จัดทำโดย: Cloud Thunder Threat Intelligence
หัวข้อ: ภูมิทัศน์กลุ่มจารกรรมไซเบอร์ที่มุ่งเป้าภูมิภาคอาเซียน (ASEAN-focused Threat Actors)
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคามระดับชาติ (Strategic Threat Assessment)
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของประเทศไทย
ฐานข้อมูล: รายงานจาก Mandiant, Trend Micro, Kaspersky, ESET, Symantec, SentinelOne, Palo Alto Networks Unit 42, Microsoft, Cybereason, Proofpoint, คำฟ้องกระทรวงยุติธรรมสหรัฐฯ, MITRE ATT&CK และฐานข่าวของ Cloud Thunder

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

ภูมิภาคเอเชียตะวันออกเฉียงใต้ได้กลายเป็นหนึ่งในสมรภูมิจารกรรมไซเบอร์ที่หนาแน่นที่สุดของโลก และประเทศไทยในฐานะศูนย์กลางการทูตของอาเซียน ประเทศที่มีชายแดนติดกับพื้นที่ผลประโยชน์สูงของมหาอำนาจ และเป็นที่ตั้งของโครงสร้างพื้นฐานสำคัญข้ามพรมแดน ตกอยู่ในเป้าหมายของกลุ่มภัยคุกคามขั้นสูงแบบต่อเนื่อง (APT — Advanced Persistent Threat) จำนวนมากอย่างต่อเนื่อง บทวิเคราะห์ฉบับนี้ประเมินกลุ่มภัยคุกคามสำคัญ 9 กลุ่มที่มุ่งเป้าภูมิภาคอาเซียนโดยตรง ซึ่งเกือบทั้งหมดเป็นกลุ่มที่นักวิจัยเชื่อมโยงกับสาธารณรัฐประชาชนจีน สะท้อนว่าภัยหลักต่อภูมิภาคนี้ในเชิงจารกรรมของรัฐมีทิศทางที่ชัดเจน

สิ่งที่ควรถือเป็นสัญญาณเตือนระดับชาติคือ ในบรรดากลุ่มเหล่านี้ มีอย่างน้อยสามกลุ่มที่นักวิจัยระบุ “ประเทศไทย” เป็นเป้าหมายโดยตรง ได้แก่ ToddyCat ที่เจาะหน่วยงานรัฐและกลาโหมระดับสูง Earth Longzhi (ทีมย่อยของ APT41) ที่โจมตีองค์กรไทยควบคู่ไต้หวันและฟิลิปปินส์ และ Earth Baku ที่ใช้ภูมิภาคอาเซียนเป็นฐานเป้าหมายดั้งเดิม ขณะที่กลุ่มอย่าง APT40 (Leviathan) มุ่งจารกรรมข้อมูลภาคทะเลของประเทศรอบทะเลจีนใต้ และ GALLIUM เจาะผู้ให้บริการโทรคมนาคมในภูมิภาคเพื่อดักข้อมูลการสื่อสารของประชาชนจำนวนมหาศาล

กลุ่มเหล่านี้มีลายเซ็นทางเทคนิคที่ทับซ้อนกันอย่างมีนัยสำคัญ ทั้งการฉวยประโยชน์จากอุปกรณ์ขอบเครือข่าย (edge devices) ที่หันหน้าออกอินเทอร์เน็ต การใช้เทคนิค DLL sideloading เพื่อพรางตัวผ่านโปรแกรมที่ถูกกฎหมาย การเปลี่ยนบริการคลาวด์สาธารณะให้เป็นช่องทางสั่งการ (C2) และการฝังตัวระยะยาวเพื่อจารกรรมข้อมูลเชิงยุทธศาสตร์ บทวิเคราะห์ฉบับนี้ประเมินว่า ความเสี่ยงต่อไทยไม่ใช่เรื่องขององค์กรใดองค์กรหนึ่ง แต่เป็นเรื่อง อธิปไตยทางข้อมูลและความมั่นคงของชาติ ที่ต้องอาศัยการยกระดับการป้องกันโครงสร้างพื้นฐานสำคัญ (CII) และการตอบสนองเชิงนโยบายอย่างเป็นระบบ

