สรุปสั้น

ทีม Unit 42 ของบริษัท Palo Alto Networks เผยแพร่รายงานการสอบสวนเมื่อวันที่ 13 ตุลาคม 2569 เกี่ยวกับธนาคารแห่งหนึ่งในยุโรป (ไม่เปิดเผยชื่อ) ที่ถูกบุกรุก VPN ผ่านเกตเวย์ภายนอกซึ่งผู้ให้บริการประเภทบุคคลที่สามเป็นผู้ดูแล เกตเวย์นี้ตั้งค่าการยืนยันตัวตนไว้ไม่เข้มแข็งพอ ผู้บุกรุกจึงใช้บัญชีที่ถูกขโมยมาล็อกอินผ่าน VPN เข้าไปในระบบภายในได้ ทีมความปลอดภัยของธนาคารพบความผิดปกติบนระบบไอทีส่วนกลาง และพบว่ามีความพยายามเข้าถึงระยะไกลโดยไม่ได้รับอนุญาตย้อนหลังไปหลายเดือน

ระหว่างหลายเดือนนั้น ผู้บุกรุกสแกนเครื่องและเครือข่ายหลายพันระบบ ให้การเดาสุ่มรหัสผ่านบัญชีแอดมินภายในซ้ำหลายรอบ และดึงหน้าเว็บกับไฟล์แนบภายใน รวมถึงไล่ค้นไฟล์ share ด้านปฏิบัติการและเครือข่าย ในขั้นสุดท้ายผู้บุกรุกพยายามใช้ช่องโหว่รันโค้ดจากระยะไกลของ Windows Server Update Services (WSUS) บนเซิร์ฟเวอร์จัดการคอนฟิกกลางที่กระจายซอฟต์แวร์ไปทั้งองค์กร แต่ระบบ EDR ตรวจจับและสกัดไว้ได้ก่อนที่ผู้บุกรุกจะคงสิทธิ์หรือขยายผลการโจมตี Unit 42 สรุปว่าเป็นผู้โจมตีประเภทฉวยโอกาสที่ทำการโจมตีให้เห็นเด่นชัด สามารถยืนยันได้ว่าไม่ใช่ปฏิบัติการจารกรรมขั้นสูง และจุดอ่อนหลัก คือ การควบคุมพื้นฐานด้านยืนยันตัวตน ไม่ใช่ช่องโหว่ซับซ้อน

รายละเอียดข่าว

เว็บไซต์ Cyber Security News และเว็บไซต์ GBHackers รายงานเมื่อวันที่ 14 ตุลาคม 2569 ถึงรายงานของ Unit 42 ซึ่งระบุว่าธนาคารเรียกทีม Unit 42 เข้ามาหลังทีมความปลอดภัยภายในพบกิจกรรมผิดปกติบนโครงสร้างพื้นฐานไอทีส่วนกลาง เมื่อสอบสวนลึกลงไปจึงพบว่ามีความพยายามเข้าถึง VPN โดยไม่ได้รับอนุญาตต่อเนื่องหลายเดือน และย้อนรอยจุดเข้าไปถึงเกตเวย์ภายนอกที่บุคคลที่สามเป็นผู้ดูแล ซึ่งไม่ได้บังคับการยืนยันตัวตนอย่างเข้มงวด

Unit 42 ไม่ได้เปิดเผยชื่อผู้ผลิตอุปกรณ์เกตเวย์ ไม่ได้อธิบายว่าบัญชีถูกขโมยมาได้อย่างไร และไม่ได้ระบุกลุ่มผู้โจมตีหรือชื่อมัลแวร์ จุดเข้าที่ยืนยันได้คือการยืนยันตัวตนที่อ่อนบนอุปกรณ์ที่ภายนอกดูแล ไม่ใช่ช่องโหว่ของซอฟต์แวร์เกตเวย์ ซึ่งเป็นจุดสำคัญ เพราะบัญชีที่ใช้ได้จริงพาผู้บุกรุกเข้ามาได้โดยไม่ต้องอาศัยช่องโหว่ใหม่ใด ๆ

แม้ในช่วงแรกกิจกรรมจะดูคล้ายการจารกรรมไซเบอร์ แต่ลักษณะการทำงานที่สแกนเป็นวงกว้าง ล็อกอินล้มเหลวซ้ำ ๆ และใช้ชื่อระบบทั่วไปโดยไม่พยายามซ่อนตัว ทำให้ Unit 42 ประเมินว่าเป็นพฤติกรรมพวกฉวยโอกาสมากกว่าปฏิบัติการที่วางแผนแนบเนียน

