สรุปสั้น

คำเตือนด้านความมั่นคงปลอดภัยไซเบอร์ฉบับร่วมจากสำนักงานสอบสวนกลางสหรัฐ (FBI) หน่วยงาน CISA ศูนย์อาชญากรรมไซเบอร์ของกระทรวงกลาโหมสหรัฐ สำนักงานความมั่นคงแห่งชาติ (NSA) หน่วยสืบราชการลับสหรัฐ และสำนักงานตำรวจแห่งชาติเกาหลีใต้ ได้เปิดโปงคลื่นการโจมตีระลอกใหม่ของกลุ่มแรนซัมแวร์ Gunra ซึ่งกำลังใช้ประโยชน์จากช่องโหว่ที่รู้จักกันดีใน VPN ของ Fortinet เพื่อข้ามการยืนยันตัวตนหลายปัจจัย (MFA) แล้วขโมยข้อมูลสำคัญขององค์กรออกไปก่อนจะล็อกเครือข่ายของเหยื่อ จุดตั้งต้นของการโจมตีคือช่องโหว่ข้ามการยืนยันตัวตนสองรายการ ได้แก่ CVE-2024-55591 และ CVE-2025-24472 ที่กระทบ FortiOS และ FortiProxy บางเวอร์ชัน ซึ่งทั้งคู่ไม่ใช่ช่องโหว่ใหม่ แต่เป็นช่องโหว่เก่าที่มีแพตช์แล้วและองค์กรจำนวนหนึ่งยังไม่ได้ปิด

สิ่งที่ทำให้คำเตือนฉบับนี้ต่างจากรายงานแรนซัมแวร์ทั่วไปคือรายละเอียดวิธีที่กลุ่มใช้ปิดการป้องกัน MFA ในเคสหนึ่งที่มีการบันทึกไว้ ผู้โจมตียึดบัญชีผู้ดูแลระบบ SSL-VPN ที่ยังใช้ข้อมูลรับรองแบบค่าเริ่มต้นและไม่มีการล็อกบัญชีเมื่อกรอกผิดซ้ำ จากนั้นเข้าไปแก้ไฟล์ที่ทำหน้าที่ตรวจสอบตัวตนบนพอร์ทัล VDI ขององค์กร ให้ค่ารหัสผ่านครั้งเดียวที่ Gunra กำหนดไว้ผ่านการตรวจสอบได้เสมอ ผลคือกลไก MFA ที่องค์กรลงทุนติดตั้งไว้ถูกทำให้ไร้ผลไปทั้งระบบ ในด้านตัวมัลแวร์ Gunra ใช้การเข้ารหัสแบบ ChaCha20 ร่วมกับ RSA-4096 บนสถาปัตยกรรมหลายเธรด เติมนามสกุล .ENCRT ให้ไฟล์ที่ถูกล็อก และทิ้งโน้ตเรียกค่าไถ่ชื่อ R3ADM3.txt ไว้ในทุกไดเรกทอรีที่ได้รับผลกระทบ

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 10 สิงหาคม 2569 ว่า หน่วยงานความมั่นคงของสหรัฐหลายแห่งร่วมกับสำนักงานตำรวจแห่งชาติเกาหลีใต้ได้ออกคำเตือนร่วมรหัส AA26-222A เปิดเผยรายละเอียดปฏิบัติการของกลุ่มแรนซัมแวร์ Gunra โดยเอกสารต้นทางเผยแพร่อยู่บนเว็บไซต์ของ CISA

กลุ่ม Gunra ปรากฏตัวครั้งแรกเมื่อเดือนเมษายน 2568 ในฐานะแรนซัมแวร์ที่ใช้รูปแบบกรรโชกสองชั้น โดยเชื่อกันว่าสร้างขึ้นบนซอร์สโค้ดของ Conti ที่หลุดออกสู่สาธารณะ ต่อมาในช่วงต้นปี 2569 กลุ่มได้พัฒนาตัวเองขึ้นเป็นปฏิบัติการแบบแรนซัมแวร์ให้เช่า (ransomware-as-a-service) เต็มรูปแบบ โดยเสนอแผงควบคุมสำหรับบริหารจัดการให้แก่พันธมิตร ตัวสร้างแรนซัมแวร์ที่ปรับแต่งค่าได้ และเพย์โหลดตัวเข้ารหัสที่ทำงานได้ข้ามแพลตฟอร์ม ผ่านฟอรัมบนดาร์กเว็บ

