แรนซัมแวร์ INC ขึ้นเป็นผู้ใช้ช่องโหว่ SonicWall SMA1000 รายใหญ่ที่สุด — เหยื่อถูกโทรศัพท์และอีเมลตามกดดันจากคนที่อ้างว่าจะช่วยเจรจา

สรุปสั้น

บริษัท Resecurity เปิดเผยว่ากลุ่มแรนซัมแวร์ INC (INC Ransomware) กลายเป็นผู้ใช้ช่องโหว่คู่ในอุปกรณ์ SonicWall Secure Mobile Access (SMA) 1000 series ที่เคลื่อนไหวมากที่สุดในเวลานี้ ช่องโหว่ทั้งสองคือ CVE-2026-15409 ที่มีคะแนน CVSS เต็ม 10 และ CVE-2026-15410 คะแนน 7.2 ซึ่งเมื่อนำมาร้อยต่อกันจะเปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนเปิดช่องทาง WebSocket tunnel ไปยังบริการที่ถูกจำกัดการเข้าถึงบนตัวอุปกรณ์ แล้วยกระดับสิทธิ์ขึ้นเป็น root ได้ ทั้งคู่ถูกแพตช์เมื่อวันที่ 14 กรกฎาคม พ.ศ. 2569 และถูกบรรจุเข้าบัญชีช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities หรือ KEV) ของ CISA ในวันเดียวกัน แต่หลักฐานชี้ว่ามีการใช้โจมตีแบบ zero-day มาตั้งแต่อย่างน้อยวันที่ 22 มิถุนายน

ก่อนหน้านี้บริษัท Volexity ระบุว่าการโจมตีที่ตรวจพบเป็นฝีมือของผู้ก่อภัยรหัส UTA0533 ซึ่งเน้นเก็บเกี่ยวข้อมูลรับรองตัวตนจากอุปกรณ์ที่ถูกเจาะและวางไฟล์ประสงค์ร้าย แต่ไม่ค่อยประสบความสำเร็จในการขยับไปยังระบบอื่นในเครือข่าย ขณะที่บริษัท Rapid7 พบผู้โจมตีที่กระโดดจากอุปกรณ์ SMA1000 เข้าสู่เครือข่ายภายในองค์กรได้จริง โดยคาดว่าใช้แบ็กดอร์ที่วางไว้บนอุปกรณ์เป็นสะพาน (รายละเอียดของสายโซ่การโจมตีและมัลแวร์เฉพาะทาง เราเคยรายงานไว้ใน UTA0533 เจาะ SonicWall SMA 1000 ด้วย Zero-Day คู่ ) ล่าสุด Resecurity ระบุว่าในบรรดาผู้ก่อภัยหลายรายที่นำช่องโหว่คู่นี้ไปใช้ กลุ่ม INC คือรายที่เคลื่อนไหวหนักที่สุด และเร่งกิจกรรมขึ้นอีกตั้งแต่ต้นเดือนสิงหาคม พ.ศ. 2569 โดยมีเหยื่อรายใหม่ถูกประกาศบนเว็บไซต์ปล่อยข้อมูล (Data Leak Site หรือ DLS) ของกลุ่มหลายราย

จุดที่แปลกและน่าจับตาที่สุดของรายงานฉบับนี้อยู่ที่พฤติกรรมหลังการโจมตี Resecurity ซึ่งเข้าไปช่วยเหยื่อหลายรายทำ DFIR และประเมินช่องโหว่ พบว่าเหยื่อจำนวนหนึ่งได้รับทั้งอีเมลและสายโทรศัพท์จากองค์กรที่ไม่รู้จัก ซึ่งอ้างว่าจะเข้ามาช่วยเหลือเรื่องปัญหาแรนซัมแวร์ กรณีหนึ่งอีเมลถูกส่งมาจากโดเมนที่เพิ่งจดทะเบียนหลังเกิดการโจมตีผ่านผู้รับจดทะเบียนโดเมนสัญชาติจีน ส่วนอีกกรณีมีผู้โทรมาแนะนำตัวว่าชื่อ Andrew และอ้างว่าเป็นตัวแทนของกลุ่มแฮ็กเกอร์ ก่อนทิ้งอีเมลติดต่อ info@helprans[.]com ไว้ให้เจรจาต่อแล้ววางสาย ซึ่ง Resecurity ชี้ว่าเป็นกลยุทธ์กดดันที่กลุ่มแรนซัมแวร์ใช้กันบ่อย

