แฮ็กเกอร์ที่เป็นมนุษย์เจาะ Marimo RCE ถึง SSH Bastion ใน 8 วินาที — เร็วระดับ AI ด้วยฝีมือล้วน พร้อมบอทเน็ตขุดเหรียญ Redis 3,562 เครื่อง

สรุปสั้น

ในขณะที่ปัญญาประดิษฐ์ (AI) กำลังย่นระยะเวลาระหว่างการค้นพบช่องโหว่กับการใช้โจมตี และลดกำแพงความยากลงสำหรับผู้ไม่หวังดี ผลการวิจัยใหม่จากบริษัท Sysdig กลับชี้ว่าผู้ปฏิบัติการที่เป็นมนุษย์ฝีมือดีก็เคลื่อนไหวได้เร็วไม่แพ้กันหลังเข้าถึงระบบได้ครั้งแรก ในกรณีหนึ่งที่บริษัทด้านความปลอดภัยบนคลาวด์รายนี้หยิบยกมา ผู้โจมตีไต่จาก Marimo notebook ที่มีช่องโหว่ไปยังเครื่อง SSH bastion ได้ภายในเวลาเพียง 8 วินาที ด้วยชุดเครื่องมือ Python ที่พวกเขา “เขียนและดีบักด้วยมือเอง” โดยไม่มี AI agent เข้ามาเกี่ยวข้องเลย

ทีม Sysdig Threat Research Team ระบุว่า 8 วินาทีคือระดับความเร็วที่มักพบในการโจมตีที่มี AI ช่วย แต่ผู้ปฏิบัติการรายนี้ไปถึงจุดนั้นได้ด้วยทักษะล้วน ๆ และระหว่างทางยังเดินผ่านกับดักที่ผู้โจมตีแบบ agentic ทุกรายที่ทีมเคยวิเคราะห์กับช่องโหว่ตัวเดียวกันนี้ต่างตกลงไป จึงสะท้อนว่าผู้โจมตีที่เป็นมนุษย์ฝีมือดีไม่เพียงเคลื่อนที่ได้เร็วระดับเครื่องจักร แต่มักหลบเลี่ยงการตรวจจับของฝ่ายป้องกันได้ดีกว่าด้วย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 15 กันยายน 2569 โดยอ้างการวิเคราะห์ของบริษัท Sysdig ว่า ห่วงโซ่การโจมตีนี้ใช้ช่องโหว่ CVE-2026-39987 (คะแนน CVSS 9.3) ซึ่งเป็นช่องโหว่รันโค้ดทางไกลแบบไม่ต้องยืนยันตัวตน (pre-authenticated RCE) ที่กระทบ Marimo ทุกเวอร์ชัน และตกเป็นเป้าโจมตีจริงภายในไม่กี่ชั่วโมงหลังถูกเปิดเผยต่อสาธารณะ

เมื่อได้จุดยืนแรกในระบบ ผู้โจมตีได้รันห่วงโซ่การหมุนเวียน credential แบบครบวงจร โดยใช้ช่องโหว่ Marimo เปิด shell แบบโต้ตอบเต็มรูปแบบ ตามด้วยการเรียกใช้ AWS Secrets Manager ด้วย credential ที่เก็บเกี่ยวมาจากเครื่องที่ถูกเจาะ แล้วใช้กุญแจส่วนตัวที่ได้มาเข้าถึง SSH ไปยังเครื่อง bastion จากบันทึกเวลา การเชื่อมต่อ WebSocket ใหม่เกิดขึ้นเวลา 18:57:22 การค้นหา credential ที่ระบบเก็บไว้ซึ่งคืนค่ากุญแจ AWS ที่ถูกเก็บเกี่ยวเกิดเวลา 18:57:26 และการยืนยันตัวตน SSH ที่เครื่อง bastion ถูกพบเวลา 18:57:30 รวมช่วงวิกฤตเพียง 8 วินาที กิจกรรมทั้งหมดกินเวลาตั้งแต่ 12:52 น. ซึ่งเป็นตอนที่การเชื่อมต่อ WebSocket แรกถูกส่งจาก 172.236.12[.]17 ไปยัง endpoint /terminal/ws ที่ Marimo เปิดไว้ ไปจนถึง 21:50 น. โดยตลอดเซสชันยาว 9 ชั่วโมง ผู้โจมตีออกคำสั่งแบบโต้ตอบมากกว่า 850 คำสั่ง ไม่ใช้เครื่องมือโจมตีสาธารณะที่จำแนกได้เลย และเขียนสคริปต์ขึ้นเองสด ๆ ในเซสชัน โดยฝีมือของผู้ปฏิบัติการรวมศูนย์อยู่ที่การเรียก Python3 ตัวเดียวที่รันเป็นเบื้องหลัง ซึ่งดึง credential ดึงกุญแจ SSH จาก Secrets Manager เขียนลงดิสก์ และยืนยันตัวตนไปยัง bastion ผ่าน SSH ในครั้งเดียว

