สรุปสั้น
นักวิจัยด้านความปลอดภัยไซเบอร์เปิดโปงบ็อตเน็ตตระกูลใหม่บนลินุกซ์ที่ยังไม่เคยมีการบันทึกไว้มาก่อน ใช้ชื่อว่า Evooo1Bot ซึ่งดึงความสามารถหลักมาจากซอร์สโค้ดของบ็อตเน็ต Mirai ที่หลุดสู่สาธารณะ แต่ต่อยอดเพิ่มไปไกลกว่ากรอบเดิมมาก จุดขายที่แท้จริงของมันไม่ใช่การโจมตีแบบ DDoS แต่คือความสามารถเปลี่ยนอุปกรณ์ที่เปิดสู่อินเทอร์เน็ตให้กลายเป็นพร็อกซี SOCKS5 ซึ่งผู้โจมตีเอาไปใช้เป็นจุดรีเลย์ทราฟฟิกได้ ทีมวิจัยจาก FortiGuard Labs ของบริษัท Fortinet ระบุว่ามัลแวร์ตัวนี้เพิ่มทั้งการสื่อสารกับเซิร์ฟเวอร์สั่งการแบบเข้ารหัส ตัวสแกนเดารหัสผ่าน SSH โมดูลรีเลย์ SOCKS ตัวดักข้อมูลยืนยันตัวตน และคลังโค้ดโจมตีช่องโหว่ที่รู้จักแล้วเข้าไว้ในตัวเดียว
หลักฐานบ่งชี้ว่าบ็อตเน็ตนี้เคลื่อนไหวอยู่จริงมาตั้งแต่เดือนกรกฎาคม 2569 โดยอาศัยช่องโหว่ที่ถูกเปิดเผยและมีแพตช์แล้วในอุปกรณ์ที่เข้าถึงได้จากสาธารณะเป็นทางเข้า ช่องโหว่ที่ถูกใช้มีตั้งแต่ CVE-2007-3010 ซึ่งเป็นช่องโหว่อายุ 19 ปีในระบบ Alcatel OmniPCX Enterprise ไปจนถึงช่องโหว่ในเราเตอร์ยี่ห้อ Tenda, NETGEAR, D-Link และ Telesquare ที่ทยอยถูกเปิดเผยมาตลอดเกือบสองทศวรรษ ซึ่งสะท้อนภาพเดิมที่ไม่เคยเปลี่ยนว่าอุปกรณ์ขอบเครือข่ายที่ไม่มีใครแพตช์คือแหล่งวัตถุดิบชั้นดีของบ็อตเน็ต
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 17 สิงหาคม 2569 ว่านักวิจัยได้ตั้งข้อสังเกตถึงบ็อตเน็ตลินุกซ์ตระกูลใหม่ชื่อ Evooo1Bot ที่ยังไม่เคยถูกบันทึกไว้ก่อนหน้านี้ โดยอ้างรายงานของ FortiGuard Labs ซึ่งระบุว่า “แม้มัลแวร์จะนำเครื่องยนต์ DDoS จากซอร์สโค้ด Mirai ที่รั่วสู่สาธารณะมาใช้ซ้ำ แต่มันขยายกรอบเดิมด้วยความสามารถจำนวนมาก ทั้งการสื่อสาร C2 แบบเข้ารหัส ตัวสแกนเดารหัสผ่าน SSH โมดูลรีเลย์ SOCKS ตัวดักข้อมูลยืนยันตัวตน และคลังโค้ดโจมตีในตัวที่พุ่งเป้าไปยังช่องโหว่ที่รู้จักแล้วหลายรายการ”
สิ่งที่ทำให้ Evooo1Bot ต่างจากบ็อตเน็ตสาย Mirai ทั่วไปคือทิศทางของการหารายได้ ในขณะที่ Mirai ดั้งเดิมถูกใช้เป็นเครื่องมือยิง DDoS เป็นหลัก Evooo1Bot กลับให้น้ำหนักกับการเปลี่ยนเครื่องเหยื่อเป็นทรัพยากรเครือข่าย ทีมวิจัยระบุว่า “ความสามารถนี้เพิ่มมูลค่าของเครื่องที่ติดเชื้อในสายตาผู้โจมตีอย่างมีนัยสำคัญ ที่อยู่ไอพีของเหยื่อสามารถถูกใช้พรางทราฟฟิกที่เป็นอันตราย หลบข้อจำกัดเชิงภูมิศาสตร์ หรือเปิดทางเข้าถึงเครือข่ายภายในผ่านเครื่องที่ถูกยึดไปแล้ว” และเสริมว่า “ในบ็อตเน็ตขนาดใหญ่ ความสามารถเดียวกันนี้ยังใช้สร้างโครงสร้างพื้นฐานพร็อกซีแบบกระจาย เพื่อส่งต่อทราฟฟิกโดยไม่ระบุตัวตน หรือทำเงินผ่านบริการพร็อกซีระดับที่พักอาศัยและระดับองค์กรได้ด้วย”