ภาพที่ 1: เมทริกซ์แสดงกลุ่มภัยคุกคามทั้ง 9 กลุ่มและประเทศเป้าหมายในภูมิภาคอาเซียนและใกล้เคียง ช่องสีเข้มคือประเทศที่นักวิจัยยืนยันว่าเป็นเป้าหมายของกลุ่มนั้น จะเห็นว่าประเทศไทย เวียดนาม และฟิลิปปินส์เป็นเป้าหมายที่ถูกกลุ่มต่าง ๆ พุ่งเป้ามากที่สุด

1. ทำไมอาเซียนและไทยจึงเป็นเป้าหมาย (Strategic Rationale)

การเลือกเป้าหมายของกลุ่มจารกรรมไซเบอร์ไม่ใช่เรื่องสุ่ม แต่สะท้อนวาระข่าวกรองของรัฐผู้สนับสนุน ภูมิภาคอาเซียนตกเป็นเป้าหมายหลักด้วยเหตุผลเชิงภูมิรัฐศาสตร์หลายประการที่เกี่ยวพันกันโดยตรง เหตุผลแรกคือข้อพิพาททะเลจีนใต้ (South China Sea) ซึ่งทำให้ประเทศที่มีส่วนได้เสียอย่างเวียดนาม ฟิลิปปินส์ มาเลเซีย บรูไน และประเทศที่มีบทบาททางการทูตอย่างไทยและกัมพูชา กลายเป็นแหล่งข่าวกรองที่มีมูลค่าสูงต่อการวางแผนเชิงยุทธศาสตร์ของมหาอำนาจ กลุ่มอย่าง APT40 และ Aoqin Dragon มีรูปแบบการเลือกเป้าหมายที่สอดคล้องกับวาระนี้อย่างชัดเจน

เหตุผลที่สองคือบทบาทของภูมิภาคในฐานะศูนย์กลางเศรษฐกิจดิจิทัลและห่วงโซ่อุปทาน (supply chain) ของโลก ผู้ให้บริการโทรคมนาคม ผู้ให้บริการเทคโนโลยีสารสนเทศ และผู้ผลิตในอาเซียนเป็นทั้งเป้าหมายในตัวเองและเป็น “สะพาน” เข้าสู่เป้าหมายปลายทางในประเทศอื่น กลุ่มอย่าง GALLIUM จึงเจาะผู้ให้บริการโทรคมนาคมเพื่อเข้าถึงข้อมูลการสื่อสารในวงกว้าง ขณะที่ ToddyCat และ Earth Baku เจาะผู้ให้บริการ IT เพื่อขยายผลต่อ

สำหรับประเทศไทยโดยเฉพาะ ปัจจัยเสี่ยงถูกทวีคูณด้วยสถานะการเป็นศูนย์กลางการประชุมและการทูตของอาเซียน การมีโครงการพลังงานและโครงสร้างพื้นฐานข้ามพรมแดนกับประเทศเพื่อนบ้าน และการเป็นที่ตั้งของหน่วยงานความมั่นคงที่ถือครองข้อมูลอ่อนไหวระดับภูมิภาค ปัจจัยเหล่านี้ทำให้ไทยไม่ได้เป็นเพียง “เป้าหมายหนึ่งในภูมิภาค” แต่เป็นเป้าหมายที่ถูกเลือกอย่างจงใจในหลายแคมเปญ ดังที่ปรากฏชื่อไทยในรายงานของนักวิจัยที่ติดตาม ToddyCat และ Earth Longzhi

2. กลุ่มภัยคุกคามที่มุ่งเป้าอาเซียน (Threat Actor Landscape)

กลุ่มทั้ง 9 สามารถจัดกลุ่มตามลักษณะปฏิบัติการและระบบนิเวศได้เป็นห้าคลัสเตอร์ เพื่อให้เห็นภาพความเชื่อมโยงและความแตกต่างของภัย

