จัดทำโดย: Cloud Thunder Threat Intelligence
ประเภทเอกสาร: บทวิเคราะห์เชิงยุทธศาสตร์ด้านภัยคุกคาม (Strategic Threat Assessment)
หัวข้อ: การบุกรุกผู้ให้บริการบรอดแบนด์ 3BB (Triple T Broadband) ผ่าน FortiGate SSL-VPN และการฝังตัวด้วย MeshCentral
มุมมอง: ความมั่นคงปลอดภัยไซเบอร์ของโครงสร้างพื้นฐานโทรคมนาคมไทย
ฐานข้อมูล: รายงานจาก Hunt.io, The Hacker News, SecurityWeek, Tenable, Fortinet PSIRT (FG-IR-24-015), CISA KEV, GreyNoise, Wazuh และฐานข่าวของ Cloud Thunder

บทสรุปเชิงยุทธศาสตร์ (Strategic Summary)

ในเดือนกันยายน 2569 บริษัทข่าวกรองภัยคุกคาม Hunt.io เปิดเผยการบุกรุกเครือข่ายของ 3BB (Triple T Broadband / TTTBB) ซึ่งเป็นหนึ่งในผู้ให้บริการอินเทอร์เน็ตบรอดแบนด์แบบมีสายรายใหญ่ที่สุดของประเทศไทย ให้บริการผู้ใช้ตามบ้านและองค์กรหลายล้านราย เหตุการณ์นี้ไม่ได้ถูกค้นพบจากการแจ้งเตือนของระบบป้องกันภายในองค์กร แต่ถูกเปิดโปงโดยบังเอิญจาก ไดเรกทอรีเปิด (open directory) ที่ผู้โจมตีทิ้งไว้บนเซิร์ฟเวอร์ VPS ที่โฮสต์อยู่ในประเทศไทย ซึ่งบรรจุไฟล์เครื่องมือโจมตีเกือบ 300 ไฟล์ ทั้งสคริปต์เจาะช่องโหว่ เครื่องมือเดารหัสผ่าน เครื่องมือยกระดับสิทธิ์ และสคริปต์ลบร่องรอย จัดหมวดหมู่อย่างเป็นระบบ สะท้อนปฏิบัติการที่มีวินัยและมีเป้าหมายชัดเจน

สิ่งที่ควรถือเป็นสัญญาณเตือนระดับชาติคือ ธรรมชาติของเป้าหมาย ผู้โจมตีไม่ได้สนใจการเรียกค่าไถ่หรือการทำลายระบบ แต่มุ่งไปที่ ฐานข้อมูล RADIUS โดยตรง ซึ่งเป็นระบบที่เก็บชื่อผู้ใช้และรหัสผ่านที่ลูกค้าบรอดแบนด์ใช้เชื่อมต่ออินเทอร์เน็ต สคริปต์ในชุดเครื่องมือระบุชื่อฐานข้อมูลเป้าหมายอย่างเจาะจง (radius_corp, radiusinfo, job_radius) การเข้าถึงข้อมูลชุดนี้เท่ากับได้กุญแจสู่บัญชีผู้ใช้บริการจำนวนมหาศาลในคราวเดียว และเปิดช่องให้เกิดการสวมรอย การดักจับทราฟฟิก หรือการใช้บัญชีเหล่านี้เป็นฐานปฏิบัติการต่อได้ นอกจากนี้ยังพบหลักฐานการเข้าถึงใบรับรอง VPN และเซสชันที่เชื่อมโยงกับ Jasmine International (JAS) บริษัทแม่เดิมของ 3BB ซึ่งบ่งชี้ถึงการโจมตีคู่ขนานผ่านโครงสร้างพื้นฐานที่ใช้ร่วมกัน

ในเชิงเทคนิค ผู้โจมตีแสดงให้เห็นถึง ความเป็นมืออาชีพและการวางแผนอย่างเป็นขั้นตอน ตั้งแต่การพิมพ์ลายนิ้วมือ (fingerprinting) อุปกรณ์ FortiGate อย่างละเอียด การเตรียมชุดเจาะช่องโหว่ CVE-2024-21762 ที่ปรับแต่งเฉพาะรุ่นอุปกรณ์ ไปจนถึงการยกระดับสิทธิ์เป็น root ด้วยช่องโหว่ PwnKit และ Dirty COW การฝังตัวถาวรอย่างแนบเนียนด้วย MeshCentral ซึ่งเป็นซอฟต์แวร์บริหารเครื่องระยะไกล (RMM) ที่ถูกกฎหมาย และการลบร่องรอยอย่างจงใจในตอนท้าย รูปแบบนี้สอดคล้องกับแนวโน้มระดับโลกที่กลุ่มภัยคุกคามหันมา “อยู่อาศัยนอกแผ่นดิน” (Living off the Land) โดยใช้เครื่องมือที่ถูกกฎหมายแทนมัลแวร์เฉพาะทาง เพื่อหลบเลี่ยงการตรวจจับให้นานที่สุด

