ผู้โจมตีใช้ช่องโหว่ PaperCut ขโมยข้อมูลรับรองจากโรงเรียนและมหาวิทยาลัย — Arctic Wolf พบสร้างบัญชี Administrator17 แล้วดึง registry hive ไปถอด SAM

สรุปสั้น

ผู้ก่อภัยคุกคามกำลังใช้ช่องโหว่ PaperCut ที่เพิ่งถูกเปิดเผยเพื่อขโมยข้อมูลรับรอง ในการโจมตีที่พุ่งเป้าไปยังภาคการศึกษาทั้งในสหรัฐอเมริกาและยุโรป โดยทีม Arctic Wolf Adversary Research ระบุว่าพบผู้โจมตีใช้ CVE-2026-81578 และ CVE-2026-82078 ซึ่งเป็นการข้ามการยืนยันตัวตนต่อด้วยการรันโค้ดจากระยะไกล ต่อกันเป็นห่วงโซ่เพื่อรันคำสั่งและสำรวจระบบ รวมถึงสร้างบัญชีที่มีสิทธิ์สูงขึ้นมาใหม่

“กิจกรรมหลังการเจาะระบบที่พบเห็นประกอบด้วยการส่งเครื่องมือเก็บรวบรวม registry hive ของวินโดวส์ เพย์โหลด Java ที่เกี่ยวข้องกับ Metasploit และ Meterpreter รวมถึงคำสั่งที่ใช้ระบุตัวโฮสต์ ผู้ใช้ กระบวนการ และข้อมูลการตั้งค่าที่อ่อนไหว” Arctic Wolf ระบุ

บริษัทด้านความปลอดภัยไซเบอร์รายนี้แจ้งกับ The Hacker News ว่ากิจกรรมดังกล่าวมุ่งเป้าไปที่เซิร์ฟเวอร์ PaperCut ที่มีช่องโหว่ทั่วภาคการศึกษา กระทบองค์กรตั้งแต่โรงเรียนระดับ K-12 ไปจนถึงมหาวิทยาลัยขนาดใหญ่ในสหรัฐฯ และยุโรป สิ่งที่ทำให้เคสนี้ต่างจากรายงานช่องโหว่ทั่วไปคือมันได้เลื่อนสถานะจาก “มีคนสแกนหา” ไปเป็น “มีคนเข้ามาแล้วและกำลังเก็บของ” ซึ่งหมายความว่าองค์กรที่ยังไม่แพตช์ต้องเปลี่ยนจากงานติดตั้งอัปเดตไปเป็นงานล่าภัยคุกคามภายในระบบตัวเอง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 5 กันยายน 2569 ว่าผู้ก่อภัยคุกคามกำลังใช้ประโยชน์จากช่องโหว่ PaperCut ที่เพิ่งถูกเปิดเผย เพื่ออำนวยความสะดวกในการขโมยข้อมูลรับรองในการโจมตีที่เล็งภาคการศึกษาในสหรัฐฯ และยุโรป โดยอ้างอิงการตรวจพบของทีม Arctic Wolf Adversary Research

ช่องโหว่ทั้งสองรายการที่ถูกใช้คือ CVE-2026-81578 และ CVE-2026-82078 ซึ่งเป็นการข้ามการยืนยันตัวตนต่อด้วยการรันโค้ดจากระยะไกล เมื่อนำมาต่อกันจึงทำให้ผู้โจมตีที่ไม่มีบัญชีใดในระบบสามารถรันคำสั่งบนเซิร์ฟเวอร์ได้ทันที นี่คือรายละเอียดที่ยังไม่มีในตอนที่ PaperCut ออกประกาศเตือนช่องโหว่ zero-day ครั้งแรกเมื่อปลายเดือนสิงหาคม ซึ่งเราเคยรายงานไว้ในโพสต์ 2026/08/170 โดยตอนนั้นบริษัทยืนยันเพียงว่ามีการโจมตีจริงแต่ยังไม่เปิดเผยกลไกของช่องโหว่

