวตน การจัดการหน่วยความจำ หรือการตรวจสอบข้อมูลนำเข้า เพราะสถิติชี้ว่ามากกว่าครึ่งของแพตช์ที่โมเดลสร้างไม่แก้ปัญหาจริงหรือสร้างช่องโหว่ใหม่

9.3 การเตรียมการเชิงยุทธศาสตร์ (3–12 เดือน)

(1) ยกระดับการจัดการห่วงโซ่ความไว้วางใจให้เป็นหมวดหนึ่งของการบริหารความเสี่ยงองค์กร แยกจากการบริหารช่องโหว่ ซึ่งหมายถึงการมีบัญชีรายการที่ตอบได้ว่า องค์กรยอมรับซอฟต์แวร์ เฟิร์มแวร์ แพ็กเกจ และโมเดลจากใครบ้าง ผ่านช่องทางใด และมีการตรวจสอบอะไรก่อนยอมรับ โดยครอบคลุมทั้งห้าชั้นตามกรอบในหัวข้อ 1.1 ตัวชี้วัดที่ใช้ได้จริงคือ องค์กรตอบได้ภายในกี่ชั่วโมงว่ามีเครื่องใดติดตั้งซอฟต์แวร์ตัวหนึ่งอยู่บ้าง เมื่อมีรายงานภัยออกมา

(2) ปฏิบัติต่อโมเดลและไฟล์ตั้งค่าที่ดึงจากคลังสาธารณะด้วยมาตรฐานเดียวกับแพ็กเกจซอฟต์แวร์จากภายนอก คือมีการตรึงเวอร์ชัน มีการตรวจสอบก่อนนำเข้าใช้งาน และ มีการทำมิเรอร์ภายในสำหรับโมเดลที่ใช้ในระบบจริง แทนที่จะดึงสดจากอินเทอร์เน็ตทุกครั้งที่ไปป์ไลน์ทำงาน ข้อนี้เป็นการเปลี่ยนกรอบคิดที่ต้องใช้เวลา จึงจัดไว้ในกรอบเวลานี้

(3) วางนโยบายกำกับ AI agent และตัวตนที่ไม่ใช่มนุษย์ (non-human identity) ให้อยู่ในระบบเดียวกับการบริหารบัญชีผู้ใช้ ซึ่งครอบคลุมการใช้ข้อมูลยืนยันตัวตนที่มีอายุสั้นและหมุนเวียนอัตโนมัติ การบังคับใช้หลักการให้สิทธิ์เท่าที่จำเป็น การคงจุดตรวจที่มีมนุษย์อยู่ในลูปสำหรับการกระทำที่อ่อนไหว และการเก็บล็อกทุกการกระทำของ agent จุดตรวจที่มีมนุษย์อยู่ในลูปคือสิ่งที่มักหยุด prompt injection ไม่ให้กลายเป็นเหตุการณ์ร้ายแรง

(4) แยกเครือข่าย OT ออกจากเครือข่ายสำนักงานอย่างเป็นระบบ และวางบัญชีทรัพย์สินของอุปกรณ์ควบคุมอุตสาหกรรมให้ครบถ้วน พร้อมกำหนดว่า การเชื่อมต่อไปยัง PLC ต้องมาจากสถานีวิศวกรรมที่ได้รับอนุญาตเท่านั้น และคำสั่งเขียนค่าหรือแตะโปรแกรมควบคุมต้องเกิดขึ้นเฉพาะในหน้าต่างเวลาที่วางแผนไว้และมีใบสั่งงานรองรับ สำหรับองค์กรที่มี S7-1500 F-series ให้กำหนดเป็นสินทรัพย์ระดับสูงสุดที่ทุกการกระทำต้องมีบันทึก