FBI ยังพบว่ากลุ่มได้เปลี่ยนไปใช้ชื่อแฝงว่า Golden Community พร้อมกับเดินหน้าชักชวนผู้ทดสอบเจาะระบบและแฮ็กเกอร์สายขาวให้มาเป็นนายหน้าขายสิทธิ์การเข้าถึงระบบ (initial access broker) โดยแลกกับส่วนแบ่งจากเงินค่าไถ่ ประเด็นนี้สะท้อนว่าตลาดสิทธิ์การเข้าถึงระบบยังคงเป็นกลไกสำคัญที่ทำให้กลุ่มแรนซัมแวร์ขยายจำนวนเหยื่อได้เร็ว โดยที่ตัวกลุ่มเองไม่ต้องลงมือหาทางเข้าทุกครั้ง

ผู้สืบสวนยืนยันว่าพันธมิตรของ Gunra เข้าถึงระบบครั้งแรกโดยอาศัยช่องโหว่ที่รู้จักกันแล้วในอุปกรณ์ VPN และไฟร์วอลล์ที่เปิดสู่อินเทอร์เน็ตเป็นหลัก ซึ่งที่โดดเด่นที่สุดคือ CVE-2024-55591 และ CVE-2025-24472 ทั้งคู่เป็นช่องโหว่ประเภทข้ามการยืนยันตัวตนที่กระทบ FortiOS และ FortiProxy บางเวอร์ชัน จุดที่ต้องย้ำคือรหัสช่องโหว่ทั้งสองเป็นของปี 2567 และ 2568 ไม่ใช่ช่องโหว่ที่เพิ่งเปิดเผย นั่นหมายความว่าองค์กรที่ยังถูกเจาะด้วยเส้นทางนี้คือองค์กรที่ค้างแพตช์มานาน ไม่ใช่เหยื่อของช่องโหว่ที่ไม่มีทางป้องกัน อนึ่ง CVE-2024-55591 เคยถูกกลุ่มแรนซัมแวร์รายอื่นใช้เป็นทางเข้ามาก่อน ตามที่เคยรายงานไว้ในโพสต์ The Gentlemen ใช้ช่องโหว่ Fortinet ซึ่งเป็นคนละกลุ่มกับ Gunra แต่ใช้ประตูบานเดียวกัน

สำหรับผู้อ่านที่ติดตามข่าวเกาหลีใต้ ชื่อ Gunra เคยปรากฏมาแล้วในรายงานของบริษัท AhnLab ที่พบร่องรอยทับซ้อนระหว่างปฏิบัติการจารกรรมของกลุ่มรัฐหนุนหลังกับการบุกรุกที่จบด้วยแรนซัมแวร์ Gunra ตามที่รายงานไว้ในโพสต์ เกาหลีใต้เตือนกลุ่มรัฐหนุนหลังฉวยช่องโหว่ AnySign4PC โดยครั้งนั้น AhnLab ย้ำว่าหลักฐานยังไม่พอสรุปว่าเป็นผู้ลงมือรายเดียวกัน คำเตือนร่วมฉบับล่าสุดนี้จึงเป็นการเติมภาพฝั่งตัวกลุ่ม Gunra เองในฐานะปฏิบัติการอาชญากรรมเชิงพาณิชย์ ไม่ใช่การยืนยันความเชื่อมโยงกับกลุ่มรัฐหนุนหลังแต่อย่างใด

ข้อจำกัดของข้อมูลที่ควรระบุไว้คือ รายงานไม่ได้ระบุจำนวนเหยื่อทั้งหมด ไม่ได้ระบุประเทศหรือองค์กรที่ถูกโจมตีเป็นรายชื่อ ไม่ได้ระบุเวอร์ชันของ FortiOS และ FortiProxy ที่ได้รับผลกระทบอย่างเจาะจง และไม่ได้ให้กรอบเวลาของเคสที่ยกมาเป็นตัวอย่าง นอกจากนี้ตัวบ่งชี้การถูกบุกรุกทั้งหมด ทั้งหมายเลขไอพี โดเมน และค่าแฮชของไฟล์ อยู่ในภาคผนวกของคำเตือนต้นฉบับบนเว็บไซต์ CISA ซึ่งผู้ดูแลระบบควรไปดึงมาใช้โดยตรง

