สรุปสั้น
เมื่อวันที่ 17 กรกฎาคม 2569 สภาเทศบาลเมือง King’s Lynn and West Norfolk ในอังกฤษประกาศว่าตรวจพบการโจมตีทางไซเบอร์ที่กระทบบริการของสภา และนับจากนั้นบริษัท Hunt.io ก็เผยแพร่การวิเคราะห์เชิงเทคนิคอย่างละเอียดที่เชื่อมโยงเหตุการณ์ดังกล่าวด้วยความมั่นใจระดับปานกลางเข้ากับแคมเปญกวาดเจาะขนาดใหญ่ที่พุ่งเป้าอุปกรณ์ SonicWall SMA1000 โดยใช้ CVE-2026-15409 ซึ่งเป็นช่องโหว่ SSRF ระดับรุนแรงสูงสุดที่ได้คะแนน CVSS เต็ม 10.0
ช่องโหว่นี้อยู่ในพร็อกซี WebSocket ของพอร์ทัล WorkPlace และผู้โจมตีไม่จำเป็นต้องล็อกอิน เพียงส่งคำร้องขอที่ถูกประดิษฐ์ขึ้นไปยัง /wsproxy ก็ทำให้อุปกรณ์เชื่อมต่อไปยังพอร์ต 1050 บนระบบของตัวเอง ซึ่งมีบริการ Erlang ที่เกี่ยวข้องกับ CouchDB ทำงานอยู่ จากนั้นผู้โจมตีใช้คุกกี้ที่ถูกฝังตายตัวไว้ในเฟิร์มแวร์ของอุปกรณ์เพื่อเชื่อมต่อ Erlang ให้สมบูรณ์และเข้าถึงโหนดของบริการนั้น แล้วส่งคำสั่งที่รันคำสั่งระบบปฏิบัติการด้วยสิทธิ์ของบัญชี couchdb ได้ ซึ่งฟังดูซับซ้อนแต่เมื่อทำเป็นอัตโนมัติแล้วผู้โจมตีจบทุกขั้นตอนได้ในเวลาเพียงไม่กี่วินาที และเว็บไซต์นี้เคยรายงานการใช้ประโยชน์จากช่องโหว่ชุดนี้โดยกลุ่ม INC Ransomware ไว้แล้วในโพสต์ 2026/08/019 รวมถึงรายงานตัวช่องโหว่ครั้งแรกในโพสต์ 2026/07/220
รายละเอียดข่าว
เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 11 กันยายน 2569 ว่า บริษัท Hunt.io เผยแพร่การวิเคราะห์เชิงเทคนิคที่เชื่อมโยงเหตุโจมตีสภาเทศบาลเมือง King’s Lynn and West Norfolk ซึ่งประกาศเมื่อวันที่ 17 กรกฎาคม 2569 เข้ากับแคมเปญกวาดเจาะขนาดใหญ่ที่พุ่งเป้าอุปกรณ์ SonicWall SMA1000 ด้วยช่องโหว่ CVE-2026-15409 โดยระบุระดับความมั่นใจไว้ที่ปานกลาง
ไทม์ไลน์ที่ Hunt.io ประกอบขึ้นแสดงให้เห็นว่าช่องว่างระหว่างการเปิดเผยช่องโหว่กับการถูกทำเป็นอุตสาหกรรมนั้นสั้นมาก นักวิจัยของบริษัท Rapid7 เผยแพร่โค้ดสาธิตเมื่อวันที่ 15 กรกฎาคม และผู้ปฏิบัติการดัดแปลงมันเป็นเครื่องสแกนขนาดใหญ่แบบ 50 เธรดภายในวันที่ 16 กรกฎาคม ขณะที่ทีมตรวจจับและตอบสนองแบบมีผู้จัดการของ Rapid7 เองก็สังเกตเห็นการใช้ประโยชน์จากช่องโหว่นี้จริงก่อนที่ SonicWall จะออกประกาศเมื่อวันที่ 14 กรกฎาคมด้วยซ้ำ ซึ่งหมายความว่าระยะห่างระหว่างการถูกใช้เป็น 0-day กับการกลายเป็นแคมเปญอัตโนมัติขนาดใหญ่นั้นสั้นกว่า 3 วัน