(5) สร้างขีดความสามารถในการล่าภัย (threat hunting) ที่ไม่พึ่งลายเซ็น เพราะรูปแบบที่ปรากฏในเดือนนี้ทั้งหมด ตั้งแต่อิมแพลนต์ที่ทำงานในหน่วยความจำ การเข้ารหัสเพย์โหลดที่ผูกกับเครื่องรายตัว ไปจนถึงการใช้บริการคลาวด์ที่ถูกกฎหมายเป็นช่อง C2 ล้วนออกแบบมาให้การตรวจจับเชิงปริมาณและเชิงลายเซ็นใช้ไม่ได้ ตามที่ Bitdefender สรุปไว้ว่า “การจับให้ได้อย่างน่าเชื่อถือต้องอาศัยเส้นฐานเชิงพฤติกรรมที่ชี้ความสัมพันธ์ผิดปกติระหว่างโปรเซสกับบริการเครือข่าย มากกว่าลายเซ็นของสิ่งประดิษฐ์ชิ้นใดชิ้นหนึ่ง”

(6) ในระดับนโยบายของประเทศ ควรพิจารณาสามเรื่องควบคู่กัน เรื่องแรกคือ กรอบรองรับการเปิดเผยช่องโหว่อย่างมีความรับผิดชอบ (coordinated vulnerability disclosure) ที่ให้ความคุ้มครองทางกฎหมายแก่ผู้แจ้งเตือนโดยสุจริต เพื่อไม่ให้ประเทศสูญเสียกลไกตรวจจับที่ไม่ต้องลงทุน เรื่องที่สองคือ มาตรฐานขั้นต่ำด้านความปลอดภัยของอุปกรณ์เครือข่ายและ IoT ที่นำเข้ามาจำหน่ายในประเทศ ซึ่งเป็นเครื่องมือเดียวที่ทำให้ไทยมีอำนาจต่อรองกับกรณีแบบ Zbtlink และเรื่องที่สามคือ การกำหนดมาตรฐานการเก็บบันทึกการใช้งานขั้นต่ำสำหรับระบบที่เก็บข้อมูลประชาชน โดยกำหนดกรอบเวลาที่สอดคล้องกับระยะเวลาที่ภัยจริงใช้ในการฝังตัว ไม่ใช่กรอบที่สะดวกต่อการบริหารพื้นที่จัดเก็บ

10. บทสรุปและมุมมองไปข้างหน้า (Outlook)

10.1 บทสรุป

ห้วงเดือนสิงหาคม 2569 ไม่ได้มีเทคนิคการโจมตีใหม่ที่พลิกโฉมวงการ สิ่งที่เกิดขึ้นคือ การประกอบกันของสิ่งที่มีอยู่แล้วในรูปแบบที่ทำให้มาตรการป้องกันตามแบบแผนเสียประสิทธิภาพลงอย่างมาก

กลุ่มจารกรรมระดับรัฐจากสี่ชาติเลือกเส้นทางเดียวกันโดยไม่ได้นัดหมาย นั่นคือการยึด ห่วงโซ่ความไว้วางใจ แทนการเจาะเป้าหมายโดยตรง จีนกระจายตัวครอบคลุมทั้งห้าชั้นของห่วงโซ่ รัสเซียเน้นการยึดช่องทางที่มนุษย์เป็นผู้ตัดสินใจ เกาหลีเหนือผสมงานข่าวกรองเข้ากับการหารายได้และลงทุนกับ AI เป็นโครงสร้างพื้นฐาน ส่วนอิหร่านเดินสองภารกิจคู่กัน ทั้งจารกรรมเชิงเศรษฐกิจที่กินเวลาสิบสามปี และการเตรียมความสามารถบ่อนทำลายโครงสร้างพื้นฐานทางกายภาพ

ในเวลาเดียวกัน ปัญญาประดิษฐ์ก็เข้ามาอยู่ในสายพานปฏิบัติการแล้วในสี่บทบาทที่แยกจากกันชัดเจน ทั้งในฐานะผู้ช่วยพัฒนาที่ทำให้ทีมมืออาชีพผลิตเครื่องมือได้เร็วขึ้น ในฐานะโครงสร้างพื้นฐานที่กลุ่มรัฐชาติสร้างขึ้นเองเพื่อตัดช่องทางการมองเห็นของผู้ให้บริการโมเดล ในฐานะผู้ปฏิบัติการที่เดินงานเองได้เกือบทั้งกระบวนการ และในฐานะห่วงโซ่อุปทานชั้นใหม่ที่ตัวมันเองกลายเป็นพื้นผิวการโจมตี