บทวิเคราะห์ฉบับนี้ประเมินว่าเหตุการณ์ 3BB เป็นตัวอย่างที่ชัดเจนของ ความเปราะบางของโครงสร้างพื้นฐานโทรคมนาคมไทยในฐานะโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (Critical Information Infrastructure — CII) เมื่อผู้ให้บริการรายหนึ่งถูกเจาะ ผลกระทบไม่ได้จำกัดอยู่ที่บริษัทนั้น แต่ลามไปถึงข้อมูลส่วนบุคคลของประชาชนหลายล้านคนและความเชื่อมั่นต่อระบบสื่อสารของประเทศ ยิ่งเมื่อ 3BB ได้ถูก บริษัท แอดวานซ์ อินโฟร์ เซอร์วิส (AIS) เข้าซื้อกิจการเสร็จสมบูรณ์ในปลายปี 2566 การเจาะเครือข่าย 3BB จึงอาจกลายเป็นบันไดสู่ระบบนิเวศโทรคมนาคมที่ใหญ่ขึ้น ความเสี่ยงนี้จึงเป็นเรื่องของ อธิปไตยทางข้อมูลและความมั่นคงของชาติ ที่ต้องอาศัยการตอบสนองเชิงนโยบายอย่างเป็นระบบ ไม่ใช่เพียงการแก้ไขในระดับองค์กรเดียว

ภาพที่ 1: ห่วงโซ่การโจมตีเครือข่าย 3BB จากการพิมพ์ลายนิ้วมืออุปกรณ์ FortiGate ผ่านการเจาะช่องโหว่ SSL-VPN การยกระดับสิทธิ์ การฝังตัวด้วย MeshCentral ไปจนถึงเป้าหมายสุดท้ายคือฐานข้อมูล RADIUS ที่เก็บรหัสผ่านของผู้ใช้บรอดแบนด์ จุดที่ยากต่อการตรวจจับที่สุดคือขั้นการฝังตัวด้วยเครื่องมือ RMM ที่ถูกกฎหมายและขั้นการลบร่องรอย

หมายเหตุเชิงวิเคราะห์เรื่องความน่าเชื่อถือของหลักฐาน: ชุดเครื่องมือที่พบมี exploit สำหรับ CVE-2024-21762 ครบถ้วน และอุปกรณ์ FortiGate ของ 3BB รันเฟิร์มแวร์รุ่นที่มีช่องโหว่จริง อย่างไรก็ตาม Hunt.io และสื่อที่รายงานต่อ (เช่น The Hacker News) ระบุตรงกันว่า ยังไม่มีหลักฐานยืนยันร้อยเปอร์เซ็นต์ว่าช่องโหว่นี้คือจุดเข้าจริง เนื่องจากหลักฐานส่วนใหญ่มาจากฝั่งเครื่องมือของผู้โจมตี ไม่ใช่จาก log ภายในของเหยื่อโดยตรง บทวิเคราะห์นี้จึงนำเสนอ CVE-2024-21762 ในฐานะ “จุดเข้าที่เป็นไปได้มากที่สุดตามหลักฐานเชิงเทคนิค” มากกว่าข้อสรุปที่พิสูจน์แล้วสมบูรณ์

1. บริบทของเหยื่อ: 3BB, Jasmine และโครงสร้างพื้นฐานโทรคมนาคมไทย

1.1 3BB คือใคร และเหตุใดจึงเป็นเป้าหมายที่มีมูลค่าสูง

3BB หรือชื่อทางการคือบริษัท ทริปเปิลที บรอดแบนด์ จำกัด (มหาชน) (Triple T Broadband — TTTBB) เป็นผู้ให้บริการอินเทอร์เน็ตบรอดแบนด์แบบมีสาย (fixed broadband) รายใหญ่อันดับต้นของประเทศไทย ครอบคลุมผู้ใช้บริการตามบ้านและภาคธุรกิจหลายล้านครัวเรือนทั่วประเทศ เดิมอยู่ภายใต้กลุ่ม Jasmine International (JAS) ก่อนที่ในเดือนพฤศจิกายน 2566 บริษัท แอดวานซ์ อินโฟร์ เซอร์วิส (AIS) ผู้ให้บริการโทรศัพท์เคลื่อนที่รายใหญ่ที่สุดของไทย จะเข้าซื้อกิจการ 3BB ด้วยมูลค่าราว 32,400 ล้านบาท พร้อมเข้าลงทุนในกองทุนโครงสร้างพื้นฐานบรอดแบนด์อินเทอร์เน็ตจัสมิน โดยคณะกรรมการกิจการกระจายเสียง กิจการโทรทัศน์ และกิจการโทรคมนาคมแห่งชาติ (กสทช. / NBTC) อนุมัติการควบรวมพร้อมเงื่อนไขคุมเพดานราคาค่าบริการเป็นเวลา 5 ปี