วิธีการโจมตี

เมื่อเข้าถึงระบบได้แล้ว ผู้ปฏิบัติการของ Gunra พึ่งพาชุดเครื่องมือ Impacket อย่างหนัก โดยเฉพาะ psexec.py, smbclient.py และ secretsdump.py เพื่อเคลื่อนที่ข้ามเครือข่ายผ่านโปรโตคอล SMB และดึงข้อมูลรับรองออกจากโดเมนคอนโทรลเลอร์ ข้อมูลรับรองที่ได้ถูกนำไปใช้ในการโจมตีแบบ pass-the-hash และ pass-the-ticket ซึ่งเป็นเทคนิคที่ใช้ค่าแฮชของรหัสผ่านหรือตั๋วรับรองแทนการรู้รหัสผ่านจริง

นอกจากนี้กลุ่มยังดักจับทราฟฟิก VPN เพื่อขโมยคุกกี้เซสชันไปสวมรอยเซสชันของผู้ใช้ที่ถูกต้อง และในกรณีหนึ่ง ผู้โจมตีขโมยกุญแจเข้ารหัสแบบสมมาตรจากเซิร์ฟเวอร์ควบคุมการเข้าถึงระบบ แล้วนำไปถอดรหัสรหัสผ่านขององค์กรที่จัดเก็บไว้ออกมาทั้งชุดในคราวเดียว ซึ่งเป็นการยกระดับจากการขโมยรหัสผ่านทีละบัญชีไปสู่การได้คลังรหัสผ่านทั้งองค์กร

ตามรูปแบบกรรโชกสองชั้น Gunra จะขโมยข้อมูลออกไปก่อนปล่อยตัวเข้ารหัสเสมอ ผู้โจมตีใช้เครื่องมือที่พัฒนาขึ้นเองชื่อ main.exe เพื่อดูดไฟล์จาก Microsoft OneDrive และ SharePoint และย้ายไฟล์บีบอัดซึ่งบางครั้งมีขนาดรวมหลายสิบเทระไบต์ ขึ้นไปยังแพลตฟอร์มแบ่งปันไฟล์ Mega โดยมีเครื่องมือโอเพนซอร์สอย่าง 7-Zip, RClone และ FileZilla ช่วยสนับสนุนกระบวนการรวบรวมและส่งข้อมูล จุดนี้มีความสำคัญในแง่การตรวจจับ เพราะการที่ข้อมูลถูกดูดจาก OneDrive และ SharePoint หมายความว่าร่องรอยส่วนหนึ่งอยู่ในล็อกของบริการคลาวด์ ไม่ใช่เฉพาะบนเครื่องปลายทาง

เพย์โหลดสุดท้ายใช้การเข้ารหัส ChaCha20 ร่วมกับ RSA-4096 บนสถาปัตยกรรมหลายเธรดเพื่อเร่งความเร็วในการล็อกไฟล์ เติมนามสกุล .ENCRT และวางโน้ตเรียกค่าไถ่ชื่อ R3ADM3.txt ไว้ในทุกไดเรกทอรีที่ถูกกระทบ จากนั้นเหยื่อจะถูกผลักให้ไปเจรจาผ่านพอร์ทัลบนเครือข่าย Tor หรือแอปรับส่งข้อความเข้ารหัส qTox โดยทั่วไปจะได้เวลาราว 5 ถึง 7 วัน ก่อนที่ Gunra จะขู่ปล่อยหรือขายข้อมูลที่ขโมยไปบนเว็บไซต์ปล่อยข้อมูลของกลุ่ม

ผลกระทบ

คำเตือนระบุกลุ่มอุตสาหกรรมที่ควรให้ความสำคัญเป็นพิเศษไว้ ได้แก่ สาธารณสุข บริการทางการเงิน การผลิตที่สำคัญ การขนส่ง และหน่วยงานรัฐ ซึ่งล้วนเป็นภาคที่การหยุดชะงักของระบบสร้างแรงกดดันให้จ่ายค่าไถ่สูง และเป็นภาคที่ข้อมูลที่ถูกขโมยมีมูลค่าในตลาดมืด