สำหรับประเทศไทย เดือนนี้เป็นเดือนที่ความเสี่ยงถูกเปิดเผยพร้อมกันทั้งจากภายนอกและภายใน และสิ่งที่ควรค้างไว้ที่สุดคือข้อเท็จจริงที่ว่า วิกฤตข้อมูลภาครัฐของไทยเกิดขึ้นด้วยรูปแบบเดียวกันกับปฏิบัติการจารกรรมระดับรัฐทั่วโลก ต่างกันเพียงว่าผู้ลงมือเป็นกลุ่มเยาวชนในประเทศ ไม่ใช่หน่วยข่าวกรองต่างชาติ ซึ่งเป็นทั้งข่าวดีและข่าวร้ายในเวลาเดียวกัน ข่าวดีคือความเสียหายอาจยังจำกัด ข่าวร้ายคือ ช่องทางที่เปิดกว้างพอให้กลุ่มเยาวชนเข้าถึงข้อมูลของบุคคลระดับนายกรัฐมนตรีได้ ย่อมเปิดกว้างยิ่งกว่าสำหรับผู้ที่มีทรัพยากรระดับรัฐและมีเป้าหมายเชิงข่าวกรองที่ชัดเจน

10.2 มุมมองไปข้างหน้า

บทวิเคราะห์ฉบับนี้ประเมินแนวโน้มในช่วง 6 ถึง 12 เดือนข้างหน้าไว้ หกข้อ โดยระบุระดับความเชื่อมั่นกำกับ

แนวโน้มที่ 1 (ความเชื่อมั่นสูง) — การโจมตีที่ชั้นเฟิร์มแวร์และอุปกรณ์เครือข่ายจะถูกเปิดเผยเพิ่มขึ้น เพราะกรณี Zbtlink แสดงให้เห็นว่ามีพื้นที่ที่แทบไม่มีใครตรวจมาก่อน และเมื่อชุมชนวิจัยรู้ว่าควรมองที่ไหน การค้นพบมักตามมาเป็นชุด ผลกระทบต่อไทยจะสูงเป็นพิเศษเพราะเป็นผู้รับเทคโนโลยี

แนวโน้มที่ 2 (ความเชื่อมั่นสูง) — คลังโมเดล AI และเซิร์ฟเวอร์ MCP จะกลายเป็นเป้าหมายของการโจมตีห่วงโซ่อุปทานอย่างจริงจังภายในหนึ่งปี เพราะมีคุณสมบัติครบทุกข้อที่ทำให้ห่วงโซ่หนึ่งน่าโจมตี คือมีอัตราขยายผลสูง มีการกำกับดูแลที่ยังไม่สุกงอม และเชื่อมตรงกับข้อมูลรับรองที่มีสิทธิ์สูง ขณะนี้ยังไม่มีรายงานการโจมตีจริงผ่านเส้นทางนี้ แต่ช่องว่างระหว่างความเป็นไปได้ทางเทคนิคกับการถูกใช้จริงในกรณีอื่น ๆ มักอยู่ที่ 6 ถึง 18 เดือน

แนวโน้มที่ 3 (ความเชื่อมั่นปานกลางถึงสูง) — บทบาทของ AI ในฐานะผู้ปฏิบัติการจะขยายจากงานสำรวจไปสู่งานที่ลึกขึ้น โดยเฉพาะการเคลื่อนตัวด้านข้างและการคัดกรองข้อมูลหลังการขโมย ข้อจำกัดที่ยังเหลืออยู่คือความน่าเชื่อถือของการตัดสินใจในสภาพแวดล้อมที่ไม่คุ้นเคย แต่กลไกทวนสอบข้ามเอเจนต์ที่ปรากฏในกรณีเดือนนี้แสดงว่าข้อจำกัดนั้นกำลังถูกแก้อยู่