ข้อเท็จจริงนี้สำคัญต่อการประเมินความเสี่ยงอย่างยิ่ง เพราะเป้าหมายที่ถูกเจาะไม่ใช่บริษัทเล็ก ๆ ที่แยกตัวโดดเดี่ยว แต่เป็นชิ้นส่วนของ ระบบนิเวศโทรคมนาคมที่ใหญ่ที่สุดแห่งหนึ่งของประเทศ ในช่วงเปลี่ยนผ่านการควบรวมกิจการซึ่งมักเป็นจังหวะที่ระบบภายในมีทั้งเครือข่ายเดิมและเครือข่ายใหม่ทำงานคู่กัน มีการเชื่อมต่อระบบข้ามองค์กร และมีความเสี่ยงด้านการกำกับดูแลที่สูงกว่าปกติ ผู้โจมตีที่วางฐานอยู่ในเครือข่าย 3BB ได้จึงมีศักยภาพที่จะใช้จุดยืนนั้นสำรวจหรือเคลื่อนตัวเข้าสู่ระบบที่กว้างขึ้นในอนาคต

1.2 ฐานข้อมูล RADIUS: หัวใจที่ผู้โจมตีต้องการ

สำหรับผู้ให้บริการอินเทอร์เน็ต ระบบ RADIUS (Remote Authentication Dial-In User Service) คือระบบยืนยันตัวตนกลางที่ตรวจสอบว่าผู้ใช้แต่ละรายมีสิทธิ์เชื่อมต่อหรือไม่ ฐานข้อมูลนี้เก็บชื่อผู้ใช้ รหัสผ่าน ข้อมูลการเชื่อมต่อ และบางครั้งข้อมูลลูกค้าที่เชื่อมโยงกับบัญชี การที่สคริปต์ของผู้โจมตีระบุชื่อฐานข้อมูล RADIUS อย่างเจาะจง (radius_corp, radiusinfo, job_radius) บ่งชี้ชัดว่านี่คือ เป้าหมายเชิงยุทธศาสตร์ที่วางไว้ล่วงหน้า ไม่ใช่การค้นเจอโดยบังเอิญ

การเข้าถึงฐาน RADIUS ของ ISP มีมูลค่าสูงมากในหลายมิติ ในเชิงอาชญากรรมไซเบอร์ ข้อมูลรับรองของผู้ใช้จำนวนมากสามารถนำไปขายในตลาดมืด ใช้สวมรอยเข้าบัญชี หรือใช้เป็นฐานสำหรับการโจมตีต่อเนื่อง ในเชิงข่าวกรอง การควบคุมชั้นยืนยันตัวตนของ ISP เปิดโอกาสให้ติดตามหรือดักจับการเชื่อมต่อของเป้าหมายเฉพาะราย ซึ่งเป็นความสามารถที่รัฐชาติให้ความสนใจ ด้วยเหตุนี้ แม้รายงานจะยังไม่ฟันธงแรงจูงใจ แต่ลักษณะของเป้าหมายทำให้เหตุการณ์นี้อยู่ในระดับความรุนแรงที่กระทบความมั่นคงของชาติ ไม่ใช่เพียงอาชญากรรมทางเศรษฐกิจทั่วไป

2. ไทม์ไลน์ปฏิบัติการ

แม้ผู้โจมตีจะพยายามลบร่องรอย แต่โครงสร้างพื้นฐานที่ใช้ปฏิบัติการก็ทิ้งเบาะแสด้านเวลาที่ประกอบเป็นภาพรวมได้ โดเมนสั่งการ (C2) หลักคือ www.ayuthayatech[.]com ถูกจดทะเบียนเมื่อ 27 มกราคม 2569 ซึ่งบ่งชี้ว่าการเตรียมโครงสร้างพื้นฐานเริ่มต้นอย่างน้อยตั้งแต่ต้นปี ต่อมาในวันที่ 3 มิถุนายน 2569 นักวิจัยของ Hunt.io ค้นพบไดเรกทอรีเปิดบน VPS ที่ไอพี 92.63.180[.]133 พอร์ต 8888 ซึ่งเปิดเผยชุดเครื่องมือทั้งหมดต่อสาธารณะ และในวันที่ 28 มิถุนายน 2569 ผู้โจมตีย้าย nameserver ของโดเมน C2 ไปอยู่หลัง Cloudflare เพื่อบดบังที่อยู่จริงของเซิร์ฟเวอร์ ซึ่งสะท้อนความตระหนักด้านความปลอดภัยเชิงปฏิบัติการ (OPSEC) ของผู้โจมตี

จุดที่น่าสังเกตเชิงวิเคราะห์คือ ช่องว่างระหว่างการเตรียมการ (มกราคม) กับการค้นพบ (มิถุนายน) ที่กินเวลาหลายเดือน ซึ่งเป็นช่วงที่ผู้โจมตีน่าจะดำเนินการพิมพ์ลายนิ้วมือ ทดสอบช่องโหว่ และฝังตัวไปแล้ว การที่เหตุการณ์ถูกเปิดโปงจากความผิดพลาดด้าน OPSEC ของผู้โจมตีเอง (การเปิดไดเรกทอรีทิ้งไว้) มากกว่าจากการตรวจจับของเหยื่อ เป็นบทเรียนสำคัญว่าการฝังตัวด้วยเครื่องมือที่ถูกกฎหมายอย่าง MeshCentral สามารถหลบเลี่ยงการเฝ้าระวังภายในองค์กรได้เป็นระยะเวลานาน