รายละเอียดช่องโหว่และวิธีการโจมตี

Sysdig สรุปว่า AI อาจกำลังเปลี่ยนเศรษฐศาสตร์ของการโจมตี ทั้งจำนวนเป้าหมายที่มากขึ้น เวลาที่ใช้โจมตีที่สั้นลง และการลดงานซ้ำ ๆ ที่ต้องทำด้วยมือ แต่ยังไม่ได้เข้ามาแทนที่ผู้โจมตีฝีมือดีที่รู้วิธีสร้างเครื่องมือขึ้นจากศูนย์และหลบกับดักได้ ประเด็นสำคัญคือกรณีนี้ตอกย้ำว่าการตรวจจับที่อิงกับ signature หรือเครื่องมือสำเร็จรูปใช้ไม่ได้ผลกับผู้โจมตีที่เขียนทุกอย่างขึ้นเองในเซสชัน จึงต้องพึ่งการตรวจจับเชิงพฤติกรรมเป็นหลัก

ข่าวนี้ออกมาพร้อมกับที่บริษัท Hunt.io เปิดเผยรายละเอียดของแคมเปญขุดคริปโตที่เจาะเซิร์ฟเวอร์ Redis ไปแล้ว 3,562 เครื่อง โดยน่าจะมาจากการกวาดสแกนโฮสต์ Redis ที่เข้าข่ายทั่วอินเทอร์เน็ตบนพอร์ต 6379 พร้อมกับเปิดสามไปป์ไลน์ขนานกัน ได้แก่ การค้นหาเป้าหมาย WordPress ที่สแกนหาเวอร์ชัน ปลั๊กอินที่ติดตั้ง และการเปิด XML-RPC หรือ directory listing การ inject กุญแจ SSH เข้า authorized_keys ผ่านโหมด append-only file (AOF) ของ Redis และการหยั่งเชิงหลบ Lua sandbox ด้วยคำสั่ง EVAL ต่อโฮสต์เป้าหมายสามเครื่อง วิธีเจาะหลักคือการใช้คำสั่ง SLAVEOF ลักลอบส่งเนื้อหาที่ผู้โจมตีควบคุมเข้าไปยังเซิร์ฟเวอร์ Redis เป้าหมาย จนนำไปสู่การติดตั้งตัวขุดเหรียญ XMRig กิจกรรมนี้ถูกพบหลังมีการค้นพบสภาพแวดล้อมการทำงานที่เปิดโล่งที่ 188.245.99[.]156 และยังไม่ถูกโยงกับกลุ่มผู้โจมตีที่รู้จัก โดย Hunt.io ระบุว่าเหยื่อที่ได้รับการยืนยันครอบคลุม Redis ตั้งแต่เวอร์ชัน 2.8.17 (ปี 2015) ถึง 7.2.0 (ปี 2023) และ Linux ตั้งแต่ RHEL/CentOS 6 ที่หมดอายุการสนับสนุนไปจนถึงเคอร์เนล Ubuntu ปัจจุบัน ซึ่งชี้ว่าจุดอ่อนคือการขาดการยืนยันตัวตน ไม่ใช่บั๊กเฉพาะเวอร์ชัน ทั้งนี้ในบรรดาสี่เทคนิคที่ใช้ มีเพียงการทำ rogue replication ของ Redis เท่านั้นที่ได้ผลในวงกว้าง ขณะที่การ inject กุญแจ SSH และการหลบ sandbox ของ MongoDB คืนค่าเป็นศูนย์จากความพยายาม 2,810 ครั้ง นอกจากนี้ในช่วงหลายเดือนที่ผ่านมา ผู้ปฏิบัติการรายเดียวยังถูกโยงกับแคมเปญขนาดใหญ่ชื่อ Operation CameraSwarm ที่เจาะกล้อง IP ยี่ห้อ Dahua กว่า 14,000 ตัว ด้วยการเดารหัสผ่านแบบ brute-force ช่องโหว่ข้ามการยืนยันตัวตน (CVE-2021-33044 และ CVE-2021-33045) และเทคนิครีเลย์แบบ peer-to-peer (ต่อยอดจากการรายงานเรื่อง Marimo ในเชิง AI agent ที่เคยเสนอไว้ในโพสต์ 2026/05/076 )