ประเด็นที่ควรทำให้ผู้ดูแลระบบกังวลที่สุดไม่ใช่ตัวแรนซัมแวร์ แต่คือวิธีที่กลุ่มปิดการป้องกัน MFA การแก้ไฟล์ตรรกะการตรวจสอบตัวตนบนพอร์ทัล VDI หมายความว่าองค์กรอาจเห็นหน้าจอขอรหัส OTP ทำงานเป็นปกติทุกวัน ในขณะที่ค่าที่ผู้โจมตีกำหนดไว้ผ่านได้ตลอดโดยไม่มีอะไรผิดสังเกต การตรวจสอบว่า MFA “เปิดใช้งานอยู่” จึงไม่เพียงพอ ต้องตรวจด้วยว่าโค้ดหรือไฟล์ตั้งค่าที่ทำหน้าที่ตรวจสอบนั้นยังไม่ถูกแก้ไข

อีกจุดที่เป็นบทเรียนตรงไปตรงมาคือเส้นทางเข้าเริ่มจากบัญชีผู้ดูแล SSL-VPN ที่ใช้ข้อมูลรับรองค่าเริ่มต้นและไม่มีการล็อกบัญชี ซึ่งเป็นปัญหาพื้นฐานที่แก้ได้โดยไม่ต้องซื้อเทคโนโลยีใหม่ เมื่อรวมกับการที่ช่องโหว่ Fortinet ทั้งสองรายการมีแพตช์ออกมานานแล้ว ภาพรวมของเหตุการณ์นี้จึงชี้ว่าความเสียหายส่วนใหญ่เกิดจากงานพื้นฐานที่ยังทำไม่ครบ มากกว่าความสามารถพิเศษของผู้โจมตี

คำแนะนำ

  • ตรวจสอบและติดตั้งแพตช์อุปกรณ์ Fortinet ที่เปิดสู่อินเทอร์เน็ตให้ครอบคลุม CVE-2024-55591 และ CVE-2025-24472 เป็นลำดับแรก พร้อมทบทวนอุปกรณ์ VPN และ RDP ตัวอื่นที่ค้างแพตช์ในลักษณะเดียวกัน
  • ตรวจสอบตรรกะการยืนยันตัวตนบนพอร์ทัล VPN และ VDI ว่าไฟล์ที่เกี่ยวข้องถูกแก้ไขโดยไม่ได้รับอนุญาตหรือไม่ โดยเทียบกับค่าอ้างอิงที่รู้ว่าถูกต้อง เพราะการเปิดใช้ MFA อย่างเดียวไม่ได้แปลว่า MFA ยังทำงานจริง
  • เปลี่ยนข้อมูลรับรองค่าเริ่มต้นของบัญชีผู้ดูแลระบบทั้งหมด และเปิดการล็อกบัญชีเมื่อกรอกรหัสผิดซ้ำบนพอร์ทัลที่เข้าถึงได้จากอินเทอร์เน็ต
  • เฝ้าระวังการใช้เครื่องมือ Impacket โดยเฉพาะรูปแบบการเรียกใช้ psexec.py, smbclient.py และ secretsdump.py รวมถึงการเข้าถึงโดเมนคอนโทรลเลอร์ที่ผิดปกติ เพื่อจับขั้นเคลื่อนที่ในแนวราบและการดึงข้อมูลรับรอง
  • ตรวจล็อกฝั่งคลาวด์ของ Microsoft OneDrive และ SharePoint หาการดาวน์โหลดปริมาณมากผิดปกติ และเฝ้าดูการรับส่งข้อมูลไปยังบริการแบ่งปันไฟล์อย่าง Mega รวมถึงการปรากฏของเครื่องมืออย่าง RClone และ FileZilla บนเซิร์ฟเวอร์ที่ไม่ควรมี
  • จัดทำสำเนาสำรองแบบออฟไลน์และแบบแก้ไขไม่ได้ (immutable) เก็บไว้ในตำแหน่งที่แยกส่วนจากเครือข่ายหลัก และบังคับการแบ่งส่วนเครือข่ายเพื่อจำกัดการเคลื่อนที่ของผู้โจมตี
  • ดึงตัวบ่งชี้การถูกบุกรุกจากภาคผนวกของคำเตือน AA26-222A บนเว็บไซต์ CISA มาใส่ระบบเฝ้าระวัง ทั้งหมายเลขไอพี โดเมน และค่าแฮชของไฟล์ พร้อมตั้งกฎตรวจจับไฟล์นามสกุล .ENCRT และโน้ต R3ADM3.txt

แหล่งอ้างอิง