รายชื่อช่องโหว่ที่ถูกใช้เป็นทางเข้าครอบคลุมอุปกรณ์หลายประเภทและหลายยุค ได้แก่ CVE-2007-3010 ในระบบ Alcatel OmniPCX Enterprise, CVE-2016-6277 ในเราเตอร์หลายรุ่นของ NETGEAR, CVE-2018-14558 ในเราเตอร์ Tenda รุ่น AC7, AC9 และ AC10, CVE-2019-14931 ในอุปกรณ์ ME-RTU ของ Mitsubishi Electric Europe และ INEA, CVE-2020-10987 ในเราเตอร์ Tenda AC1900 รุ่น AC15, CVE-2021-46422 ในอุปกรณ์ Telesquare SDT-CW3B1, CVE-2022-37055 ในเราเตอร์ D-Link, CVE-2024-29269 ในอุปกรณ์ Telesquare TLR-2005KSH, CVE-2025-10123 ในเราเตอร์ D-Link DIR-823X และ CVE-2025-55583 ในเราเตอร์ D-Link DIR-868L B1
วิธีการโจมตี
เมื่อโจมตีช่องโหว่สำเร็จ ผลลัพธ์คือการรันสคริปต์เชลล์ตัวโหลดชื่อ “wget.sh” ที่โฮสต์อยู่บนเซิร์ฟเวอร์ภายนอกที่ 91.92.40[.]118 จากนั้นสคริปต์จะดึงไฟล์ไบนารีของบ็อตเน็ตที่ตรงกับสถาปัตยกรรมซีพียูของอุปกรณ์นั้นมาติดตั้ง แล้วล้างประวัติคำสั่งของ Bash เพื่อลบร่องรอยการโจมตี ซึ่งเป็นขั้นตอนเล็ก ๆ แต่ทำให้การสอบสวนย้อนหลังบนอุปกรณ์ขอบเครือข่ายที่แทบไม่มีการเก็บล็อกอยู่แล้วยากขึ้นไปอีก
เมื่อเริ่มทำงาน ไฟล์ไบนารีจะตรวจหาเครื่องมือวิเคราะห์ แซนด์บ็อกซ์ และสภาพแวดล้อมเสมือนก่อน แล้วจึงเปิดการสื่อสารแบบเข้ารหัสกับเซิร์ฟเวอร์สั่งการควบคุมบนพอร์ต 443 การเลือกพอร์ตนี้เป็นความตั้งใจ เพราะทำให้ทราฟฟิกของมัลแวร์กลมกลืนไปกับทราฟฟิก HTTPS ที่อุปกรณ์ป้องกันบริเวณขอบเครือข่ายคาดหวังว่าจะเห็นอยู่แล้ว หลังลงทะเบียนเครื่องกับเซิร์ฟเวอร์สั่งการเสร็จ มันจะรอรับคำสั่งต่อไป
ชุดคำสั่งที่รองรับครอบคลุมงานหลากหลาย ตั้งแต่การติดตั้งกลไกคงอยู่ การอัปเดตไฟล์ไบนารี การสั่งหยุดการทำงานของบอต การอัปโหลดและดาวน์โหลดไฟล์ การเปิดเชลล์แบบโต้ตอบ การดักส่วนหัว HTTP Basic Authorization และ Cookie การเปลี่ยนเครื่องเหยื่อให้เป็นโหนดพร็อกซี การสั่งสแกนเดารหัสผ่าน SSH การยิง DDoS ผ่าน DNS, TCP และ UDP ไปจนถึงการสั่งตัวกระจายโค้ดโจมตีผ่าน HTTP เพื่อไล่เจาะช่องโหว่ที่รู้จักแล้ว