แนวโน้มที่ 4 (ความเชื่อมั่นปานกลาง) — จะมีเหตุการณ์ที่ระบบ OT ของประเทศในภูมิภาคอาเซียนถูกกระทบจากปฏิบัติการที่ใช้เครื่องมือระดับเดียวกับที่ประกาศ AA26-231A อธิบายไว้ เหตุผลคือเกณฑ์ความคุ้มค่าที่ลดลง ประกอบกับสัดส่วนอุปกรณ์ควบคุมรุ่นเก่าที่ยังเปิดออกสู่อินเทอร์เน็ตในภูมิภาคนี้ บทวิเคราะห์นี้ไม่ประเมินว่าจะเป็นการโจมตีเพื่อทำลาย แต่ประเมินว่าน่าจะเป็นการสำรวจและการวางตัวไว้ล่วงหน้ามากกว่า ซึ่งเป็นสิ่งที่ตรวจพบยากกว่าและมีนัยเชิงยุทธศาสตร์มากกว่า

แนวโน้มที่ 5 (ความเชื่อมั่นปานกลาง) — เส้นแบ่งระหว่างกลุ่มรัฐกับกลุ่มอาชญากรจะพร่าเลือนมากขึ้นจนกรอบการวิเคราะห์ที่ใช้อยู่ต้องปรับ โดยเฉพาะรูปแบบ “รับจ้างแฮ็ก” ที่ใช้โครงสร้างพื้นฐานชุดเดียวรับงานหลายประเภท ซึ่งปรากฏชัดในคดี Mabna Institute ผลกระทบเชิงปฏิบัติคือ องค์กรจะไม่สามารถใช้คำถามว่า “เราเป็นเป้าของรัฐหรือไม่” เป็นเกณฑ์ตัดสินระดับการลงทุนด้านความปลอดภัยได้อีก

แนวโน้มที่ 6 (ความเชื่อมั่นปานกลาง) — สำหรับประเทศไทย ผลของมติ ครม. 11 สิงหาคมจะเป็นตัวชี้วัดสำคัญ หากการบังคับใช้ MFA และการปิดระบบเก่าเกิดขึ้นจริงในระดับที่ตรวจสอบได้ ช่องทางที่ผู้โจมตีทุกระดับใช้อยู่ในเดือนนี้จะแคบลงอย่างมีนัยสำคัญ แต่หากจบลงด้วยการรายงานผลบนกระดาษ ข้อมูลรับรองของคนไทยราว 60 ล้านรายการที่หลุดออกไปแล้วจะยังคงเป็นวัตถุดิบให้ผู้โจมตีหยิบใช้ต่อไปอีกหลายปี เพราะเลขบัตรประชาชน ที่อยู่ และข้อมูลทะเบียนรถ เป็นข้อมูลที่เปลี่ยนไม่ได้เหมือนรหัสผ่าน

ข้อสรุปสุดท้ายของบทวิเคราะห์ฉบับนี้คือ คำถามที่ผู้กำหนดนโยบายและหน่วยงานด้านความมั่นคงของไทยควรถามในรอบถัดไป ไม่ใช่ “เราถูกเจาะหรือยัง” แต่คือ “เรายอมรับอะไรเข้ามาในระบบบ้าง โดยไม่ได้ตรวจสอบ และเราจะรู้ได้อย่างไรถ้าสิ่งนั้นเปลี่ยนไป”

ภาคผนวก ก: การจับคู่กับกรอบ MITRE ATT&CK

ตารางนี้จับคู่เทคนิคที่ปรากฏในกรณีศึกษาของบทวิเคราะห์ฉบับนี้เข้ากับกรอบ MITRE ATT&CK สำหรับองค์กร และกรอบ ATT&CK for ICS ในส่วนที่เกี่ยวข้องกับ PLC เพื่อให้ทีมเฝ้าระวังนำไปเทียบกับความครอบคลุมของกฎตรวจจับที่มีอยู่

ก.1 ATT&CK for Enterprise

ก.2 ATT&CK for ICS (ส่วนที่เกี่ยวกับ PLC ตระกูล Siemens S7)

ภาคผนวก ข: ตัวบ่งชี้การบุกรุกรวม (Consolidated IoCs)

หมายเหตุด้านความปลอดภัย: ตัวบ่งชี้ทั้งหมดถูก defang แล้ว ให้แปลงกลับเป็นรูปแบบปกติเฉพาะภายในระบบข่าวกรองภัยคุกคามที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM ขององค์กรเท่านั้น ห้ามคัดลอกไปเปิดโดยตรง

