สรุปสั้น

บริษัท Volexity บริษัทด้านความมั่นคงปลอดภัยไซเบอร์เปิดเผยรายงานการสอบสวนเหตุการณ์ (Incident Response) ที่ชี้ว่ากลุ่มภัยคุกคามซึ่งยังไม่เคยถูกบันทึกมาก่อนภายใต้ชื่อรหัส UTA0533 ได้ใช้ช่องโหว่ระดับ zero-day (ช่องโหว่ที่ถูกโจมตีก่อนผู้ผลิตออกแพตช์) จำนวนสองรายการในอุปกรณ์ VPN รุ่น SonicWall Secure Mobile Access (SMA) 1000 series มาตั้งแต่วันที่ 22 มิถุนายน พ.ศ. 2569 ก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะ ช่องโหว่ทั้งสองคือ CVE-2026-15409 (CVSS 10.0) และ CVE-2026-15410 (CVSS 7.2) เมื่อนำมาร้อยต่อกันเป็นสายโซ่จะเปิดทางให้รันคำสั่งบนระบบและยึดครองอุปกรณ์ได้อย่างสมบูรณ์ โดย SonicWall เพิ่งออกแพตช์แก้ทั้งสองรายการในสัปดาห์เดียวกับที่รายงานถูกเผยแพร่

จุดที่ทำให้เหตุการณ์นี้น่ากังวลเป็นพิเศษคือ ผู้โจมตีได้พัฒนามัลแวร์เฉพาะทางสำหรับอุปกรณ์ SonicWall SMA โดยตรง ทั้งไบนารี setuid ชื่อ ROOTRUN ที่ยกสิทธิ์เป็น root, ตัวหยอดมัลแวร์ KNUCKLEBALL และเว็บเชลล์ (web shell) ORANGETAIL ที่ดัดแปลงจาก Behinder ควบคู่กับการดักจับรหัสผ่านจากทราฟฟิก LDAP ที่ไม่ได้เข้ารหัส เมื่อยึดสิทธิ์ root ได้ ผู้โจมตีสามารถเข้าถึงข้อมูลรับรองตัวตน (credential) ที่จัดเก็บหรือแคชไว้ ดักจับทราฟฟิกเครือข่าย และดักข้อมูลที่อุปกรณ์ประมวลผลได้ อย่างไรก็ตาม Volexity ระบุว่ากลุ่มนี้ยังไม่ประสบความสำเร็จนักในการขยายการเข้าถึงไปยังระบบอื่นภายในเครือข่าย ต่อมา Rapid7 ยืนยันว่าพบการทับซ้อนของเทคนิคอย่างมีนัยสำคัญ และเตือนว่ากลุ่มแรนซัมแวร์ INC ได้กลายเป็นผู้นำช่องโหว่ชุดนี้ไปใช้โจมตีรายใหญ่ที่สุดในเวลานี้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 19 กรกฎาคม พ.ศ. 2569 ว่าบริษัท Volexity ได้เปิดเผยผลการสอบสวนที่เชื่อมโยงกลุ่มภัยคุกคามใหม่ที่ยังไม่มีชื่อเสียงเรียงนาม ซึ่งบริษัทติดตามภายใต้รหัส UTA0533 เข้ากับการโจมตีอุปกรณ์ SonicWall SMA 1000 series แบบ zero-day โดยการค้นพบเกิดขึ้นระหว่างการเข้าไปสอบสวนเหตุการณ์บุกรุกในองค์กรแห่งหนึ่งช่วงต้นเดือนกรกฎาคม ทั้งนี้บริษัทไม่ได้เปิดเผยชื่อองค์กรที่ตกเป็นเหยื่อ นักวิจัยนาย Sean Koessel และนาย Steven Adair ระบุในบทวิเคราะห์ว่าผู้โจมตีรายนี้ใช้ช่องโหว่ zero-day หลายรายการร่วมกับมัลแวร์ที่ออกแบบมาสำหรับอุปกรณ์ SonicWall SMA VPN โดยเฉพาะ

