แฮ็กเกอร์เจาะเครือข่าย 3BB ฝัง MeshCentral เป็นแบ็กดอร์คุมสิทธิ์ root — จ้องฐานข้อมูลรหัสผ่านลูกค้าบรอดแบนด์

สรุปสั้น

บริษัทด้านข่าวกรองภัยคุกคาม Hunt.io รายงานว่าตรวจพบปฏิบัติการแทรกซึมที่กำลังดำเนินอยู่ภายในเครือข่ายของ 3BB หนึ่งในผู้ให้บริการอินเทอร์เน็ตบรอดแบนด์รายใหญ่ที่สุดของไทย โดยผู้โจมตีสามารถควบคุมเครื่องภายในองค์กรจากระยะไกลด้วยเครื่องมือจัดการที่ถูกกฎหมายอย่าง MeshCentral ซึ่งถูกตั้งค่าให้ทำงานเป็นแบ็กดอร์ลับ นักวิจัยเปิดโปงเหตุการณ์นี้ได้จากการตรวจสอบเซิร์ฟเวอร์เครื่องหนึ่งที่ผู้โจมตีเผลอเปิดทิ้งไว้บนอินเทอร์เน็ต ซึ่งภายในบรรจุทั้งชุดเครื่องมือของผู้โจมตีเองและรายชื่อเครื่องที่ตกอยู่ใต้การควบคุมแล้ว

หลักฐานที่กู้คืนมาได้แสดงให้เห็นว่าผู้โจมตีเข้าถึงสิทธิ์ระดับสูงสุดหรือ root บนเซิร์ฟเวอร์ภายในของ 3BB และวางกลไกให้การเข้าถึงนั้นคงอยู่ต่อไปแม้จะมีการล้างร่องรอย เป้าหมายหลักที่ Hunt.io ประเมินคือฐานข้อมูล RADIUS ซึ่งเก็บรหัสผ่านที่ลูกค้าบรอดแบนด์ใช้เชื่อมต่ออินเทอร์เน็ต แม้หลักฐานจะชี้ว่าฐานข้อมูลเหล่านั้นถูกเล็งเป็นเป้าโดยตรง แต่ยังไม่มีข้อยืนยันว่ามีข้อมูลถูกดึงออกไปสำเร็จ ทั้งนี้ Hunt.io ระบุว่าได้แจ้งบริษัทที่ได้รับผลกระทบและทีมรับมือเหตุระดับชาติที่เกี่ยวข้องก่อนเผยแพร่รายงานแล้ว

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 15 กันยายน 2569 โดยอ้างการวิเคราะห์ของบริษัท Hunt.io ว่านักวิจัยเก็บภาพเซิร์ฟเวอร์ที่เปิดโล่งได้เมื่อวันที่ 3 มิถุนายน 2569 ในขณะที่ปฏิบัติการยังดำเนินอยู่ เครื่องมือบนเซิร์ฟเวอร์ดังกล่าวถูกสั่งรันจากคอมพิวเตอร์ที่อยู่ภายในเครือข่ายของ 3BB เอง และไฟล์ที่กู้คืนได้ไฟล์หนึ่งแสดงให้เห็นว่าผู้โจมตีได้สิทธิ์ควบคุมระดับผู้ดูแลเต็มรูปแบบบนเซิร์ฟเวอร์ภายในเครื่องหนึ่ง

เพื่อรักษาการเข้าถึงเอาไว้ ผู้โจมตีติดตั้ง MeshCentral ซึ่งเป็นเครื่องมือฟรีที่ทีมไอทีมักใช้จัดการคอมพิวเตอร์จากระยะไกล แต่ค่าที่ตั้งไว้แสดงว่ามันถูกกำหนดให้ทำงานเป็นแบ็กดอร์ที่ซ่อนตัว โดยให้ตัวเอเจนต์รายงานกลับไปยังเซิร์ฟเวอร์ควบคุมที่ผู้โจมตีเปิดไว้ที่ www.ayuthayatech[.]com ภายใต้กลุ่มอุปกรณ์ชื่อ TH-3BB นักวิจัยชี้ว่าผู้โจมตีนิยมใช้ซอฟต์แวร์จัดการระยะไกลลักษณะนี้มากขึ้นเรื่อย ๆ เพราะเป็นเครื่องมือที่ระบบไว้ใจ และกิจกรรมของมันกลมกลืนไปกับงานดูแลระบบตามปกติ