ข.1 QuickFox / FDMTP (ทับซ้อนเชิงยุทธวิธีกับ Mustang Panda)

ข.2 Zbtlink ENDLESSDOORS

ข.3 Head Mare / TrueConf / PhantomCore

ข.4 NullReceiver (Contagious Interview)

ข.5 แคมเปญ npm ที่เล็งนักพัฒนาของ Alibaba

รายชื่อแพ็กเกจทั้งหมดที่เกี่ยวข้อง: lib-mtop, aone-kit, aone-kit-cli, aone-sandbox, local-config-parser, smart-config-manager, cloud-config-fetcher, fast-transform-pipeline, aone-cloud-cli, colder-cli, def-open-client, feedback-ai-sdk, flight-compare-analyzer, lwp-web-client, lzd-unified-station-sdk, open-worker-cli, test-skill-zip, uniapi-bridge

ข.6 CaptiveCrunch / CornFlake / ChocoShell

ข.7 SopraVPN (Sandworm / UAC-0145)

ข.8 HoneyMyte / CoolClient

ข.9 OctLurk / SilkLurk

ข.10 Cavern / Cavern Manticore (อิหร่าน)

ข.11 ตัวบ่งชี้เชิงพฤติกรรมสำหรับสภาพแวดล้อม OT (PLC ตระกูล Siemens S7)

ข.12 ตัวบ่งชี้เชิงพฤติกรรมที่ควรตั้งกฎเฝ้าระวังทั่วไป

• ไบนารีที่มีลายเซ็นถูกต้องโหลด DLL จากไดเรกทอรีที่เขียนได้โดยผู้ใช้ทั่วไป ในขณะที่ตัวมันรันจากตำแหน่งที่ผิดปกติ — สัญญาณของ DLL side-loading ที่ปรากฏในเกือบทุกกรณีของเดือนนี้
• ไฟล์บีบอัดที่ตั้งรหัสผ่านและมีรหัสผ่านอยู่ในเนื้อความอีเมล — รูปแบบที่ออกแบบมาเพื่อหลบการสแกนไฟล์แนบโดยเฉพาะ
• เซิร์ฟเวอร์ที่ไม่ควรมีเบราว์เซอร์หรือผู้ใช้ล็อกอิน กลับติดต่อ Google Drive, script.google.com, OneDrive หรือ Microsoft Graph
• เครื่องของผู้ใช้ทั่วไปที่ไม่ได้เขียนโค้ด กลับเรียกดูคลังโค้ดบน GitHub เป็นระยะอย่างสม่ำเสมอ — รูปแบบของการรับคำสั่งมากกว่าการทำงานจริง
• แอปพลิเคชันที่ไม่ควรยุ่งกับคริปโต ส่งทราฟฟิกไปยังผู้ให้บริการ RPC ของ Ethereum
• การเรียกใช้ curl จากกระบวนการติดตั้งแพ็กเกจ และ การเรียกใช้ WinRAR หรือ 7-Zip ในบริบทที่ไม่ใช่งานปกติของผู้ใช้
• การรัน PowerShell ที่เข้าถึงไฟล์ .tbres ในแคชของ Token Broker
• ไฟล์คอนฟิก WireGuard ที่มีตัวเลือกนอกมาตรฐาน เช่น SymmetricKey
• บัญชีเดียวเรียกดูข้อมูลจำนวนมากผิดปกติในเวลาสั้น การล็อกอินจากไอพีที่ไม่เคยใช้หรืออยู่คนละจังหวัดกับที่ตั้งของหน่วยงาน และการสืบค้นข้อมูลบุคคลที่ไม่เกี่ยวข้องกับหน้าที่ของบัญชีนั้น
• การส่งภาพ CAPTCHA ผ่านในอัตราที่สูงผิดปกติ — สัญญาณว่ามีตัวถอด OCR อยู่ปลายทาง
• การเรียก API จำนวนมากในเวลาสั้นจากต้นทางเดียว และการพยายามล็อกอินที่กระจายไปหลายบัญชีแต่ลองรหัสผ่านน้อยครั้งต่อบัญชี — ลายเซ็นของการทำงานอัตโนมัติ