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 3 สิงหาคม พ.ศ. 2569 ว่าบริษัท Resecurity เผยแพร่ผลการติดตามกิจกรรมล่าสุดรอบช่องโหว่ใหม่สองรายการในอุปกรณ์ SonicWall SMA1000 secure remote access และสรุปว่ากลุ่มแรนซัมแวร์ INC เป็นผู้อยู่เบื้องหลังกิจกรรมส่วนใหญ่ที่สังเกตพบ ช่องโหว่ทั้งสองคือ CVE-2026-15409 (CVSS 10) และ CVE-2026-15410 (CVSS 7.2) ซึ่งเปิดทางให้ผู้โจมตีจากระยะไกลที่ไม่ต้องยืนยันตัวตนเปิด WebSocket tunnel เข้าหาบริการที่จำกัดการเข้าถึง แล้วยกระดับสิทธิ์เป็น root บนอุปกรณ์

ไทม์ไลน์ของเหตุการณ์ชี้ให้เห็นว่าองค์กรที่รอแพตช์อย่างเดียวเสียเปรียบมาตั้งแต่ต้น ช่องโหว่ทั้งคู่ได้รับแพตช์เมื่อวันที่ 14 กรกฎาคม และถูกเพิ่มเข้าบัญชี KEV ของ CISA ในวันเดียวกัน ทว่าหลักฐานบ่งชี้ว่ามีการใช้โจมตีจริงในสถานะ zero-day มาตั้งแต่อย่างน้อยวันที่ 22 มิถุนายน หรือราวสามสัปดาห์ก่อนแพตช์จะออก หมายความว่าอุปกรณ์ที่เปิดสู่อินเทอร์เน็ตอาจถูกเจาะไปแล้วก่อนที่ผู้ดูแลระบบจะมีอะไรให้ติดตั้ง

ในช่วงแรกบริษัท Volexity เป็นผู้เชื่อมโยงการโจมตีที่ตรวจพบเข้ากับผู้ก่อภัยรหัส UTA0533 โดยระบุว่ากลุ่มนี้เก็บเกี่ยวข้อมูลรับรองตัวตนจากอุปกรณ์ที่ถูกเจาะและวางไฟล์ประสงค์ร้ายไว้ แต่ไม่ค่อยประสบความสำเร็จในการเคลื่อนไหวด้านข้าง (lateral movement) ไปยังระบบอื่น ต่อมาบริษัท Rapid7 รายงานภาพที่ต่างออกไป โดยพบผู้ก่อภัยที่ใช้อุปกรณ์ SMA1000 เป็นจุดกระโดดเข้าสู่เครือข่ายภายในองค์กรได้สำเร็จ ซึ่งน่าจะเกิดขึ้นหลังจากวางแบ็กดอร์บนอุปกรณ์ที่ถูกเจาะแล้ว ความต่างนี้สะท้อนว่ามีผู้ก่อภัยมากกว่าหนึ่งรายเข้ามาใช้ช่องโหว่ชุดเดียวกันด้วยเป้าหมายที่ต่างกัน

Resecurity ระบุว่า “ที่น่าสังเกตคือ ณ ต้นเดือนสิงหาคม 2569 แรนซัมแวร์ INC ได้เร่งกิจกรรมขึ้น มีเหยื่อรายใหม่จำนวนมากถูกเผยแพร่บนเว็บไซต์ปล่อยข้อมูลของกลุ่ม” โดยรายชื่อองค์กรที่ถูกประกาศระหว่างวันที่ 17 กรกฎาคมถึง 1 สิงหาคม พ.ศ. 2569 มีทั้งภาคเอกชนและภาครัฐจากสหรัฐอเมริกา ออสเตรเลีย สหรัฐอาหรับเอมิเรตส์ โคลอมเบีย และสวิตเซอร์แลนด์ เป็นต้น ส่วนสถิติที่รวบรวมโดยเว็บไซต์ Ransomware.Live ระบุว่ากลุ่ม INC อ้างเหยื่อสะสมแล้ว 885 ราย โดยรายล่าสุดถูกประกาศเมื่อวันที่ 2 สิงหาคม พ.ศ. 2569 ทั้งนี้รายงานไม่ได้ระบุจำนวนเหยื่อที่มาจากช่องโหว่ SonicWall โดยเฉพาะ ไม่ได้เปิดเผยชื่อองค์กร และไม่ได้ยืนยันว่าเหยื่อทุกรายบนเว็บไซต์ปล่อยข้อมูลถูกเจาะผ่านช่องโหว่ชุดนี้ทั้งหมด