ระบบ AttackCapture ของ Hunt.io เข้าไปเก็บข้อมูลจากไดเรกทอรีเปิดของผู้โจมตีที่ 95.181.173[.]36 เมื่อวันที่ 17 กรกฎาคม ซึ่งเป็นวันเดียวกับที่สภาเทศบาลประกาศเหตุการณ์ของตัวเอง โดยไดเรกทอรีนั้นบรรจุชุดเครื่องมือทั้งหมดของผู้ปฏิบัติการ ทั้งสคริปต์สแกน โค้ดโจมตี ยูทิลิตีแยกวิเคราะห์ข้อมูลยืนยันตัวตน ไฟล์ไบนารีของ Impacket แบบสแตนด์อะโลน และไฟล์ผลลัพธ์จากแคมเปญที่กำลังดำเนินอยู่
ข้อมูลของแคมเปญครอบคลุมอุปกรณ์เป้าหมาย 250 เครื่อง ในจำนวนนี้ 168 เครื่องเปิดเผยไฟล์ตั้งค่า LDAP ที่มีข้อมูลยืนยันตัวตนของบัญชี Active Directory รวม 534 บัญชี ครอบคลุม 160 ชื่อโดเมนและที่อยู่เซิร์ฟเวอร์ LDAP ภายใน 255 รายการ โดยมี 9 สภาพแวดล้อมที่สูญเสียความลับ SAM และ LSA ให้ผู้ปฏิบัติการ และ 5 แห่งสูญเสียฐานข้อมูล Active Directory ทั้งชุดผ่านการทำ DCSync แบบเต็มรูปแบบ ซึ่งพุ่งเป้าไปยังโดเมนคอนโทรลเลอร์รวม 7 เครื่อง
วิธีการโจมตี
หลังเข้าถึงอุปกรณ์ได้แล้ว ผู้โจมตีทำตามกระบวนการที่ชัดเจน เริ่มจากสคริปต์ชื่อ ldap_extract.py ที่อ่านไฟล์ /usr/local/extranet/etc/policy_file.xml จากอุปกรณ์ที่ถูกเจาะแต่ละเครื่อง แล้วถอดรหัสรหัสผ่าน LDAP ที่เก็บอยู่ในไฟล์นั้น จุดที่ทำให้เรื่องนี้ขยายขนาดได้คือการถอดรหัสใช้กุญแจ AES ขนาด 32 ไบต์ที่ถูกกำหนดตายตัวไว้ในโค้ดของคลาส ASAPPasswordUtil ซึ่งแปลว่ากุญแจดอกเดียวกันใช้ได้กับอุปกรณ์ SonicWall SMA1000 ทุกเครื่องที่รันเฟิร์มแวร์ที่มีช่องโหว่
เมื่อได้ข้อมูลยืนยันตัวตน LDAP ที่ใช้งานได้แล้ว ผู้โจมตีจะดาวน์โหลด Impacket secretsdump เวอร์ชันลินุกซ์แบบสแตนด์อะโลนไปไว้ที่ /tmp/secretsdump จากเซิร์ฟเวอร์ของตัวเองด้วย curl แล้วอาศัยการเข้าถึงเครือข่ายของตัวอุปกรณ์ SonicWall เองในการรันเครื่องมือนี้ใส่ระบบวินโดวส์ภายในเพื่อดึงข้อมูลยืนยันตัวตนและข้อมูลอ่อนไหวอื่น ๆ ออกมา
