สรุปสั้น

นักวิจัยพบว่าผู้โจมตีกำลังใช้ช่องโหว่ระดับรุนแรงสูงในซอฟต์แวร์ PAN-OS ของบริษัท Palo Alto Networks ซึ่งได้รับการแก้ไขไปแล้ว เป็นจุดเข้าเพื่อวางแรนซัมแวร์ Qilin (หรือที่รู้จักในชื่อ Agenda) ในสภาพแวดล้อมของเหยื่อ โดยบริษัท Arctic Wolf Labs ระบุว่าได้สอบสวนการบุกรุกหลายกรณีในเดือนมิถุนายน 2569 ซึ่งทั้งหมดเริ่มต้นจากการใช้ช่องโหว่ CVE-2026-0257 ที่มีคะแนน CVSS 7.8 เป็นช่องโหว่ประเภทข้ามการยืนยันตัวตน (Authentication Bypass) ที่กระทบคอมโพเนนต์พอร์ทัลและเกตเวย์ของ PAN-OS

การใช้ช่องโหว่นี้สำเร็จเปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ต้องผ่านการยืนยันตัวตนสามารถข้ามกระบวนการยืนยันตัวตน แล้วตั้งเซสชัน VPN ได้โดยไม่ต้องมีข้อมูลรับรองที่ถูกต้อง เงื่อนไขคือระบบต้องเปิดใช้งานคุกกี้แบบ authentication override ร่วมกับการตั้งค่าใบรับรองบางรูปแบบ เมื่อเข้ามาได้แล้วผู้โจมตีจะยกระดับการโจมตีต่อไปสู่การเก็บเกี่ยวข้อมูลรับรองและการเคลื่อนที่ในเครือข่ายผ่านแชร์สำหรับผู้ดูแลระบบของ Windows โดยใช้บัญชีผู้ดูแลระบบที่ยึดมาได้

บริษัท Arctic Wolf ระบุว่าพฤติกรรมหลังการเจาะระบบแตกต่างกันไปในแต่ละกรณี ตั้งแต่ปฏิบัติการที่เน้นเข้ารหัสอย่างรวดเร็วอย่างเดียว ไปจนถึงการขู่กรรโชกสองชั้น (Double Extortion) เต็มรูปแบบ ซึ่งอาจบ่งชี้ว่ามีพันธมิตร (Affiliates) หลายรายทำงานอยู่ใต้ร่มบริการแรนซัมแวร์ให้เช่า (RaaS) ของ Qilin

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 กรกฎาคม 2569 ว่ามีการพบผู้โจมตีใช้ช่องโหว่ที่ได้รับการแก้ไขแล้วในซอฟต์แวร์ PAN-OS เป็นจุดเริ่มต้นของการโจมตีด้วยแรนซัมแวร์ Qilin โดยบริษัท Arctic Wolf Labs ได้สอบสวนเหตุบุกรุกหลายกรณีในเดือนมิถุนายน 2569 ซึ่งทุกกรณีเริ่มจากการใช้ช่องโหว่ CVE-2026-0257 เหมือนกัน จุดที่ต้องเน้นคือช่องโหว่นี้มีแพตช์ออกมาแล้ว การที่ยังมีองค์กรถูกเจาะสำเร็จจึงสะท้อนปัญหาของอุปกรณ์ที่ยังไม่ได้รับการอัปเดต ไม่ใช่ช่องโหว่ใหม่ที่ไม่มีทางป้องกัน

บริษัท Arctic Wolf ระบุว่า “เทคนิคหลังการเจาะระบบแตกต่างกันไปในแต่ละการบุกรุก ตั้งแต่ปฏิบัติการที่เน้นการเข้ารหัสอย่างรวดเร็วอย่างเดียว ไปจนถึงการขู่กรรโชกสองชั้นเต็มรูปแบบ ซึ่งอาจบ่งชี้ว่ามีพันธมิตรหลายรายปฏิบัติงานอยู่ใต้ร่มของบริการแรนซัมแวร์ให้เช่า Qilin” แต่ขณะเดียวกันก็ระบุว่า “ผู้โจมตีแสดงรูปแบบการปฏิบัติงานที่สอดคล้องกันแม้เทคนิคจะต่างกัน ได้แก่ การพักไฟล์แรนซัมแวร์ไว้ที่ C:\PerfLogs\ การใช้ PsExec เพื่อสั่งรันข้ามเครื่องผ่านแชร์สำหรับผู้ดูแลระบบ การใช้เพย์โหลดแรนซัมแวร์ที่ป้องกันด้วยรหัสผ่าน และการล้างล็อกอย่างครอบคลุม”