รายละเอียดที่บริษัท Rapid7 เพิ่มเข้ามาช่วยอธิบายว่าทำไมการแพตช์อย่างเดียวถึงไม่พอ บริษัทระบุว่าผู้โจมตีใช้จุดยืนที่ได้จากอุปกรณ์ที่ถูกเจาะเพื่อดึงข้อมูลรับรองตัวตนที่มีมูลค่าสูง ฐานข้อมูลเซสชันที่ยังใช้งานอยู่ (active session database) และที่สำคัญที่สุดคือ ค่า seed ของระบบยืนยันตัวตนหลายปัจจัยแบบรหัสผ่านครั้งเดียวตามเวลา (TOTP) โดยมีเป้าหมายเพื่อรักษาการเข้าถึงระยะยาวและใช้เคลื่อนไหวด้านข้างเข้าสู่เครือข่ายภายในองค์กร การได้ TOTP seed ไปหมายความว่าผู้โจมตีสามารถสร้างรหัส MFA ที่ถูกต้องได้เองแม้องค์กรจะแพตช์อุปกรณ์แล้ว ตราบใดที่ยังไม่ได้ออกค่า seed ใหม่ให้ผู้ใช้ทุกราย

ด้าน Volexity ระบุในรายงานติดตามผลว่าการโจมตีก่อนการเปิดเผยช่องโหว่ตั้งแต่วันที่ 22 มิถุนายน พ.ศ. 2569 เป็นฝีมือของคลัสเตอร์ภัยคุกคามที่ติดตามในชื่อ UTA0533 ซึ่งใช้สคริปต์ภาษา Python ชื่อ KNUCKLEBALL สำหรับเรียกใช้ Suo5 ซึ่งเป็น HTTP proxy แบบโอเพนซอร์ส และเว็บเชลล์ Java แบบกำหนดเองที่คล้าย Behinder ชื่อ ORANGETAIL ต่อมา นาย Douglas McKee ผู้อำนวยการฝ่ายข่าวกรองช่องโหว่ของ Rapid7 บอกกับ The Hacker News ว่า “ความสัมพันธ์เชิงเทคนิคที่ชัดเจนนี้บ่งชี้ว่าผู้ก่อภัยรายเดียวหรือกลุ่มที่ทำงานประสานกันเป็นผู้ค้นพบและใช้ช่องโหว่ zero-day นี้ และเมื่อไม่นานมานี้ แรนซัมแวร์ INC ได้ก้าวขึ้นมาเป็นผู้ก่อภัยหลักที่นำสายโซ่ช่องโหว่นี้ไปใช้อย่างจริงจัง”

วิธีการโจมตี

ในเชิงเทคนิค การเข้าถึงเริ่มจากการร้อยช่องโหว่สองรายการเข้าด้วยกัน CVE-2026-15409 เปิดทางให้คำขอจากภายนอกที่ไม่ผ่านการยืนยันตัวตนสร้างช่องทาง WebSocket tunnel ไปยังบริการที่ปกติเปิดให้เข้าถึงเฉพาะภายในตัวอุปกรณ์ จากนั้น CVE-2026-15410 ถูกใช้ยกระดับสิทธิ์จนถึงระดับ root ซึ่งเท่ากับผู้โจมตีควบคุมอุปกรณ์ที่ทำหน้าที่เป็นประตูเข้าเครือข่ายขององค์กรได้เบ็ดเสร็จ เมื่อได้สิทธิ์ระดับนั้นแล้ว ข้อมูลรับรองตัวตนที่อุปกรณ์ประมวลผลหรือแคชไว้ย่อมถือว่าถูกเปิดเผยทั้งหมด และในกรณีที่ Rapid7 สังเกตพบ ผู้ก่อภัยยังวางแบ็กดอร์ไว้บนอุปกรณ์เพื่อใช้เป็นสะพานเข้าสู่เครือข่ายภายในต่อไป

สิ่งที่เพิ่มเข้ามาใหม่ในรายงานรอบนี้คือกลวิธีกดดันเหยื่อนอกเหนือจากการเข้ารหัสไฟล์และขู่ปล่อยข้อมูล Resecurity ซึ่งเข้าไปช่วยเหยื่อหลายรายทำการสอบสวนเหตุการณ์และประเมินช่องโหว่เพื่อหาสาเหตุที่แท้จริงของการถูกเจาะ พบว่าเหยื่อจำนวนหนึ่งได้รับอีเมลและสายโทรศัพท์จากองค์กรที่ไม่รู้จักซึ่งอ้างว่าจะเข้ามาช่วยเหลือเรื่องปัญหาแรนซัมแวร์ ในกรณีหนึ่งอีเมลถูกส่งมาจากโดเมนที่เพิ่งจดทะเบียนขึ้นหลังจากเกิดการโจมตีแล้ว และจดผ่านผู้รับจดทะเบียนโดเมนสัญชาติจีน ซึ่งเป็นรูปแบบที่พบได้ทั่วไปในโครงสร้างพื้นฐานชั่วคราวของอาชญากรไซเบอร์

