สรุปสั้น
บริษัท GreyNoise พบการสแกนและความพยายามรันโค้ดจากระยะไกลที่เล็งอุปกรณ์กล้องวงจรปิดในยูเครนเพิ่มขึ้นอย่างผิดสังเกตระหว่างวันที่ 21 กันยายนถึง 1 ตุลาคม 2569 กิจกรรมเกือบทั้งหมดมุ่งไปที่ CVE-2021-36260 ช่องโหว่ command injection ระดับวิกฤตในผลิตภัณฑ์ Hikvision ที่ยังไม่ได้แพตช์ ซึ่งเปิดทางให้ผู้โจมตีควบคุมกล้องและเครื่องบันทึกที่เปิดสู่อินเทอร์เน็ตได้โดยไม่ต้องล็อกอิน ช่วงเวลาที่กิจกรรมพุ่งสูงตรงกับการโจมตีด้วยขีปนาวุธและโดรนของรัสเซีย แต่นักวิจัยยังไม่พบหลักฐานว่าสองเหตุการณ์เกี่ยวข้องกัน
สิ่งที่ GreyNoise บันทึกได้คือความพยายามเจาะ ไม่ใช่การยืนยันว่ากล้องจริงถูกยึด ทุกคำขอใช้คำสั่งทดสอบแบบเดียวกันจากเทมเพลต Nuclei สาธารณะ และไม่มีการส่ง payload ติดตั้งมัลแวร์ กิจกรรมเกือบทั้งหมดมาจาก 4 IP ในจำนวนนี้ 3 ตัวเป็นทางออกของบริการ PureVPN และไม่มีการพยายามเจาะเซนเซอร์นอกยูเครนเลย ข้อแตกต่างนี้สำคัญต่อการประเมินผลกระทบและเจตนาของแคมเปญ แม้กรณีในอดีตจะแสดงว่ากล้องที่ถูกเจาะในยูเครนเคยถูกใช้สอดแนมระบบป้องกันภัยทางอากาศมาแล้ว
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 8 ตุลาคม 2569 อ้างไทม์ไลน์ของ GreyNoise ว่าการลาดตระเวนเริ่มในวันที่ 21 กันยายน เมื่อ IP บนเครือข่ายในยูเครนพยายามเชื่อมต่อพอร์ตบริการโดยยังไม่ส่ง exploit จากนั้นความพยายามเจาะพุ่งสูงในวันที่ 23 กันยายนและต่อเนื่องถึง 1 ตุลาคม กลายเป็นช่วงพุ่งสูง 9 วันหลังจากที่แทบไม่มีกิจกรรมลักษณะนี้ต่อยูเครนมาหลายเดือน
IP 4 ตัวคิดเป็นเกือบทั้งหมดของความพยายามเจาะในช่วงนั้น สามตัวคือ 195.238.124[.]178, 195.238.124[.]181 และ 195.238.124[.]188 เป็นทางออกของ PureVPN ภายใต้ AS56630 ในลิทัวเนีย อีกตัวเป็นเครือข่ายภายในยูเครนที่ไม่ได้เปิดเผยต่อสาธารณะ GreyNoise ประเมินว่ามีผู้กระทำรายเดียวอยู่เบื้องหลังกิจกรรมผ่าน VPN แต่เชื่อมโยง IP ยูเครนกับกิจกรรมนั้นด้วยความมั่นใจต่ำ และเนื่องจากทางออก VPN เชิงพาณิชย์มีผู้ใช้ที่ไม่เกี่ยวข้องกันร่วมใช้ IP เหล่านี้จึงไม่ควรถือเป็นหลักฐานว่าเป็นผู้ปฏิบัติการคนเดียวกัน
แม้ GreyNoise จะเห็นการสแกนหาช่องโหว่นี้เพิ่มขึ้นทั่วโลก แต่ IP ทั้ง 4 ไม่ได้พยายามเจาะเซนเซอร์ของ GreyNoise นอกยูเครน และไม่มีความพยายามใหม่จาก IP เหล่านี้จนถึงวันที่ 7 ตุลาคม ช่องโหว่นี้ไม่ใช่เรื่องใหม่สำหรับผู้อ่าน เคยถูกใช้ในบอตเน็ต Evooo1Bot (โพสต์ 2026/08/103 ) และปฏิบัติการ StrikeShark (โพสต์ 2026/06/188 ) แต่การพุ่งสูงแบบเจาะจงประเทศเดียวในครั้งนี้เป็นรูปแบบที่ต่างออกไป
รายละเอียดช่องโหว่