ผู้โจมตีนำช่องโหว่มาใช้เพื่อให้ได้สิทธิ์เข้าถึงเครือข่ายเหยื่อในฐานะผู้ใช้ที่ผ่านการยืนยันตัวตน ด้วยการตั้งเซสชัน SSL VPN ขึ้นมา จากนั้นจึงขยายผลไปสู่การเก็บเกี่ยวข้อมูลรับรองและการเคลื่อนที่ในเครือข่ายผ่านแชร์สำหรับผู้ดูแลระบบของ Windows โดยอาศัยบัญชีผู้ดูแลระบบที่ถูกยึด นี่เป็นรูปแบบที่พบซ้ำ ๆ ในการโจมตีที่เริ่มจากอุปกรณ์ขอบเครือข่าย คือเมื่อผ่านด่านแรกได้แล้ว ผู้โจมตีจะกลายเป็น “ผู้ใช้ที่ถูกต้อง” ในสายตาระบบภายในทันที ทำให้การตรวจจับขั้นถัดไปยากขึ้นมาก

กิจกรรมนี้ยังมีลักษณะเด่นคือผู้โจมตีจงใจล้างล็อกเหตุการณ์และปิดการป้องกันแบบเรียลไทม์ของ Microsoft Defender ก่อนจะรันเพย์โหลดแรนซัมแวร์ เพื่อลดโอกาสถูกตรวจจับและไม่ทิ้งหลักฐานทางนิติวิทยาศาสตร์ไว้ ซึ่งหมายความว่าองค์กรที่ถูกโจมตีอาจสูญเสียความสามารถในการสืบสวนย้อนหลังไปพร้อมกับข้อมูลที่ถูกเข้ารหัส

รายละเอียดช่องโหว่

ช่องโหว่ CVE-2026-0257 เป็นช่องโหว่ประเภทข้ามการยืนยันตัวตนที่กระทบคอมโพเนนต์พอร์ทัลและเกตเวย์ของซอฟต์แวร์ PAN-OS มีคะแนน CVSS 7.8 ซึ่งจัดอยู่ในระดับรุนแรงสูง ผู้โจมตีจากระยะไกลที่ไม่ผ่านการยืนยันตัวตนสามารถข้ามกระบวนการยืนยันตัวตนและตั้งเซสชัน VPN ได้โดยไม่ต้องมีข้อมูลรับรองที่ถูกต้อง เมื่อระบบเปิดใช้งานคุกกี้แบบ authentication override ร่วมกับการตั้งค่าใบรับรองบางรูปแบบ

เงื่อนไขข้อนี้สำคัญมากในการประเมินความเสี่ยงขององค์กร เพราะไม่ใช่ทุกการติดตั้ง PAN-OS ที่จะเปิดใช้งานค่านี้ องค์กรจึงควรตรวจสอบการตั้งค่าจริงของตน แทนที่จะสรุปว่าปลอดภัยหรือไม่ปลอดภัยจากหมายเลขเวอร์ชันเพียงอย่างเดียว

แม้เทคนิคจะต่างกันไปในแต่ละเหยื่อ แต่ Arctic Wolf พบจุดร่วมที่ใช้เป็นสัญญาณตรวจจับได้ ได้แก่ เส้นทางการพักไฟล์แรนซัมแวร์ที่ C:\PerfLogs\ การสั่งรันผ่าน PsExec และรูปแบบการฝังตัวใน Windows Registry ที่ผิดปกติ คือเครื่องหมายดอกจันตามด้วยตัวอักษรพิมพ์เล็กแบบสุ่ม 6 ตัว ซึ่งเป็นลายเซ็นที่ค่อนข้างเฉพาะตัวและควรถูกนำไปสร้างกฎตรวจจับ

ส่วนการโจมตีในขั้นถัดไปนั้นแตกต่างกันมาก ตั้งแต่การเข้ารหัสทั่วทั้งองค์กรโดยไม่มีการขโมยข้อมูลออกไปเลย พร้อมกับการลาดตระเวนอย่างกว้างขวางผ่านเครื่องมือเข้าถึงระยะไกลอย่าง AnyDesk, Ngrok หรือ LogMeIn ไปจนถึงการขโมยข้อมูลรับรองขนานใหญ่ และการส่งข้อมูลออกไปยังบริการคลาวด์ MEGA ก่อนปล่อยแรนซัมแวร์ โดยใช้เครื่องมืออย่าง Rclone, Proton Drive และ FileZilla บริษัท Arctic Wolf ระบุว่า “ความหลากหลายนี้สอดคล้องกับโมเดล RaaS ที่พันธมิตรหลายรายอาจใช้โครงสร้างพื้นฐานสำหรับเข้าถึงระบบและชุดเครื่องมือแรนซัมแวร์ร่วมกัน แต่เลือกใช้วิธีการหลังการเจาะระบบตามที่ตนถนัด”

ผลกระทบต่อไทย

อุปกรณ์ไฟร์วอลล์ของ Palo Alto Networks ถูกใช้อย่างแพร่หลายในองค์กรขนาดใหญ่ของไทย ทั้งสถาบันการเงิน โรงพยาบาล หน่วยงานรัฐ และภาคการผลิต โดยมักทำหน้าที่เป็นทั้งไฟร์วอลล์ขอบเครือข่ายและเกตเวย์ VPN สำหรับพนักงานที่ทำงานจากภายนอก การที่ช่องโหว่นี้เปิดทางให้ตั้งเซสชัน VPN ได้โดยไม่ต้องมีรหัสผ่าน จึงเท่ากับข้ามด่านสำคัญที่องค์กรใช้กั้นระหว่างอินเทอร์เน็ตกับเครือข่ายภายในไปทั้งหมด