2.1 คลัสเตอร์จารกรรมภาคทะเลและภูมิรัฐศาสตร์ — APT40

APT40 หรือ Leviathan เป็นกลุ่มที่คำฟ้องของกระทรวงยุติธรรมสหรัฐฯ ปี 2564 ระบุว่าดำเนินการโดยหน่วยงานความมั่นคงแห่งรัฐประจำมณฑลไหหลำในสังกัดกระทรวงความมั่นคงแห่งรัฐจีน (MSS) กลุ่มนี้เชี่ยวชาญการจารกรรมภาคการเดินเรือ การต่อเรือ กลาโหมทางเรือ และหน่วยงานรัฐของประเทศรอบทะเลจีนใต้ จุดเด่นคือความรวดเร็วในการฉวยประโยชน์จากช่องโหว่ใหม่ของอุปกรณ์ขอบเครือข่าย ทำให้เป็นภัยเฉพาะหน้าต่อหน่วยงานที่เกี่ยวข้องกับผลประโยชน์ทางทะเลของไทยและอาเซียน

2.2 คลัสเตอร์ระบบนิเวศ APT41 — Earth Baku และ Earth Longzhi

APT41 (Winnti) เป็นกลุ่มจีนขนาดใหญ่ที่แบ่งเป็นทีมย่อยหลายทีม สองทีมที่มุ่งเป้าอาเซียนโดยตรงคือ Earth Baku และ Earth Longzhi ตามการติดตามของ Trend Micro โดย Earth Baku เริ่มปฏิบัติการจากไต้หวันและอาเซียนก่อนขยายไปยุโรปและตะวันออกกลาง เจาะภาครัฐ เทคโนโลยี สื่อ และสายการบิน ด้วยการฉวยช่องโหว่เซิร์ฟเวอร์ IIS และแบ็กดอร์อย่าง SombRAT และ SneakCross ส่วน Earth Longzhi ระบุชื่อไทยเป็นเป้าหมายชัดเจน และโดดเด่นด้วยเทคนิค “นำไดรเวอร์ที่มีช่องโหว่มาเอง” (Bring Your Own Vulnerable Driver — BYOVD) เพื่อปิดการทำงานของซอฟต์แวร์ความปลอดภัยก่อนวางเพย์โหลด

2.3 คลัสเตอร์เจาะโครงสร้างพื้นฐานโทรคมนาคม — GALLIUM

GALLIUM (Alloy Taurus) สร้างชื่อจากปฏิบัติการ Operation Soft Cell ที่เจาะผู้ให้บริการโทรคมนาคมทั่วโลกอย่างเป็นระบบเพื่อขโมยบันทึกการโทร (Call Detail Records — CDR) ข้อมูลสมาชิก และข้อมูลตำแหน่ง ผู้ให้บริการในอาเซียนเป็นเป้าหมายหลักกลุ่มหนึ่ง การเจาะผู้ให้บริการรายเดียวสามารถกระทบข้อมูลการสื่อสารของผู้ใช้จำนวนมหาศาล ทำให้กลุ่มนี้เป็นภัยระดับสูงต่อโครงสร้างพื้นฐานสำคัญ (CII) ของไทย

2.4 คลัสเตอร์พรางตัวขั้นสูงและห่วงโซ่อุปทาน — Worok และ Evasive Panda

Worok และ Evasive Panda (Daggerfly) เป็นตัวอย่างของกลุ่มที่ใช้เทคนิคอำพรางขั้นสูง Worok ซ่อนเพย์โหลดอันตรายไว้ในไฟล์ภาพ PNG ด้วยเทคนิค steganography และใช้บัญชี Dropbox เป็นช่องทางสั่งการ ขณะที่ Evasive Panda สามารถเจาะห่วงโซ่การอัปเดตซอฟต์แวร์ และในกรณี StormBamboo ยังวางยาการตอบสนอง DNS ที่ระดับผู้ให้บริการอินเทอร์เน็ตเพื่อเปลี่ยนเส้นทางการอัปเดตให้ดาวน์โหลดมัลแวร์ ทั้งสองกลุ่มมีเป้าหมายในอาเซียน โดยเฉพาะกัมพูชา เวียดนาม และเมียนมา