ภาพที่ 2: เส้นเวลาปฏิบัติการที่สร้างขึ้นจากร่องรอยของโครงสร้างพื้นฐาน ตั้งแต่การจดทะเบียนโดเมน C2 ในเดือนมกราคม 2569 การค้นพบไดเรกทอรีเปิดในเดือนมิถุนายน จนถึงการย้ายเข้าหลัง Cloudflare ช่องว่างหลายเดือนสะท้อนระยะเวลาที่ผู้โจมตีอาจฝังตัวอยู่ในเครือข่ายโดยไม่ถูกตรวจพบ

3. ยุทธวิธี เทคนิค และเครื่องมือ (Tactics, Techniques & Procedures)

ชุดเครื่องมือของผู้โจมตีถูกจัดหมวดหมู่อย่างเป็นระบบ ครอบคลุมทุกขั้นตอนของห่วงโซ่การโจมตี ตั้งแต่การสำรวจไปจนถึงการลบร่องรอย ในหัวข้อนี้จะไล่วิเคราะห์แต่ละขั้นตอนตามลำดับ

3.1 การพิมพ์ลายนิ้วมือและตรวจสอบช่องโหว่ FortiGate

ผู้โจมตีเริ่มจากการสำรวจอุปกรณ์ FortiGate อย่างละเอียดด้วยสคริปต์ชุด forti1.sh ถึง forti8.sh โดยอ่านข้อมูลจาก HTTP header เอนด์พอยต์ของ SSL-VPN และวิเคราะห์ไฟล์ fgt_lang.js ร่วมกับการดึงค่า timestamp จาก ETag เพื่อระบุรุ่นเฟิร์มแวร์ให้แม่นยำ อุปกรณ์เป้าหมาย (mail.3bb.co[.]th พอร์ต 10443) ถูกระบุว่ารันเฟิร์มแวร์ลงวันที่ 22 มิถุนายน 2566 ซึ่งอยู่ในช่วง FortiOS 7.2.0–7.2.6 ที่มีช่องโหว่ ควบคู่กับการเดารหัสผ่านแบบ brute-force ที่เอนด์พอยต์ /remote/logincheck โดยใช้ชุดรหัสผ่านที่ผู้วิจัยระบุว่าเป็น “รหัสผ่านเฉพาะองค์กร” ซึ่งบ่งชี้ว่าผู้โจมตีอาจมีข่าวกรองภายในหรือทำการสำรวจล่วงหน้ามาก่อน

จากนั้นผู้โจมตีตรวจสอบว่าอุปกรณ์มีช่องโหว่จริงหรือไม่ด้วยเทคนิคที่อาศัยการทำให้ระบบขัดข้อง (crash-based PoC ผ่าน crash_poc.py) พร้อมคำนวณขนาดบัฟเฟอร์เฉพาะรุ่น (~4,167 ไบต์ศูนย์สำหรับ FortiGate 60F) และใช้เทคนิคตรวจจับของ Bishop Fox เพื่อแยกแยะระบบที่มีช่องโหว่ออกจากระบบที่แพตช์แล้ว ความละเอียดในขั้นนี้สะท้อนวุฒิภาวะเชิงปฏิบัติการที่สูงกว่าผู้โจมตีทั่วไปมาก

3.2 การเจาะช่องโหว่ CVE-2024-21762 — ประตูสู่เครือข่าย

หัวใจของการเข้าถึงเบื้องต้นคือ CVE-2024-21762 ช่องโหว่ระดับวิกฤตในบริการ SSL-VPN ของ FortiOS ที่ Fortinet เปิดเผยเมื่อวันที่ 8 กุมภาพันธ์ 2567 ภายใต้รหัสประกาศ FG-IR-24-015 ช่องโหว่นี้มีคะแนนความรุนแรง CVSS 9.6 (Critical) จัดเป็นประเภท “การเขียนข้อมูลนอกขอบเขต” (out-of-bounds write) ในเดมอน sslvpnd ที่เปิดช่องให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตน (unauthenticated) ส่งคำขอ HTTP ที่ประดิษฐ์ขึ้นเป็นพิเศษเพื่อรันโค้ดจากระยะไกล (RCE) ได้ ช่องโหว่นี้ถูกจัดให้อยู่ในบัญชี CISA Known Exploited Vulnerabilities (KEV) และมีการยืนยันว่าถูกใช้โจมตีจริงในวงกว้างมาตั้งแต่ต้นปี 2567 ครอบคลุม FortiOS ตั้งแต่รุ่น 6.0 ถึง 7.4 (แพตช์ในรุ่น 7.2.7, 7.4.3 และรุ่นย่อยที่สูงกว่าของแต่ละสาย ส่วน 7.6 ไม่ได้รับผลกระทบ)