นี่คือจุดที่ Hunt.io ชี้ว่าทำให้ปฏิบัติการทั้งชุดหลบการตรวจจับได้ รายงานระบุว่า “ตลอดแคมเปญที่กว้างกว่านั้น อุปกรณ์ที่ถูกเจาะถูกใช้เป็นหัวสะพานเข้าสู่เครือข่ายภายใน ผู้ปฏิบัติการติดตั้ง Impacket secretsdump เวอร์ชันลินุกซ์แบบสแตนด์อะโลนลงบนอุปกรณ์ SonicWall ที่เลือกไว้โดยตรง ซึ่งเปิดทางให้ขโมยข้อมูลยืนยันตัวตนจากระบบวินโดวส์ภายในได้จากระยะไกล แนวทางนี้อาจช่วยให้ผู้กระทำหลบการตรวจจับได้ เพราะองค์กรมักมองเห็นระบบปฏิบัติการที่อยู่เบื้องล่างของอุปกรณ์ไฟร์วอลล์และ VPN ได้น้อยกว่าเครื่องวินโดวส์และลินุกซ์ที่บริหารจัดการและเฝ้าดูด้วย EDR อย่างมาก” พูดให้ตรงคืออุปกรณ์ VPN ของ SonicWall ที่รัน secretsdump ใส่โดเมนคอนโทรลเลอร์ภายในจะไม่จุดการแจ้งเตือน EDR บนเอนด์พอยต์วินโดวส์ ไม่ปรากฏในบันทึกเหตุการณ์ของวินโดวส์ในฐานะโพรเซสแปลกปลอม และไม่โผล่ในกฎ SIEM ส่วนใหญ่ที่จูนไว้สำหรับเครื่องที่บริหารจัดการ เพราะตัวอุปกรณ์กำลังทำสิ่งที่มันควรทำอยู่แล้ว นั่นคือการเชื่อมต่อไปยังระบบภายใน ทราฟฟิกที่เป็นอันตรายจึงกลืนไปกับพฤติกรรมเครือข่ายที่ชอบด้วยเหตุผล
ในกรณีที่ข้อมูลยืนยันตัวตน LDAP มีสิทธิ์ไม่พอจะทำ DCSync ผู้โจมตีจะหันไปใช้ความลับ LSA ที่กู้มาได้ด้วย secretsdump ซึ่งอาจมีค่าแฮช NTLM ของบัญชีเครื่องของโดเมนคอนโทรลเลอร์อยู่ และเนื่องจากโดเมนคอนโทรลเลอร์ตามปกติมีสิทธิ์ทำสำเนาไดเรกทอรีอยู่แล้ว ผู้โจมตีจึงใช้ค่าแฮชเหล่านี้ทำ DCSync ได้ โดยสคริปต์ของพวกเขาจะค้นผลลัพธ์ของ secretsdump หาชื่อบัญชีที่ลงท้ายด้วยเครื่องหมาย $ ดึงค่าแฮชที่เกี่ยวข้องออกมา แล้วยิงคำร้องขอ DCSync แบบ pass-the-hash ผ่านอุปกรณ์ SonicWall ที่ถูกเจาะ เทคนิคนี้ได้ผลใน 5 สภาพแวดล้อม โดยผู้โจมตีใช้อุปกรณ์ SonicWall สร้างไฟล์ฐานข้อมูล NTDS ไว้ใน /tmp แล้วดึงกลับมาด้วยการใช้ประโยชน์จาก CVE-2026-15409 เพื่อรันคำสั่งบนอุปกรณ์อีกครั้ง
เป้าหมาย การระบุตัวผู้โจมตี และข้อจำกัดของหลักฐาน