รายชื่ออุปกรณ์ที่กู้คืนมาจากเซิร์ฟเวอร์ระบุเครื่องที่ถูกลงทะเบียนเข้าระบบ MeshCentral ของผู้โจมตี โดยหลายเครื่องยังเชื่อมต่ออยู่และทำงานด้วยสิทธิ์ root ในขณะที่รายชื่อถูกจัดทำ ซึ่งนักวิจัยระบุว่าเป็นหลักฐานว่าผู้โจมตียังถือสิทธิ์ควบคุมระดับผู้ดูแลอยู่ในช่วงเวลานั้น นอกจากนี้ยังพบสคริปต์ล้างร่องรอยแยกต่างหากที่เขียนมาเพื่อลบล็อกและลบเครื่องมืออื่น ๆ ของผู้โจมตีทิ้ง แต่จงใจปล่อยตัวเอเจนต์ MeshCentral ไว้เพื่อให้การเข้าถึงอยู่รอดต่อไป

ภายในเครือข่าย ผู้โจมตีพยายามขยายการเข้าถึงด้วยสคริปต์ที่สเปรย์รหัสผ่านใส่คอมพิวเตอร์ภายในกว่า 55 เครื่องผ่าน SSH สำรวจพอร์ทัลฝ่ายขายภายในของ 3BB ที่ agent.3bb.co[.]th และค้นหารหัสผ่าน ข้อมูลล็อกอินฐานข้อมูล และกุญแจ SSH ที่เก็บอยู่บนเครื่องที่ถูกยึด อีกทั้งยังมีสคริปต์ที่สามารถวาง web shell ซึ่งเป็นหน้าเว็บซ่อนสำหรับรันคำสั่งของผู้โจมตี และเพิ่มกุญแจ SSH ไว้เป็นช่องทางกลับเข้าระบบสำรอง เซิร์ฟเวอร์เดียวกันนี้ยังชี้ไปยังเป้าหมายที่สอง โดยเก็บใบรับรอง VPN ที่ถูกต้องจากระบบของ 3BB และเซสชันล็อกอินที่ยังใช้งานได้ของบริการบนเครือข่าย Jasmine ซึ่งเป็นบริษัทที่ 3BB เคยเป็นส่วนหนึ่งและยังใช้โครงสร้างพื้นฐานร่วมกันอยู่ Hunt.io ระบุว่าสิ่งนี้บ่งชี้ว่าผู้โจมตีทำงานกับทั้งสององค์กร แม้จะยังไม่ยืนยันว่า Jasmine เองถูกเจาะแล้วหรือไม่

รายละเอียดช่องโหว่

จุดที่ยังไม่ได้รับการยืนยันคือผู้โจมตีเข้าถึง 3BB ครั้งแรกได้อย่างไร เซิร์ฟเวอร์ของผู้โจมตีเก็บชุดเครื่องมือครบชุดที่เล็งไปยังอุปกรณ์ FortiGate SSL-VPN ของ 3BB ซึ่งเป็นกล่องสำหรับเข้าถึงระยะไกลที่ mail.3bb.co[.]th รวมถึงชุดโจมตี (exploit) ที่สมบูรณ์สำหรับ CVE-2024-21762 ซึ่งเป็นช่องโหว่ร้ายแรงของ Fortinet ที่ถูกเปิดเผยเมื่อปี 2567 ช่องโหว่นี้เปิดให้ผู้โจมตีรันโค้ดบนอุปกรณ์ได้โดยไม่ต้องล็อกอิน และอุปกรณ์เกตเวย์ที่ตกเป็นเป้าก็กำลังรันเฟิร์มแวร์เวอร์ชันที่ได้รับผลกระทบจากช่องโหว่ดังกล่าว

อย่างไรก็ตาม ไม่มีสิ่งใดที่ Hunt.io กู้คืนมาได้ที่แสดงว่า exploit ตัวนี้ทำงานสำเร็จจริง หรือเป็นวิธีที่ผู้โจมตีใช้เข้าระบบ เครื่องมือฝั่ง FortiGate เป็นส่วนที่ถูกพัฒนามากที่สุดในชุด แต่ก็สะท้อนถึงขีดความสามารถและเจตนาของผู้โจมตี ไม่ใช่หลักฐานยืนยันว่ามีการเจาะเข้ามาผ่านอุปกรณ์นั้นจริง นอกจากนี้ Hunt.io ประเมินว่าเป้าหมายหลักของผู้โจมตีคือข้อมูลสมาชิกของ 3BB โดยสคริปต์บนเซิร์ฟเวอร์ถูกสร้างมาเพื่อคัดลอกฐานข้อมูล RADIUS ของบริษัท ซึ่งเป็นระบบที่เก็บข้อมูลล็อกอินที่ลูกค้าบรอดแบนด์ใช้เชื่อมต่ออินเทอร์เน็ต ปัจจุบันผู้โจมตีได้ปิดไดเรกทอรีที่เปิดโล่งไปแล้ว และยังไม่ทราบว่ายังคงมีการเข้าถึงภายใน 3BB อยู่หรือไม่ เพราะหลักฐานที่มีบรรยายเหตุการณ์ตามสภาพในช่วงต้นเดือนมิถุนายน ไม่ใช่สถานะปัจจุบัน