อีกกรณีหนึ่งเหยื่อถูกติดต่อทางโทรศัพท์โดยผู้ก่อภัยที่เรียกตัวเองว่า Andrew ซึ่งโทรมาจากหมายเลข +1 (304) 384-0401 และอ้างว่าเป็นตัวแทนของกลุ่มแฮ็กเกอร์พร้อมแจ้งว่าเครือข่ายของเหยื่อถูกเจาะแล้ว Resecurity บันทึกไว้ว่า “ในตอนท้ายของการสนทนา บุคคลดังกล่าวให้ที่อยู่อีเมล info@helprans[.]com ไว้สำหรับการเจรจาต่อ แล้ววางสาย วิธีการเช่นนี้ถูกกลุ่มแรนซัมแวร์นำมาใช้เป็นกลยุทธ์กดดันอยู่บ่อยครั้ง” ทั้งนี้ต้องย้ำว่ารายงานไม่ได้ยืนยันว่าผู้ที่โทรมาเป็นสมาชิกของกลุ่ม INC จริงหรือเป็นบุคคลที่สามที่ฉวยโอกาสจากรายชื่อเหยื่อที่ถูกเผยแพร่บนเว็บไซต์ปล่อยข้อมูล ซึ่งทั้งสองความเป็นไปได้ล้วนอันตรายต่อองค์กรที่กำลังอยู่ในภาวะวิกฤต

ผลกระทบ

อุปกรณ์ประเภท secure access gateway ที่เปิดสู่อินเทอร์เน็ตโดยตรงเป็นเป้าหมายอันดับต้นของกลุ่มแรนซัมแวร์ เพราะเจาะสำเร็จครั้งเดียวได้ทั้งสิทธิ์สูงสุดบนอุปกรณ์และข้อมูลรับรองตัวตนของผู้ใช้จำนวนมากในคราวเดียว การที่กลุ่มซึ่งมีเว็บไซต์ปล่อยข้อมูลเป็นของตัวเองอย่าง INC เข้ามาเป็นผู้ใช้ช่องโหว่ชุดนี้รายใหญ่ที่สุด แปลว่าองค์กรที่ยังไม่แพตช์ไม่ได้เสี่ยงแค่ถูกจารกรรมเงียบ ๆ แต่เสี่ยงถูกเข้ารหัสไฟล์และถูกประกาศชื่อต่อสาธารณะภายในกรอบเวลาไม่กี่สัปดาห์ รายชื่อประเทศที่ปรากฏบนเว็บไซต์ปล่อยข้อมูลซึ่งกระจายทั้งสหรัฐฯ ออสเตรเลีย ยูเออี โคลอมเบีย และสวิตเซอร์แลนด์ ยังบ่งชี้ว่าการเลือกเป้าหมายเป็นแบบฉวยโอกาสตามอุปกรณ์ที่เปิดอยู่ ไม่ได้จำกัดภูมิภาคหรืออุตสาหกรรม

ประเด็นการโทรศัพท์และอีเมลตามกดดันมีนัยเชิงปฏิบัติที่องค์กรควรเตรียมรับมือไว้ล่วงหน้า เมื่อชื่อบริษัทถูกประกาศบนเว็บไซต์ปล่อยข้อมูล ข้อมูลนั้นเป็นสาธารณะ ใครก็เข้าถึงได้ ทำให้ทั้งตัวผู้ก่อเหตุเองและผู้ฉวยโอกาสรายอื่นสามารถโทรเข้าไปหาพนักงาน อ้างตัวเป็นผู้เชี่ยวชาญที่จะมาช่วย แล้วดึงข้อมูลภายในหรือเปิดทางเข้าระบบเพิ่มได้ในช่วงที่องค์กรกำลังโกลาหล องค์กรที่ไม่ได้กำหนดไว้ล่วงหน้าว่าใครเป็นผู้มีอำนาจสื่อสารกับภายนอกระหว่างเกิดเหตุ มีความเสี่ยงสูงที่พนักงานจะตอบสนองสายเหล่านี้ด้วยความหวังดี