Hunt.io ระบุว่า “อุปกรณ์ที่เชื่อมโยงกับการขโมยความลับ SAM และ LSA ที่ได้รับการยืนยันแล้วกระจายอยู่บนโครงสร้างพื้นฐานในฝรั่งเศส อินเดีย อิตาลี และสหรัฐอเมริกา ส่วนบัญชีรายชื่อเป้าหมายที่กว้างกว่านั้นครอบคลุมมากกว่ามาก โดยมีชื่อเกตเวย์ที่เชื่อมโยงกับองค์กรในสหราชอาณาจักร แคนาดา เยอรมนี สวีเดน โปแลนด์ ฮังการี เกาหลีใต้ และฮ่องกง รวมถึงที่อื่น ๆ” ขณะที่ภาคส่วนที่ถูกครอบคลุมมีทั้งองค์กรปกครองส่วนท้องถิ่นและหน่วยงานบังคับใช้กฎหมาย สาธารณสุข บริการทางการเงิน มหาวิทยาลัย โรงงานผลิต และผู้ให้บริการไอทีแบบมีผู้จัดการ
ลักษณะการเลือกเป้าหมายเป็นแบบฉวยโอกาส กล่าวคือผู้ปฏิบัติการเลือกองค์กรเพราะองค์กรนั้นรันอุปกรณ์ SonicWall ที่มีช่องโหว่ ไม่ใช่เพราะอยู่ในภาคส่วนใด ซึ่งสอดคล้องกับรายชื่อเป้าหมายที่ได้มาจาก Shodan และถูกกู้คืนจากไดเรกทอรีนั้น ซึ่งบรรจุที่อยู่เกือบ 200,000 รายการที่ถูกติดป้ายว่าเป็นระบบ SonicWall
ในแง่การระบุตัวผู้โจมตี สคริปต์มีคอมเมนต์ภาษาจีนจำนวนมาก แต่ Hunt.io ประเมินว่าหลักฐานเพียงเท่านี้ไม่เพียงพอต่อการชี้ตัว ขณะเดียวกัน CISA ได้เพิ่ม CVE-2026-15409 เข้าสู่แค็ตตาล็อกช่องโหว่ที่ทราบว่าถูกใช้โจมตีจริงและระบุว่ามันถูกใช้ในแคมเปญแรนซัมแวร์ โดยมีผู้คุกคามอีกรายที่ถูกติดตามในชื่อ UTA0533 ใช้ช่องโหว่เดียวกันนี้ปล่อยมัลแวร์ KNUCKLEBALL และกลุ่มแรนซัมแวร์ INC ก็ใช้ประโยชน์จากห่วงโซ่ช่องโหว่นี้เช่นกัน ซึ่งการที่ผู้กระทำหลายรายใช้ช่องโหว่คะแนน CVSS 10 ตัวเดียวกันแบบคู่ขนานนั้นตอนนี้กลายเป็นรูปแบบปกติของช่องโหว่ร้ายแรงในอุปกรณ์ VPN และอุปกรณ์ควบคุมการเข้าถึงไปแล้ว ไม่ใช่เรื่องผิดปกติ
สิ่งที่ควรบันทึกไว้เป็นข้อจำกัดคือการเชื่อมโยงเหตุของสภาเทศบาลเข้ากับแคมเปญนี้เป็นการประเมินด้วยความมั่นใจระดับปานกลาง ไม่ใช่การยืนยัน และรายละเอียดทั้งหมดมาจากรายงานของ Hunt.io ฝ่ายเดียวโดยยังไม่มีการยืนยันจากฝั่งสภาเทศบาลหรือองค์กรที่ตกเป็นเหยื่อรายอื่น ส่วนที่น่าสังเกตอีกข้อคือคุณภาพความปลอดภัยเชิงปฏิบัติการของผู้โจมตีเอง ซึ่งรันกรอบการทำงานหลังเจาะระบบทั้งชุดจากเซิร์ฟเวอร์ HTTP แบบเปิดบนพอร์ต 80 โดยไม่มีการยืนยันตัวตนใด ๆ ทำให้ Hunt.io เก็บภาพปฏิบัติการทั้งหมดได้ขณะที่มันยังทำงานอยู่
ผลกระทบ