กิจกรรมที่มุ่งร้ายบางส่วนที่ถูกระบุตัวได้ประกอบด้วยการรันคำสั่งสำรวจระบบอย่าง uname, whoami, ver และ tasklist พร้อมกับการสร้างบัญชีสิทธิ์สูงในชื่อ “Administrator17” ซึ่งเป็นชื่อที่ตั้งใจให้กลืนไปกับรายชื่อบัญชีผู้ดูแลระบบตามปกติ

นอกจากนี้ยังพบคำร้อง GET ขาเข้าจากที่อยู่ 45.142.193[.]132 ที่ร้องขอไฟล์ “/custom/pcp_.txt” และ “/custom/web/pcp_.txt” บนโฮสต์ที่ถูกเจาะ ซึ่งเป็นไฟล์ที่บรรจุข้อมูลระบบและข้อมูลผู้ใช้ที่ถูกเก็บเกี่ยวไว้แล้ว กล่าวคือผู้โจมตีเขียนผลการสำรวจลงเป็นไฟล์ข้อความในไดเรกทอรีที่เซิร์ฟเวอร์เปิดให้เข้าถึงผ่านเว็บอยู่แล้ว จากนั้นค่อยเดินมาดาวน์โหลดผ่านคำร้องเว็บธรรมดา เทคนิคนี้ทำให้การขนข้อมูลออกดูเหมือนการเข้าเว็บทั่วไปและไม่ต้องเปิดช่องทางสื่อสารใหม่ที่อาจถูกตรวจจับ

ที่อยู่เดียวกันนี้ยังถูกใช้ส่งเครื่องมือเก็บเกี่ยวข้อมูลรับรองอย่าง lsa_collect.exe, lsa_collect_small.exe และ save_hives.exe โดยอาศัย “certutil.exe” ซึ่งเป็นเครื่องมือที่ติดมากับวินโดวส์อยู่แล้วเป็นตัวดาวน์โหลด ส่วนเพย์โหลด Meterpreter ในรูปแบบ Java ถูกดึงมาจากและเชื่อมต่อกลับไปยังที่อยู่ 194.180.48[.]134

อีกพฤติกรรมที่ควรใช้ตั้งกฎตรวจจับคือการใช้คำสั่ง “findstr” ค้นไฟล์ตั้งค่า .config ของ PaperCut ด้วยคำว่า password, secret, ldap, bind และ token ซึ่งเป็นการไล่หาข้อมูลรับรองที่ถูกเขียนทิ้งไว้ในไฟล์ตั้งค่า โดยเฉพาะบัญชีที่ใช้เชื่อมกับ LDAP หรือ Active Directory ขององค์กร

รายละเอียดช่องโหว่

Arctic Wolf ระบุว่าตรวจพบไฟล์ “lsa_collect.exe” ในแซนด์บ็อกซ์ ซึ่งดึงคีย์รีจิสทรีบางรายการออกมาเพื่อประกอบค่า BootKey ของระบบขึ้นใหม่ ค่าดังกล่าวเป็นกุญแจที่ใช้ถอดฐานข้อมูล SAM ซึ่งเก็บแฮชรหัสผ่านของบัญชีในเครื่องเอาไว้

กระบวนการนี้อธิบายได้ตรงไปตรงมาคือ วินโดวส์เก็บแฮชรหัสผ่านของบัญชีในเครื่องไว้ในฐานข้อมูล SAM โดยเข้ารหัสด้วยกุญแจที่กระจายอยู่ในคีย์รีจิสทรีหลายจุด เมื่อผู้โจมตีคัดลอก registry hive ออกไปได้ทั้งชุด ก็สามารถประกอบกุญแจขึ้นใหม่นอกเครื่องแล้วถอดแฮชออกมาถอดรหัสหรือใช้ต่อแบบ pass-the-hash ได้โดยไม่ต้องรันเครื่องมือขโมยรหัสผ่านบนเครื่องเป้าหมายให้เสี่ยงถูกตรวจจับ