ข้อจำกัดของหลักฐานที่ควรระบุให้ชัดคือ รายงานนี้มาจากผู้ให้บริการรายเดียวและอิงกับเคสที่บริษัทเข้าไปช่วยเหลือเอง ตัวเลขจำนวนเหยื่อทั้งหมดไม่ถูกเปิดเผย ไม่มีการยืนยันว่าเหยื่อบนเว็บไซต์ปล่อยข้อมูลทุกรายเข้ามาทางช่องโหว่ SonicWall และไม่มีการเปิดเผยตัวบ่งชี้การบุกรุกชุดใหญ่เพิ่มเติมนอกจากที่อยู่อีเมลที่ผู้โทรทิ้งไว้ นอกจากนี้รายงานยังไม่ได้ระบุตัวตนของผู้รับจดทะเบียนโดเมนหรือชื่อโดเมนที่ใช้ส่งอีเมล ทำให้องค์กรนำไปทำการล่าภัยคุกคาม (threat hunting) ต่อได้จำกัด

คำแนะนำ

1. อัปเดตอุปกรณ์ SonicWall SMA1000 series ให้เป็นเวอร์ชันที่แก้ CVE-2026-15409 และ CVE-2026-15410 ทันที หากยังไม่ได้ทำ — ช่องโหว่อยู่ในบัญชี KEV ของ CISA ตั้งแต่ 14 กรกฎาคมแล้ว
2. อย่าถือว่าการแพตช์เท่ากับปลอดภัย เพราะมีการโจมตีก่อนแพตช์ออกอย่างน้อยสามสัปดาห์ — ให้ทำการล่าภัยคุกคามย้อนหลังบนอุปกรณ์ที่เปิดสู่อินเทอร์เน็ตในช่วงตั้งแต่ 22 มิถุนายนเป็นต้นมา
3. หากพบร่องรอยการบุกรุก ให้ถือว่าข้อมูลรับรองตัวตนทั้งหมดที่อุปกรณ์ประมวลผลถูกเปิดเผย — re-image อุปกรณ์ เปลี่ยนรหัสผ่านผู้ใช้และผู้ดูแลระบบทั้งหมด และหมุนเปลี่ยนความลับที่เกี่ยวข้อง
4. ออกค่า seed ของ TOTP ใหม่ให้ผู้ใช้ทุกราย และยกเลิกเซสชันที่ยังใช้งานอยู่ทั้งหมด เพราะ Rapid7 พบว่าผู้โจมตีดึงทั้ง TOTP seed และฐานข้อมูลเซสชันออกไป การแพตช์และเปลี่ยนรหัสผ่านโดยไม่ออก seed ใหม่จะทำให้ MFA ยังถูกข้ามได้
5. ตรวจล็อกหาที่อยู่ IP ภายนอกที่เคยเรียกเส้นทาง /wsproxy หรือส่งพารามิเตอร์ผิดปกติ แล้วนำไปเทียบกับกิจกรรมการยืนยันตัวตนและการเคลื่อนไหวด้านข้างภายในเครือข่าย ตามที่ Resecurity แนะนำ
6. เฝ้าระวังการเคลื่อนไหวด้านข้างจากตัวอุปกรณ์เข้าสู่เครือข่ายภายใน ซึ่งเป็นรูปแบบที่ Rapid7 สังเกตพบ และเป็นขั้นตอนก่อนการปล่อยแรนซัมแวร์
7. กำหนดขั้นตอนรับมือการติดต่อจากภายนอกระหว่างเกิดเหตุไว้ล่วงหน้า — ระบุผู้มีอำนาจสื่อสารเพียงช่องทางเดียว และแจ้งพนักงานว่าห้ามให้ข้อมูลหรือสิทธิ์เข้าถึงกับผู้ที่โทรมาอ้างว่าจะช่วยเรื่องแรนซัมแวร์โดยไม่ผ่านการตรวจสอบ
8. บล็อกและเฝ้าระวังการติดต่อกับอีเมล โดเมน และหมายเลขโทรศัพท์ที่ปรากฏในตาราง IoC ด้านล่าง และรายงานการติดต่อลักษณะนี้ต่อทีมตอบสนองเหตุการณ์แทนการตอบกลับเอง

Indicators of Compromise (IoCs)

ตัวบ่งชี้ต่อไปนี้ถูก defang ไว้แล้ว (แทน . ด้วย [.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ

แหล่งอ้างอิง

• SecurityWeek — Recent SonicWall Vulnerabilities Exploited in Ransomware Attacks
• Resecurity — From WSProxy to Root: INC Ransomware and SonicWall SMA Exploit Chain
• The Hacker News — INC Ransomware Emerges as Dominant Actor Exploiting SonicWall SMA 1000 Flaws
• Rapid7 — MDR Team Discovers New SonicWall SMA1000 Zero-Days Being Actively Exploited (CVE-2026-15409, CVE-2026-15410)