2.5 คลัสเตอร์จารกรรมภูมิภาค — ToddyCat, Tropic Trooper และ Aoqin Dragon

สามกลุ่มนี้เน้นจารกรรมหน่วยงานรัฐและองค์กรในภูมิภาคเอเชีย-แปซิฟิก ToddyCat เป็นกลุ่มที่มีความเกี่ยวข้องกับไทยมากที่สุด เจาะหน่วยงานรัฐและกลาโหมระดับสูงด้วยแบ็กดอร์ Samurai และ Ninja โดยเริ่มจากช่องโหว่ ProxyLogon บน Exchange Tropic Trooper (Earth Centaur) เคลื่อนไหวยาวนานตั้งแต่ปี 2011 เจาะไต้หวัน ฟิลิปปินส์ และฮ่องกง และมีความสามารถเจาะเครือข่ายที่ตัดขาดจากอินเทอร์เน็ต (air-gapped) ผ่านเวิร์ม USB ส่วน Aoqin Dragon เคลื่อนไหวเงียบ ๆ ตั้งแต่ปี 2013 เจาะรัฐบาลและการศึกษาในกัมพูชา สิงคโปร์ เวียดนาม และออสเตรเลีย

ภาพที่ 2: เส้นเวลาแสดงปีที่แต่ละกลุ่มเริ่มเคลื่อนไหว/ถูกเปิดเผย จะเห็นว่ากลุ่มเหล่านี้สะสมมาต่อเนื่องกว่าทศวรรษ ตั้งแต่ Tropic Trooper (2011) จนถึงกลุ่มที่เปิดเผยล่าสุด สะท้อนภัยที่ฝังตัวและพัฒนาอย่างต่อเนื่อง ไม่ใช่ภัยชั่วคราว

3. ยุทธวิธี เทคนิค และเครื่องมือร่วม (Shared TTPs)

แม้กลุ่มทั้ง 9 จะปฏิบัติการแยกกัน แต่มีลายเซ็นทางเทคนิคที่ทับซ้อนกันจนกลายเป็น “แบบแผนภัย” ของกลุ่มจีน-nexus ในภูมิภาคนี้ เทคนิคแรกที่พบบ่อยที่สุดคือการฉวยประโยชน์จากอุปกรณ์และบริการที่หันหน้าออกอินเทอร์เน็ต ทั้งอุปกรณ์ VPN ไฟร์วอลล์ เซิร์ฟเวอร์ Exchange และ IIS เพื่อเป็นจุดตั้งต้น จากนั้นวางเว็บเชลล์ (web shell) เช่น China Chopper หรือ Behinder เพื่อคงการเข้าถึง กลุ่มอย่าง APT40, GALLIUM, Earth Baku และ ToddyCat ล้วนใช้รูปแบบนี้

เทคนิคที่สองที่เป็นลายเซ็นเด่นคือ DLL sideloading หรือการยืมโปรแกรมที่มีลายเซ็นดิจิทัลถูกต้องมาเป็นฉากบังหน้าโหลดมัลแวร์ ทำให้ระบบป้องกันมองว่าเป็นไฟล์ที่น่าเชื่อถือ กลุ่มอย่าง Earth Longzhi, Tropic Trooper และ Earth Baku ใช้เทคนิคนี้อย่างชำนาญ ในกรณีของ Earth Longzhi ยังยกระดับด้วยเทคนิค BYOVD เพื่อปิดเครื่องมือ EDR โดยตรง ซึ่งเป็นความท้าทายเฉพาะต่อระบบป้องกันปลายทาง

เทคนิคที่สามคือการเปลี่ยนบริการคลาวด์และแพลตฟอร์มที่ถูกกฎหมายให้เป็นช่องทางสั่งการ (C2) เพื่อให้ทราฟฟิกอันตรายกลมกลืนกับกิจกรรมปกติ Worok และ ToddyCat ใช้ Dropbox เป็นช่องทางส่งข้อมูลออก ขณะที่ Earth Baku ใช้บริการของ Google เทคนิคที่สี่ซึ่งพบในกลุ่มที่เน้นเจาะเครือข่ายปิดคือการใช้เวิร์ม USB (Tropic Trooper, Aoqin Dragon) เพื่อข้ามช่องว่างของเครือข่าย air-gapped และเทคนิคที่ห้าที่โดดเด่นเป็นพิเศษคือ steganography ของ Worok ที่ซ่อนโค้ดในไฟล์ภาพ ทั้งหมดนี้สะท้อนว่าภัยหลักไม่ได้มาจากช่องโหว่ราคาแพง แต่มาจาก “ความอดทนและการพรางตัว”