ในกรณี 3BB ผู้โจมตีใช้สคริปต์ cve_exploit.py ที่ทำงานสามขั้นตอนแบบ heap spray และ ROP chain โดยยิง reverse shell กลับไปที่ 92.63.180[.]133 พอร์ต 9443 ด้วยเพย์โหลด JavaScript ที่รันบน Node.js สิ่งที่น่าสนใจเป็นพิเศษคือผู้โจมตีถึงขั้น จัดหาเฟิร์มแวร์ FortiGate มาปรับแต่ง ROP gadget ให้ตรงรุ่น โดยปลอมตัวเป็นเครือข่ายกระจายไฟล์ของ Fortinet (Fortinet Distribution Network — FDN) ซึ่งเป็นเทคนิคที่ต้องใช้ความเข้าใจสถาปัตยกรรมอุปกรณ์อย่างลึกซึ้ง

นอกจาก CVE-2024-21762 ที่เป็นตัวหลัก ผู้โจมตียังทดสอบช่องโหว่ FortiGate อื่น ๆ ประกอบด้วย CVE-2022-42475, CVE-2023-27997 (XORtigate) และ CVE-2018-13379 แต่ไม่ได้ใช้เจาะจริง แสดงถึงการเตรียมทางเลือกสำรองไว้หลายทาง

3.3 การสำรวจเว็บแอปพลิเคชันและการเลี่ยง WAF

หลังได้จุดยืนในเครือข่าย ผู้โจมตีหันไปสำรวจพอร์ทัลฝ่ายขาย agent.3bb.co[.]th (ระบบ CodeIgniter 2) ที่อยู่หลัง load balancer แบบ F5 BIG-IP มีความพยายามปลอมเซสชัน (session forging) โดยโจมตีการตรวจสอบ HMAC และใช้เทคนิค การลักลอบส่งคำขอ HTTP (HTTP request smuggling) ทั้งแบบ CL.TE และ TE.CL เพื่อเลี่ยงการควบคุมของ Web Application Firewall (WAF) จนสามารถเข้าถึงระบบในสถานะที่ผ่านการยืนยันตัวตนได้สำเร็จ นอกจากนี้ยังพบการทดสอบช่องโหว่ F5 BIG-IP หลายรายการ (CVE-2021-22986, CVE-2022-1388, CVE-2023-46747) แม้จะไม่ได้ใช้เจาะจริงก็ตาม

3.4 การยกระดับสิทธิ์เป็น root

เมื่อเข้าถึงระบบ Linux ภายในได้ ผู้โจมตียกระดับสิทธิ์ด้วยช่องโหว่คลาสสิกสองรายการที่ยังพบได้บ่อยในระบบที่ไม่อัปเดต ได้แก่ PwnKit (CVE-2021-4034) ที่อาศัยการหลอกตัวแปร GCONV_PATH ในโปรแกรม pkexec และ Dirty COW (CVE-2016-5195) ที่อาศัยช่องโหว่ copy-on-write ของเคอร์เนล Linux ในการเขียนทับไฟล์ /etc/passwd เมื่อได้สิทธิ์ root แล้ว ผู้โจมตีติดตั้งแบ็กดอร์แบบ SUID ที่ซ่อนไว้ที่ /usr/local/bin/.rc เพื่อคงสิทธิ์สูงไว้ใช้ซ้ำ

ผู้โจมตียังใช้ช่องโหว่ Ghostcat (CVE-2020-1938) โจมตีเซิร์ฟเวอร์ Pentaho BI ภายใน (10.11.152.4 พอร์ต 8009) ผ่านโปรโตคอล AJP และยืนยันการรันคำสั่งระดับ root บนเครื่อง vm-BCSWILDFLY_M63 ได้สำเร็จ

3.5 การฝังตัวถาวรด้วย MeshCentral — จุดเด่นของปฏิบัติการนี้

แทนที่จะเขียนมัลแวร์เฉพาะทางซึ่งเสี่ยงต่อการถูกตรวจจับ ผู้โจมตีเลือกฝังตัวด้วย MeshCentral ซึ่งเป็นซอฟต์แวร์บริหารและควบคุมเครื่องระยะไกล (Remote Monitoring and Management — RMM) แบบโอเพนซอร์สที่ถูกกฎหมายและองค์กรทั่วโลกใช้งานจริง การติดตั้งทำแบบอัตโนมัติผ่านสคริปต์ mesh_fix.sh พร้อมกุญแจลงทะเบียน (enrollment key) โดยจัดเครื่องที่ยึดได้เข้ากลุ่มอุปกรณ์ชื่อ TH-3BB ภายใต้เซิร์ฟเวอร์สั่งการ www.ayuthayatech[.]com เชื่อมต่อผ่าน WebSocket ที่ /agent.ashx บนพอร์ต 443 ไฟล์ devices.json ที่พบแสดงว่ามีหลายเครื่องที่มี agent ระดับ root (agent.root:true) เชื่อมต่ออยู่ในขณะที่ถูกค้นพบ