องค์กรที่รับความเสี่ยงโดยตรงคือทุกแห่งที่ยังรัน SonicWall SMA1000 ด้วยเฟิร์มแวร์ที่มีช่องโหว่และเปิดพอร์ทัล WorkPlace สู่อินเทอร์เน็ต ซึ่งตามนิยามของอุปกรณ์ประเภทนี้คือเปิดอยู่แล้วเกือบทั้งหมด และเนื่องจากการเลือกเป้าหมายเป็นแบบฉวยโอกาสจากรายชื่อ Shodan การไม่ได้อยู่ในภาคส่วนที่น่าสนใจจึงไม่ได้ช่วยลดความเสี่ยงลงเลย
สิ่งที่ทำให้แคมเปญนี้ต่างจากการถูกเจาะ VPN ทั่วไปคือความลึกของความเสียหายในขั้นถัดไป การเข้าถึงอุปกรณ์ขอบเครือข่ายหนึ่งเครื่องถูกแปลงเป็นการยึดฐานข้อมูล Active Directory ทั้งชุดใน 5 สภาพแวดล้อม ซึ่งเมื่อผู้โจมตีมีไฟล์ NTDS อยู่ในมือแล้ว การรีเซ็ตรหัสผ่านรายบุคคลจะไม่พอ องค์กรต้องคิดในระดับการรีเซ็ตกุญแจของโดเมนทั้งหมดรวมถึงบัญชี krbtgt
ประเด็นเชิงโครงสร้างที่สำคัญที่สุดคือช่องว่างการมองเห็น องค์กรส่วนใหญ่ลงทุนกับ EDR บนเครื่องวินโดวส์และลินุกซ์ที่บริหารจัดการ แต่แทบไม่มีการมองเห็นโพรเซส ไฟล์ และเครือข่ายภายในระบบปฏิบัติการของอุปกรณ์ความปลอดภัยเอง แคมเปญนี้ใช้ช่องว่างนั้นตรง ๆ ด้วยการย้ายเครื่องมือหลังเจาะระบบไปรันบนอุปกรณ์ ทำให้อุปกรณ์ป้องกันกลายเป็นแท่นโจมตีภายในเสียเอง ซึ่งเป็นรูปแบบที่จะเกิดซ้ำได้กับอุปกรณ์ยี่ห้ออื่นที่มีสถาปัตยกรรมเดียวกัน
อีกบทเรียนที่ควรเก็บคือเรื่องกุญแจที่ฝังตายตัวในเฟิร์มแวร์ การที่กุญแจ AES ดอกเดียวใช้ถอดรหัสรหัสผ่าน LDAP ได้กับอุปกรณ์ทุกเครื่องทั่วโลก หมายความว่าเมื่อผู้โจมตีเข้าถึงไฟล์ตั้งค่าได้เพียงครั้งเดียวก็ได้ข้อมูลยืนยันตัวตนที่ใช้งานได้ทันที โดยไม่ต้องเดารหัสผ่านหรือรอเก็บข้อมูล ซึ่งเป็นเหตุผลว่าทำไมการแพตช์เพียงอย่างเดียวจึงไม่พอเมื่อการเจาะเกิดขึ้นไปแล้ว
คำแนะนำ
สำหรับผู้ดูแล SonicWall SMA1000 ที่ยังไม่ได้แพตช์ เฟิร์มแวร์ที่แก้ไขแล้วคือเวอร์ชัน 12.4.3-03453 เป็นต้นไป แต่ต้องเข้าใจให้ตรงกันว่าการแพตช์อย่างเดียวไม่เพียงพอหากการถูกเจาะเกิดขึ้นไปแล้ว โดย SonicWall แนะนำให้ทำอิมเมจอุปกรณ์ที่ได้รับผลกระทบใหม่ หมุนเวียนข้อมูลยืนยันตัวตนของผู้ใช้และผู้ดูแลระบบทั้งหมด และรีเซ็ตโทเค็น TOTP