ภาพที่ 3: เมทริกซ์เทคนิคหลักของแต่ละกลุ่ม ช่องที่ทำเครื่องหมายคือเทคนิคที่นักวิจัยยืนยันว่ากลุ่มนั้นใช้ จะเห็นว่า DLL sideloading และการฉวยช่องโหว่อุปกรณ์ขอบเครือข่ายเป็นเทคนิคร่วมที่พบมากที่สุด ทำให้เป็นจุดที่การป้องกันควรให้ความสำคัญสูงสุด

4. ผลกระทบต่อประเทศไทยโดยตรง (Direct Impact on Thailand)

เมื่อประเมินภาพรวมทั้ง 9 กลุ่มในมุมความมั่นคงของไทย ภาคส่วนที่มีความเสี่ยงสูงสุดสามารถเรียงลำดับได้ดังนี้ อันดับแรกคือ หน่วยงานราชการด้านความมั่นคงและการต่างประเทศ ซึ่งเป็นเป้าหมายของ ToddyCat, Earth Longzhi, APT40 และกลุ่มจารกรรมภูมิภาคอื่น ๆ เพราะถือครองข้อมูลนโยบาย การทูต และความมั่นคงที่ตรงกับวาระข่าวกรองของรัฐผู้สนับสนุน กรณี ToddyCat และ Earth Longzhi ที่ระบุชื่อไทยชัดเจนทำให้ความเสี่ยงนี้ไม่ใช่สมมติฐาน แต่เป็นภัยที่เกิดขึ้นจริง

อันดับที่สองคือ ภาคโทรคมนาคมและโครงสร้างพื้นฐานสำคัญ (CII) ซึ่งเป็นเป้าหมายเฉพาะของ GALLIUM การเจาะผู้ให้บริการโทรคมนาคมเปิดโอกาสให้ผู้โจมตีเข้าถึงข้อมูลการสื่อสารและตำแหน่งของประชาชนและเจ้าหน้าที่จำนวนมาก ซึ่งเป็นภัยต่อทั้งความเป็นส่วนตัวและความมั่นคง ในทำนองเดียวกัน ภาคพลังงานและการเดินเรือก็เป็นเป้าหมายของ APT40 และ Worok ที่สนใจข้อมูลด้านทะเลและพลังงานข้ามพรมแดน

อันดับที่สามคือ ผู้ให้บริการเทคโนโลยีสารสนเทศและห่วงโซ่อุปทานดิจิทัล ซึ่งกลุ่มอย่าง ToddyCat, Earth Baku และ Evasive Panda ใช้เป็นสะพานเข้าสู่เป้าหมายปลายทาง ความเสี่ยงเชิงระบบคือ การเจาะผู้ให้บริการรายเดียวสามารถลุกลามไปยังลูกค้าจำนวนมากพร้อมกัน ภาคสาธารณสุข การศึกษา และการผลิตก็อยู่ในข่ายเสี่ยงจาก Earth Longzhi และ Aoqin Dragon เช่นกัน

ภาพที่ 4: ภาคส่วนของไทยที่มีความเสี่ยง เรียงตามจำนวนกลุ่มภัยคุกคามที่มีเป้าหมายในภาคนั้น หน่วยงานรัฐ/ความมั่นคง โทรคมนาคม และผู้ให้บริการ IT เป็นภาคที่ถูกกลุ่มต่าง ๆ พุ่งเป้ามากที่สุด

5. ประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ (National Security Assessment)