จุดที่น่ากังวลเป็นพิเศษสำหรับองค์กรไทยคือ อุปกรณ์ขอบเครือข่ายมักถูกจัดให้อยู่ในกลุ่ม “ห้ามแตะ” เพราะการอัปเดตต้องมีช่วงหยุดให้บริการและต้องประสานหลายฝ่าย ส่งผลให้แพตช์ถูกเลื่อนออกไปเรื่อย ๆ ในขณะที่ผู้โจมตีสแกนหาอุปกรณ์ที่ยังไม่แพตช์ได้ตลอดเวลา กรณีนี้ยืนยันว่าช่องว่างระหว่างวันที่แพตช์ออกกับวันที่องค์กรติดตั้งจริง คือช่วงเวลาที่แรนซัมแวร์ใช้เข้าทำงาน

นอกจากนี้ พฤติกรรมล้างล็อกและปิด Microsoft Defender ก่อนเข้ารหัส ยังกระทบโดยตรงต่อภาระการพิสูจน์ตามกฎหมายคุ้มครองข้อมูลส่วนบุคคล เพราะเมื่อล็อกถูกลบ องค์กรจะไม่สามารถระบุได้ว่าข้อมูลส่วนบุคคลใดถูกเข้าถึงหรือถูกนำออกไปบ้าง ซึ่งทำให้การรายงานเหตุและการแจ้งเจ้าของข้อมูลทำได้ยากมาก การส่งล็อกออกไปเก็บนอกเครื่องแบบเรียลไทม์จึงไม่ใช่แค่เรื่องเทคนิค แต่เป็นเรื่องการปฏิบัติตามกฎหมายด้วย

คำแนะนำ

ตรวจสอบและติดตั้งแพตช์สำหรับ CVE-2026-0257 บนอุปกรณ์ PAN-OS ทุกเครื่องโดยเร็วที่สุด พร้อมทั้งตรวจสอบว่ามีการเปิดใช้งานคุกกี้แบบ authentication override ร่วมกับการตั้งค่าใบรับรองที่เข้าเงื่อนไขหรือไม่ หากไม่มีความจำเป็นทางธุรกิจ ควรปิดการตั้งค่าดังกล่าวเพื่อลดพื้นที่การโจมตี

สำหรับองค์กรที่เพิ่งติดตั้งแพตช์ ให้ถือว่าการแพตช์ไม่ใช่จุดสิ้นสุด ควรตรวจสอบย้อนหลังว่ามีเซสชัน VPN ที่ผิดปกติเกิดขึ้นหรือไม่ โดยเฉพาะเซสชันที่ไม่ผูกกับบัญชีผู้ใช้จริง หรือมาจากตำแหน่งที่ตั้งและช่วงเวลาที่ไม่สอดคล้องกับพฤติกรรมพนักงาน เพราะผู้โจมตีอาจเข้ามาแล้วก่อนที่แพตช์จะถูกติดตั้ง

ในฝั่งการตรวจจับ ให้สร้างกฎเฝ้าระวังจากจุดร่วมที่นักวิจัยพบ ได้แก่ ไฟล์ปฏิบัติการที่ถูกวางไว้ในโฟลเดอร์ C:\PerfLogs\ ซึ่งเป็นตำแหน่งที่ไม่ควรมีไฟล์ลักษณะนี้อยู่ การใช้ PsExec สั่งรันข้ามเครื่องผ่านแชร์ ADMIN$ และค่าใน Registry ที่ขึ้นต้นด้วยเครื่องหมายดอกจันตามด้วยตัวอักษรพิมพ์เล็กสุ่ม 6 ตัว รวมถึงการตั้งแจ้งเตือนทันทีเมื่อมีการปิดการป้องกันแบบเรียลไทม์ของ Microsoft Defender หรือมีการล้างล็อกเหตุการณ์ เพราะทั้งสองอย่างนี้มักเกิดขึ้นในนาทีสุดท้ายก่อนการเข้ารหัส

ควรเฝ้าระวังการติดตั้งเครื่องมือเข้าถึงระยะไกลที่องค์กรไม่ได้อนุมัติ เช่น AnyDesk, Ngrok และ LogMeIn รวมถึงเครื่องมือถ่ายโอนข้อมูลอย่าง Rclone และ FileZilla ที่มีปลายทางเป็นบริการคลาวด์ภายนอกอย่าง MEGA หรือ Proton Drive เพราะเป็นสัญญาณของการเตรียมขโมยข้อมูลออกก่อนเข้ารหัส สุดท้าย ควรส่งล็อกออกไปเก็บไว้นอกเครื่องแบบทันที และเก็บสำรองข้อมูลในรูปแบบที่แก้ไขไม่ได้ เพื่อให้ยังมีข้อมูลกู้คืนและมีหลักฐานสืบสวนแม้เครื่องต้นทางจะถูกล้างไปแล้ว

แหล่งอ้างอิง