โมดูลโจมตีช่องโหว่ในตัวสามารถยิงโค้ดโจมตีสำหรับช่องโหว่อีกแปดรายการที่กระทบผลิตภัณฑ์ยอดนิยม ได้แก่ Hikvision (CVE-2021-36260), Atlassian Confluence (CVE-2022-26134), WSO2 (CVE-2022-29464), Zyxel (CVE-2022-30525), TP-Link (CVE-2023-1389), PHP (CVE-2024-4577), D-Link (CVE-2024-10914) และ Kubernetes (CVE-2025-1974) ซึ่งหมายความว่าเครื่องที่ติดเชื้อแล้วจะกลายเป็นหัวหอกไล่เจาะเป้าหมายอื่นต่อไปเองโดยอัตโนมัติ
ส่วนโมดูลพร็อกซีคือหัวใจของปฏิบัติการนี้ มันเปลี่ยนเราเตอร์ ไฟร์วอลล์ กล้องไอพี หรืออุปกรณ์ขอบเครือข่ายอื่นที่ติดเชื้อให้กลายเป็นพร็อกซี SOCKS5 ที่ผู้โจมตีใช้เป็นจุดรีเลย์สำหรับปฏิบัติการขั้นถัดไปและใช้หลบการตรวจจับ ผลคือทราฟฟิกที่ออกไปโจมตีเป้าหมายอื่นจะปรากฏต้นทางเป็นที่อยู่ไอพีขององค์กรที่ตกเป็นเหยื่อ ไม่ใช่ของผู้โจมตี
ผลกระทบ
ผู้ที่รับความเสี่ยงตรงที่สุดคือองค์กรและผู้ใช้ตามบ้านที่มีอุปกรณ์ขอบเครือข่ายเปิดสู่อินเทอร์เน็ตและไม่ได้รับการอัปเดตมานาน โดยเฉพาะเราเตอร์รุ่นเก่าของ Tenda, D-Link, NETGEAR และ Telesquare รวมถึงอุปกรณ์ควบคุมทางอุตสาหกรรมอย่าง ME-RTU และระบบโทรศัพท์องค์กรอย่าง OmniPCX Enterprise ซึ่งหลายรายการไม่มีการอัปเดตเฟิร์มแวร์ให้แล้ว การที่ช่องโหว่อายุ 19 ปีอย่าง CVE-2007-3010 ยังอยู่ในคลังโค้ดโจมตีของบ็อตเน็ตปี 2569 คือหลักฐานตรง ๆ ว่ามีอุปกรณ์ที่ยังโจมตีได้เหลืออยู่มากพอที่จะคุ้มค่าเก็บโค้ดนั้นไว้
ความเสียหายรูปแบบใหม่ที่ต้องให้น้ำหนักมากกว่าเดิมคือการที่ที่อยู่ไอพีขององค์กรถูกยืมไปใช้ฟอกทราฟฟิก เมื่ออุปกรณ์กลายเป็นพร็อกซี SOCKS5 การโจมตีที่มีต้นทางจากไอพีขององค์กรจะทำให้องค์กรนั้นถูกขึ้นบัญชีดำ ถูกบล็อกจากบริการภายนอก และอาจถูกตั้งคำถามทางกฎหมายในฐานะต้นทางของการโจมตี ทั้งที่ตัวเองก็เป็นเหยื่อเช่นกัน นี่คือความเสียหายที่ไม่ปรากฏบนหน้าจอมอนิเตอร์ของทีมไอทีจนกว่าจะสายเกินไป
อีกประเด็นคือความสามารถดักส่วนหัว HTTP Basic Authorization และ Cookie บนอุปกรณ์ที่ทราฟฟิกทั้งเครือข่ายวิ่งผ่าน ซึ่งเปลี่ยนเหตุการณ์จาก “เราเตอร์ติดมัลแวร์” เป็น “ข้อมูลยืนยันตัวตนของผู้ใช้ในเครือข่ายทั้งหมดอาจรั่ว” และการเปิดเชลล์โต้ตอบพร้อมโมดูลสแกน SSH ก็ทำให้เครื่องที่ติดเชื้อกลายเป็นหัวสะพานเข้าสู่เครือข่ายภายในได้ ไม่ใช่แค่ตัวยิง DDoS ที่อยู่วงนอก