Volexity ระบุว่าพบอุปกรณ์ SMA VPN ที่ถูกเจาะขององค์กรเหยื่อสองเครื่อง บนอุปกรณ์เครื่องแรก ผู้โจมตีเขียนไฟล์ ELF ชื่อ /usr/bin/xzfind เมื่อวันที่ 22 มิถุนายน ซึ่งเป็นไบนารี setuid ชื่อ ROOTRUN ที่เปิดให้ผู้ใช้สิทธิ์ต่ำรันคำสั่งใดก็ได้ในฐานะ root ตามด้วยไฟล์ที่สองชื่อ deploy_new.py (ชื่อเรียก KNUCKLEBALL) ที่บรรจุไฟล์ JAR ฝังในตัวสองไฟล์ซึ่งถูกฉีดเข้าไปในโปรเซสของ SonicWall ที่ถูกต้อง เพย์โหลดทั้งสองคือ Suo5 ซึ่งเป็น HTTP proxy แบบโอเพนซอร์ส และเว็บเชลล์ Java แบบกำหนดเองที่คล้าย Behinder ชื่อ ORANGETAIL โดยทั้งคู่ถูกเรียกใช้ผ่านเส้นทาง URI ที่เข้าถึงได้จากอินเทอร์เน็ต จากนั้นผู้โจมตีสร้างความคงอยู่ (persistence) ด้วยการแก้ไขสคริปต์ startup /etc/init.d/workplace และเพิ่มเส้นทาง (route) สองรายการในไฟล์คอนฟิกของ NGINX Unit ที่ /var/lib/unit/conf.json เพื่อชี้ไปยัง Suo5 และ ORANGETAIL

ส่วนอุปกรณ์เครื่องที่สอง ผู้โจมตีแก้ไขไฟล์ conf.json แบบเดียวกันแต่เส้นทางไม่ตอบสนอง และสร้างไฟล์หลายไฟล์ในไดเรกทอรี /var/tmp รวมถึงไฟล์ lib.sh ที่เรียกใช้ tcpdump เพื่อดักจับทราฟฟิก LDAP ที่ไม่ได้เข้ารหัสและดึงชื่อผู้ใช้กับรหัสผ่านออกมา ทั้งนี้อุปกรณ์เครื่องที่สองมีร่องรอยหลงเหลือน้อยกว่าเนื่องจากถูกรีบูตเมื่อวันที่ 2 กรกฎาคม ทำให้ร่องรอยและแบ็กดอร์ที่อยู่ในหน่วยความจำถูกล้างไป

รายละเอียดช่องโหว่

CVE-2026-15409 (CVSS 10.0) เป็นช่องโหว่ pre-authentication แบบ /wsproxy bypass ที่เปิดให้คำขอจากภายนอกโดยไม่ต้องยืนยันตัวตนสามารถสร้างช่องทาง WebSocket tunnel ไปยังบริการที่เปิดเฉพาะบน localhost ของอุปกรณ์ได้ โดยเงื่อนไขคือต้องส่งคำขอที่มี User-Agent เป็น SMA Connect Agent และค่าพารามิเตอร์ bmID ที่ขึ้นต้นด้วย -3389 การเข้าถึงนี้ถูกนำไปใช้เรียกเมธอดที่ปลายทาง sysCtrl ซึ่งเปิดทางสู่การฉีดคำสั่ง (command injection) การยกระดับสิทธิ์ และการรันโค้ดผ่านช่องโหว่ที่สองในบริการ SMA control service

จุดสำคัญของสายโซ่การโจมตีอยู่ที่การอาศัย CouchDB ฐานข้อมูลที่ติดตั้งมาพร้อมอุปกรณ์ SMA และเข้าถึงได้ผ่าน localhost ผู้โจมตีใช้บัญชี CouchDB อ่านไฟล์ /sys/class/dmi/id/product_uuid เพื่อหลบเลี่ยงการยืนยันตัวตน เนื่องจากรหัสผ่านแบบ Basic auth ของ ctrl-service ถูกสร้างมาจากรหัสฮาร์ดแวร์ประจำเครื่องนี้ และไฟล์ดังกล่าวอ่านได้โดยผู้ใช้ทั่วไป (หมายเหตุ: ช่องโหว่นี้กระทบเฉพาะอุปกรณ์กายภาพ ไม่กระทบเครื่องเสมือน) ทาง Rapid7 ได้เผยแพร่ proof-of-concept (PoC) ที่ทำ RCE แบบไม่ใช่ root บน SMA 1000 โดยจำลองโปรโตคอล Erlang ที่ localhost:1050 และส่งผ่าน WebSocket เพื่ออ่าน-เขียนไฟล์และรันโค้ดผ่านการเรียก RPC

สายโซ่การโจมตีเต็มรูปแบบไล่ตามลำดับดังนี้ (1) ส่งคำขอ /wsproxy โดยไม่ยืนยันตัวตนพร้อม User-Agent SMA Connect Agent และพารามิเตอร์ bmID=-3389 (2) สร้าง WebSocket tunnel ไปยังบริการบน localhost (3) เรียก CouchDB เพื่ออ่าน-เขียนไฟล์ในฐานะผู้ใช้ couchdb (4) วางไฟล์ใน /tmp เพื่ออ่าน product_uuid ผ่าน CVE-2026-15409 และ (5) ยกระดับเป็น root ผ่าน CVE-2026-15410 ซึ่งเป็นช่องโหว่ path traversal ในกระบวนการ remove_hotfix ของ ctrl-service จนได้สิทธิ์รันคำสั่งระดับสูง