“สิ่งที่น่ากังวลคือข้อมูลล็อกอินที่ถูกขโมยไปเหล่านั้นอาจเปิดเส้นทางให้ผู้โจมตีเข้าสู่ระบบสำคัญอื่น ๆ ทั่วทั้งสภาพแวดล้อม กิจกรรมหลังการเจาะระบบรวมถึงการติดตั้งรีจิสทรีของวินโดวส์” Arctic Wolf ระบุในแถลงการณ์

ข้อจำกัดของหลักฐานที่ควรระบุไว้คือรายงานฉบับนี้ไม่ได้เปิดเผยกลไกทางเทคนิคของช่องโหว่ทั้งสองรายการเอง ไม่ได้ระบุจำนวนองค์กรที่ถูกเจาะสำเร็จ ไม่ได้ระบุตัวผู้ก่อภัยคุกคามหรือความเชื่อมโยงกับกลุ่มใด และไม่ได้ให้คะแนน CVSS ของช่องโหว่ทั้งสอง สิ่งที่ได้จากรายงานนี้คือภาพของสิ่งที่เกิดขึ้นหลังผู้โจมตีเข้ามาได้แล้ว ไม่ใช่ภาพว่าเข้ามาได้อย่างไรในเชิงลึก

ผลกระทบ

ภาคการศึกษาถูกเลือกเป็นเป้าหมายไม่ใช่เรื่องบังเอิญ เพราะ PaperCut เป็นระบบจัดการงานพิมพ์ที่โรงเรียนและมหาวิทยาลัยใช้กันแพร่หลาย และตามลักษณะการใช้งานเซิร์ฟเวอร์เหล่านี้มักต้องเปิดให้เข้าถึงจากภายนอกเพื่อรองรับการสั่งพิมพ์จากนักเรียนและบุคลากรที่อยู่นอกสถานที่ ผลคือระบบที่ถูกจัดว่าเป็นงานสนับสนุนกลับกลายเป็นเครื่องที่เปิดสู่อินเทอร์เน็ตและมีสิทธิ์เชื่อมต่อกับไดเรกทอรีผู้ใช้ขององค์กร

ความเสียหายที่แท้จริงจึงไม่ได้อยู่ที่งานพิมพ์ แต่อยู่ที่บัญชีที่เซิร์ฟเวอร์นั้นถืออยู่ เซิร์ฟเวอร์ PaperCut มักถูกตั้งค่าให้เชื่อมกับ LDAP หรือ Active Directory เพื่อดึงรายชื่อผู้ใช้และโควตาการพิมพ์ ซึ่งหมายความว่าไฟล์ตั้งค่าของมันมีข้อมูลรับรองของบัญชีที่ใช้ผูกกับไดเรกทอรีอยู่ด้วย และนี่คือเหตุผลที่ผู้โจมตีใช้ findstr ไล่หาคำว่า ldap และ bind โดยเฉพาะ การยึดเครื่องพิมพ์หนึ่งเครื่องจึงกลายเป็นการยึดกุญแจเข้าสู่ระบบยืนยันตัวตนกลางขององค์กร

สถานการณ์นี้หนักขึ้นเมื่อพิจารณาว่าองค์กรกลุ่มเป้าหมายส่วนใหญ่มีทรัพยากรด้านความปลอดภัยจำกัด โรงเรียนระดับ K-12 มักไม่มีทีมเฝ้าระวังตลอด 24 ชั่วโมง และมหาวิทยาลัยมักมีระบบกระจายอยู่ตามคณะโดยไม่มีการรวมศูนย์ที่แท้จริง ทำให้ช่วงเวลาระหว่างการถูกเจาะกับการตรวจพบยาวกว่าองค์กรประเภทอื่น