ข้อจำกัดของรายงานที่ต้องระบุคือ FortiGuard Labs ไม่ได้เปิดเผยขนาดของบ็อตเน็ต จำนวนอุปกรณ์ที่ติดเชื้อ ประเทศที่ได้รับผลกระทบ หรือผู้อยู่เบื้องหลัง และไม่ได้ระบุว่าผู้ปฏิบัติการนำพร็อกซีที่ได้ไปขายต่อในตลาดใดจริงหรือไม่ ส่วนที่ว่าใช้ทำเงินผ่านบริการพร็อกซีนั้นเป็นการอธิบายความเป็นไปได้ของความสามารถ ไม่ใช่การยืนยันว่าเกิดขึ้นแล้ว
คำแนะนำ
- สำรวจว่ามีอุปกรณ์ใดขององค์กรที่เปิดหน้าจัดการหรือบริการสู่อินเทอร์เน็ตบ้าง แล้วปิดการเข้าถึงจากภายนอกทั้งหมดที่ไม่มีเหตุผลทางธุรกิจรองรับ เพราะทางเข้าทุกทางของบ็อตเน็ตนี้คือช่องโหว่บนอุปกรณ์ที่เข้าถึงได้จากสาธารณะ
- ตรวจสอบและอัปเดตเฟิร์มแวร์ของเราเตอร์และอุปกรณ์ขอบเครือข่ายตามรายการ CVE ในข่าวนี้ และหากอุปกรณ์รุ่นใดหมดอายุการสนับสนุนแล้วให้วางแผนเปลี่ยนทดแทน เพราะไม่มีทางแพตช์ได้
- เฝ้าดูทราฟฟิกขาออกที่ผิดปกติจากอุปกรณ์เครือข่าย โดยเฉพาะการเชื่อมต่อขาออกไปยังพอร์ต 443 ปลายทางแปลกหน้าจากอุปกรณ์ที่ไม่ควรริเริ่มการเชื่อมต่อออกอินเทอร์เน็ตเอง
- สังเกตสัญญาณว่าอุปกรณ์ถูกใช้เป็นพร็อกซี เช่น ปริมาณทราฟฟิกขาออกที่พุ่งขึ้นโดยไม่มีเหตุผล การถูกบริการภายนอกบล็อกไอพีขององค์กร หรือได้รับรายงานว่ามีการโจมตีต้นทางจากไอพีของตัวเอง
- ปิดบริการ SSH ที่เปิดสู่อินเทอร์เน็ตบนอุปกรณ์ขอบเครือข่าย หรือถ้าจำเป็นต้องเปิด ให้ใช้การยืนยันตัวตนด้วยกุญแจแทนรหัสผ่านและจำกัดไอพีต้นทาง เพื่อตัดโมดูลสแกนเดารหัสผ่านของบ็อตเน็ตออกไป
- เปลี่ยนรหัสผ่านของบัญชีที่เคยล็อกอินผ่านอุปกรณ์ที่สงสัยว่าติดเชื้อ เนื่องจากมัลแวร์มีความสามารถดักส่วนหัว HTTP Basic Authorization และ Cookie ของทราฟฟิกที่วิ่งผ่าน
- บล็อกและเฝ้าระวังการเชื่อมต่อไปยัง 91.92.40[.]118 ซึ่งเป็นเซิร์ฟเวอร์ที่โฮสต์สคริปต์ตัวโหลด
Indicators of Compromise (IoCs)
ตัวบ่งชี้เท่าที่ปรากฏในรายงานต้นทาง โดยไอพีถูก defang ไว้แล้ว ให้แปลงกลับเฉพาะในระบบข่าวกรองภัยคุกคามที่ควบคุมได้เท่านั้น
| ประเภท | ตัวบ่งชี้ | คำอธิบาย |
|---|---|---|
| IP | 91.92.40[.]118 | เซิร์ฟเวอร์ภายนอกที่โฮสต์สคริปต์ตัวโหลดและไฟล์ไบนารีของบ็อตเน็ต |
| ชื่อไฟล์ | wget.sh | สคริปต์เชลล์ตัวโหลดที่ดึงไบนารีตามสถาปัตยกรรมซีพียูแล้วล้างประวัติ Bash |
| พอร์ต | TCP/443 | พอร์ตที่ใช้สื่อสารกับเซิร์ฟเวอร์สั่งการแบบเข้ารหัสเพื่อพรางเป็นทราฟฟิก HTTPS |