ตรวจสอบย้อนหลังว่าเคยถูกเจาะหรือไม่โดยใช้ตำแหน่งบันทึกและตัวบ่งชี้การถูกบุกรุกที่รายงานของ Hunt.io ระบุไว้ โดยให้ความสำคัญกับร่องรอยการดาวน์โหลดไฟล์ไปยัง /tmp บนตัวอุปกรณ์ การเชื่อมต่อขาออกจากอุปกรณ์ไปยังที่อยู่ภายนอกที่ไม่ใช่บริการอัปเดตของผู้ผลิต และการที่อุปกรณ์เชื่อมต่อไปยังโดเมนคอนโทรลเลอร์ภายในด้วยโปรโตคอลที่ไม่ใช่การยืนยันตัวตนตามปกติ
ถ้าพบหลักฐานว่ามีการทำ DCSync หรือพบว่าไฟล์ NTDS ถูกสร้างขึ้น ให้ดำเนินการกู้คืนในระดับโดเมน ซึ่งรวมถึงการรีเซ็ตรหัสผ่านบัญชี krbtgt สองครั้งตามแนวทางมาตรฐาน การรีเซ็ตรหัสผ่านบัญชีเครื่องของโดเมนคอนโทรลเลอร์ และการหมุนเวียนข้อมูลยืนยันตัวตนของบัญชีบริการทั้งหมดที่ปรากฏในไฟล์ตั้งค่า LDAP ของอุปกรณ์
ปิดช่องว่างการมองเห็นบนอุปกรณ์ขอบเครือข่ายอย่างเป็นระบบ ด้วยการส่งบันทึกของอุปกรณ์ไปยัง SIEM แยกต่างหาก ตั้งกฎตรวจจับที่มองอุปกรณ์เป็นต้นทางของทราฟฟิกผิดปกติแทนที่จะมองเป็นเพียงอุปกรณ์เครือข่าย และจำกัดสิทธิ์ของบัญชีบริการที่อุปกรณ์ใช้เชื่อมต่อกับ Active Directory ให้เหลือเท่าที่จำเป็นจริง ๆ เพราะบัญชีเหล่านี้คือสิ่งแรกที่ผู้โจมตีดึงออกมาได้
ในเชิงสถาปัตยกรรม ควรทบทวนว่าพอร์ทัลบริหารจัดการและพอร์ทัลผู้ใช้ของอุปกรณ์เหล่านี้จำเป็นต้องเปิดสู่อินเทอร์เน็ตทั้งคู่หรือไม่ และวางการควบคุมการเข้าถึงเพิ่มไว้ข้างหน้าเท่าที่สถาปัตยกรรมจะเอื้อ รวมถึงตั้งสมมติฐานว่าช่องโหว่ถัดไปของอุปกรณ์ประเภทนี้จะถูกทำเป็นเครื่องสแกนอัตโนมัติภายในเวลาไม่ถึง 3 วันเหมือนกรณีนี้
Indicators of Compromise (IoCs)
| ประเภท | ค่า | คำอธิบาย |
|---|---|---|
| SHA-256 | 690f5031deede7d3357d0ca24c89866ae8c60e6c63b3a2c8bba813a6ac10ae5b | ไฟล์ไบนารี Impacket secretsdump ที่ผู้ปฏิบัติการใช้ |
| IP | 95.181.173[.]36 | เซิร์ฟเวอร์ส่งมอบเครื่องมือและไดเรกทอรีเปิดของผู้โจมตี |
| Path | /tmp/secretsdump | ตำแหน่งที่เครื่องมือถูกวางบนอุปกรณ์ SonicWall |
| File | /usr/local/extranet/etc/policy_file.xml | ไฟล์ตั้งค่าที่ถูกอ่านเพื่อดึงและถอดรหัสรหัสผ่าน LDAP |
| Script | ldap_extract.py | สคริปต์ของผู้โจมตีที่ใช้ถอดรหัสรหัสผ่าน LDAP |
หมายเหตุ: ที่อยู่ไอพีถูกทำให้ไม่สามารถคลิกได้ (defang) แล้ว