การเลือกใช้ MeshCentral สะท้อนแนวโน้มระดับโลกที่ชัดเจนขึ้นเรื่อย ๆ คือการที่ผู้โจมตี นำเครื่องมือ RMM ที่ถูกกฎหมายมาใช้เป็นแบ็กดอร์ เพราะทราฟฟิกของเครื่องมือเหล่านี้กลมกลืนกับการดูแลระบบตามปกติ ทำงานผ่าน HTTPS/WebSocket พอร์ต 443 ที่มักไม่ถูกบล็อก และไม่ถูกแอนติไวรัสจำนวนมากตั้งค่าเป็นภัยคุกคาม ตลอดปี 2568–2569 มีรายงานหลายฉบับ (เช่นการติดตามโหนด MeshCentral ที่เป็นอันตรายของ GreyNoise ในแคมเปญ React2Shell และคำแนะนำการตรวจจับ MeshAgent ของ Wazuh) ที่ยืนยันว่าเครื่องมือประเภทนี้กลายเป็นช่องทางฝังตัวยอดนิยม การป้องกันจึงต้องอาศัยการมองหา “เครื่องมือที่ถูกกฎหมายแต่ไม่ได้รับอนุญาต” มากกว่าการพึ่งลายเซ็นมัลแวร์แบบเดิม

ภาพที่ 3: ช่องโหว่ที่ปรากฏในชุดเครื่องมือ แยกตามความรุนแรง (CVSS) และสถานะการใช้งาน แถบสีแดงคือช่องโหว่ที่ถูกใช้เจาะจริง (CVE-2024-21762, PwnKit, Dirty COW, Ghostcat) ส่วนแถบสีน้ำเงินคือช่องโหว่ FortiGate และ F5 BIG-IP ที่ผู้โจมตีเตรียมไว้เป็นทางเลือกสำรองแต่ไม่ได้ใช้

3.6 การเคลื่อนตัวด้านข้างและการเก็บเกี่ยวข้อมูลรับรอง

จากจุดยืนที่ได้ ผู้โจมตีขยายการเข้าถึงด้วยการเดารหัสผ่าน SSH ขนานใหญ่ต่อเครื่องภายในกว่า 55 เครื่อง (ผ่าน brute.sh, brute2.sh, brute3.sh) พร้อมดึงข้อมูลจากฐาน RADIUS (radius_corp, radiusinfo, job_radius) เพื่อเอาข้อมูลรับรองของผู้ใช้บริการ นอกจากนี้ยังใช้เทคนิคการโจมตี MySQL (คำสั่ง LOAD_FILE, INTO OUTFILE) เพื่อวาง web shell และฝังกุญแจ SSH รวมถึงการสำรวจบริการ FTP, MongoDB และ Redis เพื่อหาช่องทางเพิ่มเติม

3.7 การลบร่องรอย (Anti-forensics)

ในตอนท้าย ผู้โจมตีใช้สคริปต์ cleanup_target.sh ลบ log อย่างจงใจ แต่คงเอเจนต์ MeshCentral ไว้ เพื่อรักษาช่องทางเข้าถึงต่อ มีการลบเครื่องมือ PwnKit, Dirty COW, ไฟล์ SUID และ PHP web shell รวมถึงล้าง log ระบบ (auth.log, syslog, log ของ nginx และ kern.log) และลบประวัติคำสั่ง shell การกระทำนี้เป็นเหตุผลสำคัญที่รายงานเน้นย้ำว่า ต้องเก็บรักษาหลักฐานทางนิติวิทยาศาสตร์ก่อนดำเนินการแก้ไข เพราะผู้โจมตีตั้งใจทำลายร่องรอยไว้แล้ว

4. ผลกระทบต่อประเทศไทยโดยตรง

4.1 ความเสี่ยงต่อข้อมูลส่วนบุคคลของประชาชนหลายล้านราย

ผลกระทบที่จับต้องได้ชัดเจนที่สุดคือความเสี่ยงต่อ ข้อมูลรับรองของผู้ใช้บรอดแบนด์นับล้านราย หากฐานข้อมูล RADIUS ถูกดึงออกไปสำเร็จ ข้อมูลชื่อผู้ใช้และรหัสผ่านเหล่านี้อาจถูกนำไปใช้สวมรอย ขายต่อ หรือใช้ในการโจมตีแบบ credential stuffing ต่อบริการอื่น ๆ ที่ผู้ใช้ตั้งรหัสผ่านซ้ำ ซึ่งเป็นพฤติกรรมที่พบได้ทั่วไป นอกจากนี้ยังกระทบต่อการปฏิบัติตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล (PDPA) ของผู้ให้บริการโดยตรง

4.2 โครงสร้างพื้นฐานโทรคมนาคมในฐานะ CII

ภายใต้พระราชบัญญัติการรักษาความมั่นคงปลอดภัยไซเบอร์ พ.ศ. 2562 กิจการโทรคมนาคมจัดเป็นหนึ่งในกลุ่มโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) การเจาะผู้ให้บริการบรอดแบนด์รายใหญ่จึงไม่ใช่เรื่องขององค์กรเอกชนรายเดียว แต่กระทบต่อ ความต่อเนื่องและความน่าเชื่อถือของระบบสื่อสารของประเทศ ผู้โจมตีที่ควบคุมชั้นยืนยันตัวตนหรือชั้นเราต์ติงของ ISP มีศักยภาพในการดักจับ เปลี่ยนเส้นทาง หรือขัดขวางการสื่อสารของเป้าหมายเฉพาะราย ซึ่งเป็นความสามารถที่มีนัยต่อความมั่นคง