ที่สำคัญคือการติดตั้งแพตช์เพียงอย่างเดียวไม่ตอบโจทย์อีกต่อไปสำหรับองค์กรที่เปิดเซิร์ฟเวอร์ไว้ในช่วงที่ผ่านมา เพราะหากข้อมูลรับรองถูกขโมยออกไปแล้ว ผู้โจมตีสามารถกลับเข้ามาผ่านช่องทางที่ถูกต้องตามกฎหมายของระบบเองได้ต่อไป โดยไม่ต้องใช้ช่องโหว่เดิมอีกเลย

คำแนะนำ

ถอดเซิร์ฟเวอร์ PaperCut ออกจากการเข้าถึงโดยตรงจากอินเทอร์เน็ตทันที และหากจำเป็นต้องให้ผู้ใช้สั่งพิมพ์จากภายนอก ให้เข้าผ่าน VPN หรือเกตเวย์ที่มีการยืนยันตัวตนแทนการเปิดพอร์ตออกสู่สาธารณะ

ติดตั้งแพตช์ที่ปิด CVE-2026-81578 และ CVE-2026-82078 และหากเซิร์ฟเวอร์เคยเปิดสู่อินเทอร์เน็ตในช่วงที่ผ่านมา ให้ถือว่าอาจถูกเจาะแล้วจนกว่าจะพิสูจน์ได้เป็นอย่างอื่น

เฝ้าระวังการรัน cmd.exe, powershell.exe หรือตัวแปลคำสั่งและสคริปต์อื่น ๆ ที่มี pc-app.exe เป็นกระบวนการแม่ ซึ่งเป็นสัญญาณที่ตรงที่สุดของการรันคำสั่งผ่านช่องโหว่นี้ รวมถึงคำสั่งที่มีคำว่า whoami, tasklist, ver หรือ uname -a ที่มาจากกระบวนการแม่เดียวกัน

ตรวจสอบไดเรกทอรีที่เปิดผ่านเว็บของ PaperCut ว่ามีไฟล์ที่ตรงรูปแบบ “pcp_*.txt” หรือไม่ และตรวจบันทึกการเข้าถึงเว็บว่ามีคำร้องขอไฟล์ในรูปแบบดังกล่าวจากภายนอกหรือไม่

ไล่หาบัญชีผู้ใช้ที่ถูกสร้างขึ้นใหม่บนเซิร์ฟเวอร์และในไดเรกทอรีขององค์กร โดยเฉพาะชื่อที่ดูกลืนกับบัญชีผู้ดูแลระบบตามปกติอย่าง “Administrator17” และตรวจสอบการใช้ certutil.exe ในการดาวน์โหลดไฟล์จากภายนอกซึ่งไม่ใช่พฤติกรรมปกติของงานพิมพ์

องค์กรที่พบร่องรอยการเจาะต้องถือว่าข้อมูลรับรองทั้งหมดบนเครื่องนั้นหลุดแล้ว ให้เปลี่ยนรหัสผ่านบัญชีที่ใช้ผูกกับ LDAP หรือ Active Directory ในไฟล์ตั้งค่าของ PaperCut รวมถึงรีเซ็ตรหัสผ่านบัญชีในเครื่องทั้งหมด และตรวจสอบว่าบัญชีเหล่านั้นถูกนำไปใช้เข้าระบบอื่นแล้วหรือยัง

Indicators of Compromise (IoCs)

หมายเหตุ: ที่อยู่ไอพีถูกทำ defang แล้ว นำไปใช้ต้องเปลี่ยน [.] กลับเป็น . ก่อน

แหล่งอ้างอิง

• Attackers Exploit PaperCut Flaws to Steal Credentials From Schools and Universities — The Hacker News
• PaperCut CVE Exploitation — Arctic Wolf (rtkwlf/wolf-tools)