แหล่งอ้างอิง

รายงานทางเทคนิคจากผู้ให้บริการ

• QuickFox Supply Chain Attack Used to Deploy FDMTP Implant — Fortinet FortiGuard Labs
• ZBT ENDLESSDOORS — VulnCheck
• Head Mare Targets TrueConf Server with PhantomCore — Securelist
• HelloNet: ViPNet Update Mechanism Hijacked — Securelist
• OctLurk and SilkLurk backdoors used in attacks against Central Asia — Securelist
• SilkParasite: Tracking a China-Nexus APT Across Central Asia — Bitdefender Business Insights
• HoneyMyte CoolClient driver rootkit — Securelist by Kaspersky GReAT
• Project Cav3rn continues — Securelist (Kaspersky GReAT)
• Project Cav3rn: cyberespionage framework using Outlook and DNS — Securelist
• HOLLOWGRAPH abuses Microsoft 365 calendars — Group-IB
• npm RAT Targets Alibaba — Socket
• NullReceiver: A DPRK C2 Technique — OpenSource Malware
• Kimsuky and Local LLM Infrastructure — Genians Threat Intelligence
• FaceHugger: Vulnerabilities in Hugging Face Diffusers open door to supply chain attacks on enterprise AI — Zafran Labs
• Inside a Multi-Agent AI Framework Used to Compromise Government Entities in Asia — Dream Security
• CaptiveCrunch: Midnight Blizzard targets travelers worldwide for malware delivery and credential theft — Microsoft Security Blog
• Threat Spotlight: DNS Poisoning Tactics Expand to Hospitality — ReliaQuest
• CERT-UA — รายงานปฏิบัติการ UAC-0145
• APT42 AI-assisted phishing and TAMECAT analysis — DarkAtlas

ประกาศและเอกสารของหน่วยงานรัฐ

• Defending Against an Active Threat to Siemens S7 Series PLCs (AA26-231A) — CISA
• 17 Iranians Charged With Conducting Massive Cyber Theft Campaign on Behalf of the Islamic Revolutionary Guard Corps — U.S. Department of Justice
• Mabna Institute — Rewards for Justice, U.S. Department of State
• Treasury Sanctions Kimsuky — U.S. Department of the Treasury
• SVR cyber actors adapt tactics for initial cloud access — UK NCSC
• “ภราดร” สรุปปมข้อมูลรั่ว ชี้ต้นตอจากรหัสผ่านหลุด ไม่ใช่การเจาะระบบ — กรมประชาสัมพันธ์

แนวทางล่าภัยและการวิเคราะห์เพิ่มเติม

• Threat Hunt Plan: Siemens S7 Series PLCs — AI-Assisted S7comm Exploitation, snap7 Masquerading Tools, and Internet Exposure — 1898 & Co. (Burns & McDonnell)
• Active Threat Targeting Siemens S7 Series Programmable Logic Controllers — 1898 & Co.
• US warns of AI-powered attacks on Siemens PLCs in critical infrastructure — BleepingComputer
• NSA, CISA, FBI, DOE, and EPA Warn of Active AI-Assisted Attacks on Siemens S7 PLCs — Security Affairs
• Expanding Daybreak as the cyber defense window narrows — OpenAI
• Why AI-generated patches still require human review — 1Password
• CVE-2025-6514 — NVD (NIST)

ฐานข่าวของ Cloud Thunder ที่ใช้ประกอบบทวิเคราะห์

โพสต์เดือนสิงหาคม 2569 ที่อ้างอิงโดยตรง ได้แก่ 08/004 · 08/005 · 08/008 · 08/009 · 08/024 · 08/025 · 08/026 · 08/027 · 08/028 · 08/030 · 08/031 · 08/035 · 08/046 · 08/047 · 08/053 · 08/055 · 08/059 · 08/066 · 08/073 · 08/079 · 08/080 · 08/089 · 08/090 · 08/091 · 08/101 · 08/106 · 08/108 · 08/113 · 08/118 · 08/119 · 08/130 · 08/132