4.3 ความเสี่ยงจากการควบรวมกิจการและห่วงโซ่ความไว้วางใจ

ดังที่กล่าวในหัวข้อบริบท การที่ 3BB เป็นส่วนหนึ่งของ AIS และยังมีการเชื่อมโยงกับ Jasmine ทำให้จุดยืนที่ผู้โจมตีได้มามีมูลค่าเชิงยุทธศาสตร์สูงกว่าที่เห็น หลักฐานการเข้าถึงใบรับรอง VPN และเซสชันของ Jasmine (เช่น jasmine.ovpn, ใบรับรอง CN openvpn.jasmine.com) แสดงว่าผู้โจมตีสำรวจข้ามขอบเขตองค์กรแล้ว ในสภาพแวดล้อมที่มีการควบรวมและเชื่อมต่อระบบข้ามบริษัท ช่องโหว่ในองค์กรหนึ่งสามารถกลายเป็นประตูสู่อีกองค์กรได้ ซึ่งเป็นรูปแบบความเสี่ยงแบบห่วงโซ่อุปทาน (supply chain) ในระดับโครงสร้างพื้นฐาน

5. ประเมินเชิงยุทธศาสตร์ต่อความมั่นคงของชาติ

เมื่อประเมินโดยรวม เหตุการณ์ 3BB มีลักษณะที่แยกออกจากอาชญากรรมไซเบอร์เพื่อเงินทั่วไปหลายประการ ประการแรกคือ การเลือกเป้าหมายที่แม่นยำ ตั้งแต่ต้น (ฐาน RADIUS ของ ISP) ซึ่งต้องอาศัยความเข้าใจว่าข้อมูลที่มีมูลค่าอยู่ที่ใด ประการที่สองคือ วุฒิภาวะเชิงเทคนิค ที่สูง ทั้งการปรับ ROP gadget ตามรุ่นอุปกรณ์ การใช้ HTTP request smuggling เลี่ยง WAF และการเตรียมช่องโหว่สำรองหลายทาง ประการที่สามคือ การให้ความสำคัญกับการฝังตัวระยะยาวและ OPSEC สะท้อนจากการใช้ MeshCentral และการลบร่องรอยอย่างเป็นระบบ

อย่างไรก็ตาม ต้องประเมินอย่างระมัดระวังและตรงไปตรงมาว่า ยังไม่มีการระบุกลุ่มผู้ก่อเหตุ (attribution) อย่างชัดเจน และไม่มีหลักฐานที่เชื่อมโยงกับรัฐชาติใดโดยตรง สัญญาณด้านโครงสร้างพื้นฐานหลายอย่างชี้ไปที่การปฏิบัติการที่มีฐานในไทยหรือคุ้นเคยกับบริบทไทย เช่น การใช้ VPS ที่โฮสต์ในไทย (Bangmod Enterprise) โดเมนที่ตั้งชื่ออิงคำไทย (ayuthayatech) และชื่อกลุ่มอุปกรณ์ TH-3BB แต่เบาะแสเหล่านี้อาจเป็นได้ทั้งข้อบ่งชี้จริงหรือการวางเบาะแสลวง (false flag) การสรุปแรงจูงใจหรือผู้อยู่เบื้องหลังเกินกว่าหลักฐานที่มีจึงไม่เหมาะสม สิ่งที่ยืนยันได้คือ ขีดความสามารถและความตั้งใจของผู้โจมตีอยู่ในระดับที่ต้องถือเป็นภัยคุกคามระดับชาติ โดยไม่จำเป็นต้องรอการระบุตัวผู้ก่อเหตุก่อนลงมือป้องกัน

6. ข้อเสนอเชิงยุทธศาสตร์และการเตรียมรับมือ

6.1 ระยะเร่งด่วน (0–30 วัน)

ในระยะแรก องค์กรโครงสร้างพื้นฐานสำคัญโดยเฉพาะผู้ให้บริการโทรคมนาคมควรตรวจสอบอุปกรณ์ FortiGate ทุกตัวว่าได้รับการแพตช์ป้องกัน CVE-2024-21762 แล้วหรือไม่ และเลิกใช้เฟิร์มแวร์ที่หมดการสนับสนุนทันที ควรค้นหาเอเจนต์ MeshCentral หรือเครื่องมือ RMM อื่นที่ไม่ได้รับอนุญาต โดยเฝ้าดูการเชื่อมต่อ WebSocket ไปยังเซิร์ฟเวอร์ที่ไม่อยู่ในรายการที่อนุมัติ (เช่น pattern /agent.ashx บนพอร์ต 443) พร้อมกันนั้นควรสแกนหาไบนารี SUID ที่ซ่อนอยู่ (/usr/local/bin/.rc) งานตั้งเวลาที่ผิดปกติ และ web shell และที่สำคัญที่สุดคือ เก็บรักษาหลักฐานทางนิติวิทยาศาสตร์ก่อนดำเนินการแก้ไข เนื่องจากผู้โจมตีออกแบบให้ลบร่องรอย