ภาพรวมของภัยทั้ง 9 กลุ่มชี้ให้เห็นแนวโน้มเชิงยุทธศาสตร์ที่สำคัญสามประการต่อความมั่นคงของไทย ประการแรก ภัยจารกรรมของรัฐต่อไทยมีลักษณะ ต่อเนื่อง เป็นระบบ และมีวาระชัดเจน ไม่ใช่การโจมตีแบบฉวยโอกาส กลุ่มเหล่านี้ลงทุนพัฒนาเครื่องมือเฉพาะและฝังตัวระยะยาว เป้าหมายคือการเข้าถึงข้อมูลเชิงยุทธศาสตร์อย่างต่อเนื่อง มากกว่าการสร้างความเสียหายเฉพาะหน้า ซึ่งหมายความว่าองค์กรที่ถูกเจาะอาจไม่รู้ตัวเป็นเวลานานหลายเดือนหรือหลายปี

ประการที่สอง จุดอ่อนที่ถูกใช้ประโยชน์มากที่สุดไม่ใช่ช่องโหว่ล้ำสมัย แต่เป็น สุขอนามัยไซเบอร์พื้นฐานที่ยังไม่แข็งแรง ทั้งอุปกรณ์ขอบเครือข่ายที่ไม่ได้แพตช์ทันเวลา การขาดการยืนยันตัวตนหลายชั้น (MFA) การมองไม่เห็นการใช้เครื่องมือ living-off-the-land และการขาดการเฝ้าระวังทราฟฟิกออกที่ใช้บริการคลาวด์ ปัจจัยเหล่านี้เป็นสิ่งที่แก้ไขได้ด้วยการยกระดับมาตรฐานการป้องกัน ไม่จำเป็นต้องใช้เทคโนโลยีราคาแพงเพียงอย่างเดียว

ประการที่สาม ความเสี่ยงมีลักษณะ เชิงระบบและข้ามองค์กร ผ่านห่วงโซ่อุปทานและผู้ให้บริการร่วม การป้องกันในระดับองค์กรเดียวจึงไม่เพียงพอ ต้องอาศัยการยกระดับความร่วมมือในระดับชาติ ทั้งการแบ่งปันข่าวกรองภัยคุกคาม (threat intelligence sharing) ระหว่างหน่วยงานรัฐและ CII การกำหนดมาตรฐานความปลอดภัยของผู้ให้บริการ และการเตรียมแผนตอบสนองที่ประสานกันในระดับภูมิภาค สอดคล้องกับกรอบกฎหมายไซเบอร์ของไทยและมาตรฐานสากลอย่าง ISO 27001

6. ข้อเสนอเชิงยุทธศาสตร์ (Strategic Recommendations)

ระยะเร่งด่วน (0–30 วัน)

หน่วยงานควรเริ่มจากการปิดช่องทางเข้าที่กลุ่มเหล่านี้ใช้มากที่สุด ได้แก่ การเร่งตรวจสอบและแพตช์อุปกรณ์ขอบเครือข่ายทั้งหมด (VPN, ไฟร์วอลล์, เซิร์ฟเวอร์ Exchange และเว็บที่หันหน้าออกอินเทอร์เน็ต) การตรวจหาเว็บเชลล์บนเซิร์ฟเวอร์สาธารณะ การเปิดใช้การยืนยันตัวตนหลายชั้นแบบต้านฟิชชิงกับทุกบัญชีที่เข้าถึงจากระยะไกล และการเปิดใช้บัญชีบล็อกไดรเวอร์ที่มีช่องโหว่ (vulnerable driver blocklist / HVCI) เพื่อรับมือเทคนิค BYOVD ของ Earth Longzhi

ระยะกลาง (1–3 เดือน)

หน่วยงานควรยกระดับการมองเห็น (visibility) ภายในเครือข่าย ด้วยการติดตั้งและปรับจูน EDR ให้ตรวจจับ DLL sideloading และการใช้เครื่องมือ living-off-the-land การเฝ้าระวังทราฟฟิกออกไปยังบริการคลาวด์สาธารณะ (Dropbox, Google Drive) ที่ไม่มีเหตุผลทางธุรกิจ การควบคุมและตรวจสอบการใช้อุปกรณ์ USB โดยเฉพาะในเครือข่ายสำคัญเพื่อรับมือเวิร์มของ Tropic Trooper และ Aoqin Dragon และการแบ่งเซกเมนต์เครือข่าย (network segmentation) เพื่อจำกัดการเคลื่อนที่แนวราบ