ผลกระทบต่อไทย

เหตุการณ์นี้กระทบผู้ใช้บริการชาวไทยโดยตรง เพราะเป้าหมายที่ชัดเจนที่สุดคือฐานข้อมูล RADIUS ของ 3BB ซึ่งเก็บข้อมูลล็อกอินของลูกค้าบรอดแบนด์จำนวนมาก หากข้อมูลชุดนี้หลุดออกไป ผู้โจมตีสามารถนำไปใช้สวมรอยลูกค้า เข้าถึงบริการ หรือต่อยอดไปยังบัญชีอื่นที่ใช้รหัสผ่านซ้ำได้ ยิ่งไปกว่านั้น การที่เซิร์ฟเวอร์ของผู้โจมตีถือใบรับรอง VPN ที่ถูกต้องและเซสชันที่ยังใช้งานได้บนเครือข่าย Jasmine ที่ใช้โครงสร้างพื้นฐานร่วมกัน สะท้อนความเสี่ยงเชิงโครงสร้างเฉพาะของกลุ่มผู้ให้บริการโทรคมนาคมไทยที่เชื่อมโยงกันในเชิงประวัติศาสตร์ ทำให้การเจาะผู้ให้บริการรายเดียวอาจกลายเป็นหัวสะพานไปยังอีกรายได้ องค์กรโทรคมนาคมและผู้ให้บริการอินเทอร์เน็ตในไทยที่ใช้อุปกรณ์ FortiGate SSL-VPN และระบบ RADIUS ในลักษณะเดียวกันจึงควรถือเหตุการณ์นี้เป็นสัญญาณเตือนให้เร่งตรวจสอบ

คำแนะนำ

ชุดเครื่องมือที่กู้คืนมาได้ชี้ไปยังขั้นตอนที่ชัดเจนสำหรับองค์กรที่ใช้อุปกรณ์ปลายทางและระบบยืนยันตัวตนในลักษณะเดียวกัน ได้แก่ แพตช์หรือยืนยันว่าอุปกรณ์ FortiGate SSL-VPN ได้รับการแก้ไขต่อ CVE-2024-21762 แล้ว โดยคำแนะนำของ Fortinet ระบุว่าหากยังแพตช์ไม่ได้ทันที ให้ปิดการใช้งาน SSL-VPN และการปิดเฉพาะ web mode อย่างเดียวไม่ถือเป็นการแก้ไขที่ใช้ได้ ถัดมาคือตรวจหาตัวเอเจนต์ MeshCentral ที่ไม่ได้ติดตั้งเอง และการเชื่อมต่อไปยังเซิร์ฟเวอร์จัดการที่ไม่รู้จัก

องค์กรควรหมุนเปลี่ยน credential ที่อาจถูกเปิดเผย ทั้งกุญแจ SSH รหัสผ่านฐานข้อมูลและ RADIUS ใบรับรอง VPN และความลับของแอปพลิเคชัน เพราะการแพตช์ไม่ได้ลบเอเจนต์ที่ถูกติดตั้งไว้แล้วหรือรีเซ็ตรหัสผ่านที่ถูกคัดลอกไปแล้ว นอกจากนี้ควรล่าหาช่องทางกลับเข้าระบบที่ซ่อนอยู่ เช่น ไฟล์ SUID ที่ผิดปกติ web shell กุญแจ SSH ที่ถูกเปลี่ยน และซอฟต์แวร์จัดการระยะไกลที่เพิ่งถูกเพิ่มเข้ามา และที่สำคัญคือควรเก็บรักษาล็อกและหลักฐานก่อนล้างระบบ เพราะสคริปต์ของผู้โจมตีถูกสร้างมาเพื่อลบสิ่งเหล่านี้โดยเฉพาะ

Indicators of Compromise (IoCs)

ตัวบ่งชี้สำคัญจากรายงานของ Hunt.io แสดงในรูปแบบ defang (ตัด/ดัดแปลงเพื่อป้องกันการคลิกโดยไม่ตั้งใจ)

หมายเหตุ: รายการตัวบ่งชี้เต็มพร้อมรายละเอียดเชิงเทคนิคอยู่ในรายงานของ Hunt.io

แหล่งอ้างอิง

• Thai Broadband FortiGate SSL-VPN & MeshCentral Intrusion — Hunt.io
• FG-IR-24-015 — Fortinet PSIRT (CVE-2024-21762)
• 3BB Attacker Used MeshCentral Backdoor for Root Access — The Hacker News