สำหรับองค์กรที่ยืนยันว่าถูกเจาะ ควรหมุนเวียนข้อมูลรับรองทั้งหมดโดยด่วน ทั้งกุญแจ SSH รหัสผ่านฐานข้อมูล ใบรับรอง VPN และข้อมูลรับรอง RADIUS รวมถึงตรวจสอบเซิร์ฟเวอร์ RADIUS และระบบยืนยันตัวตนว่ามีการเข้าถึงโดยไม่ได้รับอนุญาตหรือไม่

6.2 ระยะกลาง (1–3 เดือน)

ในระยะกลาง องค์กรควรวางระบบตรวจจับการใช้เครื่องมือ RMM ที่ถูกกฎหมายในทางที่ผิด ซึ่งเป็นช่องว่างที่ระบบป้องกันแบบเดิมมักมองไม่เห็น สำหรับองค์กรที่ใช้ Wazuh มีคำแนะนำการตรวจจับ MeshAgent เฉพาะทางที่นำมาปรับใช้ได้ ขณะที่ระบบ EDR เช่น CrowdStrike Falcon ควรตั้งกฎเฝ้าดูการติดตั้งและการเชื่อมต่อออกของกระบวนการ MeshAgent และ SIEM เช่น Splunk ควรมี use case ที่จับ pattern การเดารหัสผ่าน SSH ขนานใหญ่และการเชื่อมต่อ WebSocket ขาออกไปยังโดเมนแปลกหน้า นอกจากนี้ควรทบทวนการแบ่งเขตเครือข่าย (segmentation) ระหว่างระบบยืนยันตัวตนของลูกค้า (RADIUS) กับระบบอื่น เพื่อจำกัดการเคลื่อนตัวด้านข้าง

6.3 ระยะยาว (3–12 เดือน)

ในระยะยาว หน่วยงานกำกับดูแลและผู้กำหนดนโยบายควรพิจารณายกระดับข้อกำหนดด้านความปลอดภัยสำหรับผู้ให้บริการโทรคมนาคมในฐานะ CII โดยเฉพาะการเฝ้าระวังการฝังตัวด้วยเครื่องมือที่ถูกกฎหมาย การกำหนดมาตรฐานการเก็บรักษา log ที่ทนต่อการลบร่องรอย และการซ้อมรับมือเหตุการณ์ที่ครอบคลุมสถานการณ์การควบรวมกิจการ ในระดับองค์กร ควรวางสถาปัตยกรรมแบบ Zero Trust สำหรับการเข้าถึงระบบสำคัญ ลดการพึ่งพา VPN ขอบเครือข่ายที่เป็นจุดอ่อนซ้ำ ๆ และทบทวนความเสี่ยงที่เกิดจากการเชื่อมต่อระบบข้ามองค์กรหลังการควบรวม

6.4 มุมมองไปข้างหน้า (Outlook)

เหตุการณ์ 3BB น่าจะเป็นตัวอย่างของรูปแบบที่จะพบมากขึ้น ไม่ใช่กรณีโดดเดี่ยว แนวโน้มการนำเครื่องมือ RMM ที่ถูกกฎหมายมาใช้ฝังตัว การมุ่งเป้าอุปกรณ์ขอบเครือข่าย (edge devices) อย่าง VPN gateway และการเลือกเป้าหมายที่เป็นชั้นยืนยันตัวตนของผู้ให้บริการ ล้วนเป็นทิศทางที่ชัดเจนขึ้นทั่วโลก สำหรับประเทศไทยซึ่งมีผู้ให้บริการโทรคมนาคมขนาดใหญ่ไม่กี่รายที่ถือครองข้อมูลของประชากรส่วนใหญ่ ความเข้มข้นของความเสี่ยงจึงสูง การลงทุนในความสามารถตรวจจับการฝังตัวเชิงลึกและการเฝ้าระวังโครงสร้างพื้นฐานสำคัญเชิงรุกจึงไม่ใช่ทางเลือก แต่เป็นความจำเป็นเชิงยุทธศาสตร์

ภาคผนวก

ก. การจับคู่ MITRE ATT&CK

ข. ตารางตัวบ่งชี้การบุกรุก (Indicators of Compromise)

ค. ช่องโหว่ที่เกี่ยวข้อง

ง. แหล่งอ้างอิง

1. Hunt.io — “Thai Broadband Provider Targeted via FortiGate SSL-VPN and MeshCentral Persistence” (แหล่งต้นทางหลัก)
2. The Hacker News — “3BB Attacker Used MeshCentral Backdoor for Root Access, Targeted Subscriber Credentials”
3. SecurityWeek — “Thai Broadband Provider Hacked via Fortinet Vulnerability”
4. Tenable — “CVE-2024-21762: Critical Fortinet FortiOS Out-of-Bound Write SSL VPN Vulnerability”
5. Fortinet PSIRT — FG-IR-24-015 · CISA Known Exploited Vulnerabilities Catalog
6. GreyNoise Labs — “React2Shell Side Quest: Tracking Down Malicious MeshCentral Nodes”
7. Wazuh — “How to detect MeshAgent with Wazuh”
8. Telecompaper / Nikkei Asia / Developing Telecoms — รายงานการเข้าซื้อกิจการ 3BB โดย AIS และเงื่อนไข กสทช.