ระยะยาว (3–12 เดือน)

ในระดับยุทธศาสตร์ หน่วยงานควรจัดทำแผนบริหารความเสี่ยงห่วงโซ่อุปทานดิจิทัล (third-party/supply-chain risk) รวมถึงการตรวจสอบความถูกต้องของตัวอัปเดตซอฟต์แวร์และการคัดกรองผู้ให้บริการ IT การสร้างขีดความสามารถในการล่าภัยคุกคาม (threat hunting) เชิงรุกโดยอิงจากข่าวกรองของกลุ่มที่ระบุในรายงานนี้ และการเข้าร่วมกลไกแบ่งปันข่าวกรองภัยคุกคามในระดับชาติและภูมิภาค เพื่อยกระดับการตรวจจับภัยที่ข้ามองค์กรและข้ามพรมแดน

7. มุมมองไปข้างหน้า (Outlook)

แนวโน้มในระยะ 12 เดือนข้างหน้าชี้ว่า ภัยจารกรรมของรัฐต่อภูมิภาคอาเซียนและไทยจะยังคงเข้มข้นและมีแนวโน้มซับซ้อนขึ้น จากการที่กลุ่มต่าง ๆ ขยายเครื่องมือให้รองรับหลายแพลตฟอร์มมากขึ้น (รวมถึง macOS และอุปกรณ์เครือข่าย) และหันมาใช้บริการที่ถูกกฎหมายเป็นโครงสร้างพื้นฐานการโจมตีมากขึ้นเพื่อหลบเลี่ยงการตรวจจับ การที่หลายกลุ่มระบุชื่อไทยเป็นเป้าหมายโดยตรงแล้ว บ่งชี้ว่าไทยได้ก้าวขึ้นเป็นเป้าหมายที่ถูกเลือกอย่างจงใจ ไม่ใช่ผลพลอยได้จากการโจมตีภูมิภาค การเตรียมความพร้อมเชิงรุกในวันนี้จึงเป็นการลงทุนด้านความมั่นคงของชาติที่ไม่อาจเลื่อนออกไปได้ Cloud Thunder จะติดตามความเคลื่อนไหวของกลุ่มเหล่านี้อย่างต่อเนื่องผ่าน APT Zone และรายงานเชิงยุทธศาสตร์ฉบับต่อไป

ภาคผนวก

ตารางสรุปกลุ่มภัยคุกคาม

ยุทธวิธีร่วมตาม MITRE ATT&CK (ย่อ)

• Initial Access: ฉวยช่องโหว่แอปสาธารณะ (T1190), spear-phishing (T1566), ห่วงโซ่อุปทาน (T1195)
• Execution/Defense Evasion: DLL sideloading (T1574.002), BYOVD (T1211/T1562.001), steganography (T1027.003)
• Command and Control: ใช้บริการเว็บที่ถูกกฎหมาย (T1102), ช่องทางอำพราง/tunnel (T1071, T1572)
• Collection/Exfiltration: ขโมยข้อมูลรับรองตัวตน (T1003), ส่งข้อมูลผ่านคลาวด์ (T1567.002)

แหล่งอ้างอิงหลัก

รายงานและการวิเคราะห์จาก Mandiant, Trend Micro, Kaspersky, ESET, Symantec, SentinelOne, Palo Alto Networks Unit 42, Microsoft Threat Intelligence, Cybereason, Proofpoint, Volexity, คำฟ้องกระทรวงยุติธรรมสหรัฐฯ (APT40, 2564), ฐานความรู้ MITRE ATT&CK และฐานข่าวของ Cloud Thunder — การระบุต้นทาง (attribution) ทั้งหมดอ้างอิงจากบริษัทวิจัยและหน่วยงานข้างต้น ไม่ใช่ข้อสรุปของ Cloud Thunder