ในบทอัปเดต นาย Douglas McKee ผู้อำนวยการฝ่าย vulnerability intelligence ของ Rapid7 บอกกับ The Hacker News ว่าการสอบสวนเหตุการณ์ที่ตามมาพบการทับซ้อนของเทคนิค กลยุทธ์ และวิธีการ (TTPs) อย่างมีนัยสำคัญระหว่างคลัสเตอร์กิจกรรมที่ Volexity และ Rapid7 สังเกตพบ ซึ่งบ่งชี้ว่าเป็นฝีมือของผู้โจมตีรายเดียวหรือกลุ่มที่ทำงานประสานกัน และเตือนว่า “เมื่อไม่นานมานี้ แรนซัมแวร์ INC ได้ก้าวขึ้นมาเป็นผู้ใช้ช่องโหว่ชุดนี้โจมตีรายใหญ่ที่สุด”

ผลกระทบต่อไทย

อุปกรณ์ SonicWall SMA ถูกใช้งานแพร่หลายในองค์กรไทยทั้งภาคเอกชน สถาบันการศึกษา และหน่วยงานรัฐ ในฐานะช่องทาง remote access ให้พนักงานเชื่อมต่อจากภายนอก อุปกรณ์ประเภท secure access gateway ที่เปิดสู่อินเทอร์เน็ตโดยตรงเช่นนี้เป็นเป้าหมายอันดับต้นของทั้งกลุ่มแรนซัมแวร์และกลุ่มจารกรรม โดยเฉพาะข่าวนี้ที่ระบุชัดว่ากลุ่มแรนซัมแวร์ INC ซึ่งเป็นกลุ่มที่มีประวัติโจมตีองค์กรใหญ่ทั่วโลกกำลังนำช่องโหว่ชุดนี้ไปใช้อย่างจริงจัง ที่สำคัญคือรายงานฉบับนี้เป็นการต่อยอดเชิงลึกจากประกาศเตือนของ SonicWall ก่อนหน้า โดยเพิ่มรายละเอียดการเจาะจริง ชื่อมัลแวร์เฉพาะทาง และสายโซ่การโจมตีทั้งหมด องค์กรที่จัดเป็นโครงสร้างพื้นฐานสำคัญทางสารสนเทศ (CII) ตาม พ.ร.บ. การรักษาความมั่นคงปลอดภัยไซเบอร์ ควรถือเป็นกรณีเร่งด่วน เนื่องจากมี PoC สาธารณะออกมาแล้วและช่องโหว่ถูกโจมตีจริง หากอุปกรณ์เคยถูกเจาะ การแพตช์เพียงอย่างเดียวไม่เพียงพอ ต้องตรวจหาร่องรอยการฝังตัวและ credential ที่อาจถูกขโมยไปด้วย

คำแนะนำ

  1. อัปเดตอุปกรณ์ SonicWall SMA 1000 series เป็นเวอร์ชันที่แก้ไข CVE-2026-15409 และ CVE-2026-15410 ทันที ตามประกาศล่าสุดของ SonicWall — ไม่มี workaround อื่น
  2. ตรวจหาไฟล์และร่องรอยที่ Volexity ระบุ เช่น /usr/bin/xzfind (ROOTRUN), deploy_new.py (KNUCKLEBALL), เส้นทางแปลกใน /var/lib/unit/conf.json, ไฟล์ใน /var/tmp และ /tmp/hypdate.b64
  3. ตรวจสอบล็อกหาคำขอ /wsproxy ที่มี User-Agent SMA Connect Agent และค่า bmID ขึ้นต้นด้วย -3389
  4. หากพบร่องรอยการบุกรุก ให้ถือว่า credential ทั้งหมดที่อุปกรณ์ประมวลผลถูกเปิดเผย — re-image อุปกรณ์ใหม่ เปลี่ยนรหัสผ่านผู้ใช้และผู้ดูแลระบบทั้งหมด และหมุนเปลี่ยนความลับที่เกี่ยวข้อง
  5. เฝ้าระวังการเชื่อมต่อขาออกที่ผิดปกติจากตัวอุปกรณ์ และการเคลื่อนไหวด้านข้าง (lateral movement) ในเครือข่ายภายใน โดยเฉพาะร่องรอยที่เชื่อมโยงกับแรนซัมแวร์ INC

แหล่งอ้างอิง