CVE-2021-36260 อยู่ในเว็บเซิร์ฟเวอร์ของผลิตภัณฑ์ Hikvision บางรุ่น การตรวจสอบข้อมูลนำเข้าที่ไม่ดีพอทำให้คำขอที่สร้างขึ้นเป็นพิเศษซึ่งมีคำสั่งอันตรายส่งผ่านไปถึงระบบปฏิบัติการของอุปกรณ์ได้ NIST ให้คะแนน CVSS 9.8 ระดับวิกฤต เพราะโจมตีผ่านเครือข่ายได้โดยไม่ต้องยืนยันตัวตนและไม่ต้องมีการกระทำของผู้ใช้ Hikvision ออกเฟิร์มแวร์แก้ไขและ CISA ออกคำเตือนตั้งแต่เดือนกันยายน 2564
กิจกรรมที่พบใช้เทมเพลต Nuclei สาธารณะชื่อ “Hikvision IP camera/NVR – Remote Command Execution” ซึ่งบ่งชี้การทดสอบช่องโหว่แบบอัตโนมัติ ทุกคำขอเป็นคำสั่งทดสอบเดียวกันโดยไม่มี payload ติดตั้ง สิ่งที่ GreyNoise เห็นจึงสนับสนุนการตีความแบบแคบว่าเป็นการคัดกรองว่าอุปกรณ์ไหนเจาะได้ ไม่ได้ยืนยันว่ามีการติดตั้งมัลแวร์หรือเข้าถึงภาพจากกล้อง
ผลกระทบ
กล้องที่ถูกเจาะสามารถเปิดเผยตำแหน่งและกิจกรรมที่อ่อนไหวได้ ในเดือนมกราคม 2567 ทางการยูเครนรายงานว่าปิดกล้อง 2 ตัวที่หน่วยข่าวกรองรัสเซียเจาะเพื่อสังเกตระบบป้องกันภัยทางอากาศและโครงสร้างพื้นฐานในกรุงเคียฟ กรณีนั้นแสดงความเสี่ยงที่เป็นไปได้ แต่ไม่ได้ระบุว่าใครอยู่เบื้องหลังแคมเปญครั้งนี้
ในภาพกว้าง ช่องโหว่อายุ 5 ปีนี้ยังมีเป้าหมายให้โจมตีเพราะกล้องและเครื่องบันทึกจำนวนมากไม่เคยถูกอัปเดตเฟิร์มแวร์ Cyber Security News เคยรายงานกล้อง Hikvision ที่เปิดสู่อินเทอร์เน็ตและมีช่องโหว่กว่า 80,000 ตัวในปี 2565 แต่ตัวเลขนั้นไม่ใช่ข้อมูลปัจจุบัน สิ่งที่ข่าวนี้ย้ำคือในพื้นที่ความขัดแย้ง กล้องวงจรปิดที่ลืมแพตช์อาจกลายเป็นเครื่องมือข่าวกรองของฝ่ายตรงข้ามได้
คำแนะนำ
- ระบุรุ่นกล้องและเครื่องบันทึก (NVR/DVR) ของ Hikvision ทั้งหมด แล้วอัปเดตเฟิร์มแวร์ตามประกาศของ Hikvision และคำแนะนำของ CISA
- การเปลี่ยนรหัสผ่านอย่างเดียวไม่ได้แก้ช่องโหว่นี้ เพราะเป็น command injection ที่ไม่ต้องยืนยันตัวตน
- ปิดการเข้าถึงหน้าเว็บของกล้องจากอินเทอร์เน็ต ใช้ VPN หรือ jump host หากต้องดูจากภายนอก
- แยกเครือข่ายกล้องวงจรปิดออกจากเครือข่ายสำคัญ และจำกัดไม่ให้กล้องเชื่อมต่อออกอินเทอร์เน็ตโดยไม่จำเป็น
- ค้นล็อกไฟร์วอลล์และเว็บเซิร์ฟเวอร์ของอุปกรณ์หาคำขอจาก IP ในรายการ IoC และคำขอที่ตรงกับรูปแบบของเทมเพลต Nuclei สำหรับ CVE-2021-36260
- เปลี่ยนอุปกรณ์ที่หมดอายุการสนับสนุนและไม่มีเฟิร์มแวร์แก้ไขแล้ว
Indicators of Compromise (IoCs)
IP defang แล้ว (
[.]) · เป็นทางออก VPN เชิงพาณิชย์ที่มีผู้ใช้ทั่วไปร่วมใช้ ไม่ควรถือเป็นหลักฐานการโจมตีด้วยตัวเอง
| IP | ASN | คำอธิบาย |
|---|---|---|
195.238.124[.]178 | AS56630 (ลิทัวเนีย) | ทางออก PureVPN ที่พยายามเจาะ CVE-2021-36260 |
195.238.124[.]181 | AS56630 (ลิทัวเนีย) | ทางออก PureVPN ที่พยายามเจาะ CVE-2021-36260 |
195.238.124[.]188 | AS56630 (ลิทัวเนีย) | ทางออก PureVPN ที่พยายามเจาะ CVE-2021-36260 |