ผลกระทบ

ผลกระทบตกอยู่ที่องค์กรที่เปิด Marimo notebook, Redis หรืออุปกรณ์ IoT สู่อินเทอร์เน็ตโดยขาดการยืนยันตัวตนหรือไม่ได้แพตช์ กรณี Marimo แสดงให้เห็นว่าองค์กรที่ใช้คลาวด์ AWS และมี bastion กับฐานข้อมูลภายในมีความเสี่ยงที่ credential ชุดเดียวจะถูกใช้ไต่เข้าสู่ระบบสำคัญได้ในไม่กี่วินาที และเนื่องจากผู้โจมตีเขียนวิธีโจมตีขึ้นใหม่ทุกครั้ง การตรวจจับที่อิงลายเซ็นหรือเครื่องมือสำเร็จรูปจึงมักตามไม่ทัน ส่วนแคมเปญ Redis สะท้อนว่าปัญหาไม่ได้อยู่ที่เวอร์ชันของซอฟต์แวร์ แต่อยู่ที่การเปิดบริการโดยไม่ตั้งการยืนยันตัวตน ทำให้ระบบเก่าและใหม่ตกเป็นเหยื่อได้เท่ากัน ขณะที่ Operation CameraSwarm ตอกย้ำว่าการปล่อยกล้องและอุปกรณ์ IoT ที่ใช้รหัสผ่านเริ่มต้นหรือมีช่องโหว่เก่าไว้บนอินเทอร์เน็ต ยังเป็นแหล่งสร้างบอทเน็ตขนาดใหญ่ได้อยู่เสมอ

คำแนะนำ

องค์กรควรอัปเดต Marimo ให้พ้นเวอร์ชันที่มีช่องโหว่โดยเร็ว และหากอัปเกรดไม่ได้ทันที ให้จำกัดการเข้าถึง endpoint /terminal/ws หรือปิดฟีเจอร์ terminal พร้อมทั้งไม่เปิด notebook server สู่อินเทอร์เน็ตโดยตรง สำหรับ Redis ต้องบังคับการยืนยันตัวตน ปิดพอร์ต 6379 จากการเข้าถึงสาธารณะ และปิดหรือจำกัดคำสั่งอันตรายอย่าง SLAVEOF/REPLICAOF และ EVAL เท่าที่ทำได้ องค์กรที่ใช้คลาวด์และมี bastion ควรหมุนเปลี่ยน credential ที่อาจรั่ว แยกสิทธิ์การเข้าถึง Secrets Manager ให้แคบที่สุด และหันมาใช้การตรวจจับเชิงพฤติกรรมแทนการพึ่งลายเซ็น ส่วนอุปกรณ์กล้อง IP และ IoT ควรเปลี่ยนรหัสผ่านเริ่มต้น อัปเดตเฟิร์มแวร์ให้พ้นช่องโหว่ CVE-2021-33044/33045 และไม่เปิดหน้าจัดการสู่อินเทอร์เน็ต

Indicators of Compromise (IoCs)

ตัวบ่งชี้จากรายงานของ Sysdig และ Hunt.io แสดงในรูปแบบ defang

หมายเหตุ: โฮสต์ที่ถูกหยั่งเชิง Lua sandbox (47.250.92[.]230, 34.166.99[.]116, 20.198.10[.]42) เป็นเป้าหมายที่ถูกโจมตี ไม่ใช่โครงสร้างของผู้โจมตี

แหล่งอ้างอิง

• Human Attacker Exploits Marimo RCE, Reaches SSH Bastion in Eight Seconds — The Hacker News
• Machine Speed, Hold the AI: The Hand-Rolled Marimo CVE-2026-39987 Exploit — Sysdig
• Redis Cryptomining Botnet — 3,562 Servers — Hunt.io