วิธีการโจมตี

1. เข้าระบบด้วยบัญชีที่ถูกขโมย — ผู้บุกรุกล็อกอินผ่าน VPN บนเกตเวย์ที่ภายนอกดูแลด้วยบัญชีที่ถูกขโมยมา จากนั้นยืนยันตัวตนเข้าระบบภายในต่อ

2. สแกนเครือข่ายเป็นวงกว้าง — ผู้บุกรุกสแกนเครื่องและเครือข่ายซ้ำหลายรอบผ่านหลายโปรโตคอล แตะระบบหลายพันเครื่อง แทนที่จะเดินตามเส้นทางแคบ ๆ เส้นเดียวอย่างเงียบ ๆ กลับไล่หาบริการที่เข้าถึงได้และเส้นทางเจาะลึกเข้าไปอีกทุกทาง

3. เดารหัสผ่านภายในต่อเนื่องหลายเดือน — ผู้บุกรุกทำ password guessing หลายรอบกับระบบภายใน โดยเน้นบัญชีผู้ดูแลระบบ เพื่อหาสิทธิ์เพิ่มระหว่างสำรวจเครือข่าย

4. ดึงเอกสารภายใน — ผู้บุกรุกใช้คำขอเว็บอัตโนมัติไล่ดึงหน้าเว็บภายในและไฟล์แนบ พร้อมไล่ค้น share ด้านปฏิบัติการและเครือข่าย รายงานไม่ได้ระบุปริมาณข้อมูลที่ถูกนำออก ไม่ได้ระบุลูกค้าที่ได้รับผลกระทบ และไม่ได้ยืนยันว่าข้อมูลบัญชีลูกค้าถูกขโมย

5. พยายามเจาะ WSUS บนเซิร์ฟเวอร์จัดการคอนฟิกกลาง — ผู้บุกรุกพยายามใช้ช่องโหว่ RCE ของ WSUS บนเซิร์ฟเวอร์ที่ดูแลการกระจายซอฟต์แวร์ทั้งองค์กร ถ้าสำเร็จจะได้ช่องทางยกระดับสิทธิ์และคงอยู่ในระบบ เพราะเซิร์ฟเวอร์นี้ส่งซอฟต์แวร์ไปยังทุกเครื่องได้ Cortex XDR ตรวจจับการพยายามรันโค้ดที่ไม่ได้รับอนุญาตและสกัดไว้ได้ก่อนลุกลาม

ด้าน Unit 42 ไม่ได้เปิดเผยเลข CVE ของช่องโหว่ WSUS ที่ถูกใช้ แม้จะมีรายงานแยกต่างหากเรื่องการโจมตี WSUS ผ่าน CVE-2025-59287 แต่หลักฐานที่เผยแพร่ไม่พอจะสรุปว่าเป็นช่องโหว่ตัวเดียวกัน Unit 42 ไม่ได้เผยแพร่ IoC ใด ๆ ทั้ง hash, IP, โดเมน และชื่อไฟล์มัลแวร์

ผลกระทบ

การสกัดกั้นเกิดขึ้นหลังจากผู้บุกรุกอยู่ในเครือข่ายมาหลายเดือนแล้ว ได้สแกน เดารหัสผ่าน และเข้าถึงเอกสารภายในไปแล้ว การตรวจจับช่วยป้องกันขั้นยกระดับสิทธิ์ ไม่ได้ป้องกันการบุกรุกครั้งแรก ทีมผู้ตอบสนองตรวจข้อมูล endpoint หลายพันเครื่องและล็อกจากเซิร์ฟเวอร์ Windows และ Linux หลายสิบเครื่อง ไม่พบผู้บุกรุกหลงเหลือหรือ backdoor ที่คงอยู่ ผู้บริหารธนาคารตรวจเอกสารที่ถูกเข้าถึงและเปลี่ยนบัญชีที่ถูกขโมยทั้งหมด

ผลกระทบสำคัญคือบทเรียนด้านความเสี่ยงจากบุคคลที่สาม การให้ผู้ให้บริการภายนอกดูแลอุปกรณ์ไม่ได้ทำให้ความเสี่ยงของธนาคารหายไป เกตเวย์ที่ตั้งค่าไม่ดีเพียงจุดเดียวก็เปลี่ยนบัญชีที่ถูกขโมยให้กลายเป็นการเข้าถึงเครือข่ายภายใน เคสนี้ตรงกับรายงาน 2026 Unit 42 Global Incident Response Report ที่พบว่าจุดอ่อนด้านตัวตนมีส่วนสำคัญในการสอบสวนเกือบ 90% ข้อควรระวังคือ เคสนี้เป็นรายงานของผู้ขายที่ผลิตภัณฑ์ของตนเป็นผู้สกัด และธนาคารขยายการใช้ Cortex XDR/XSIAM หลังเหตุ จึงควรอ่านในมุมบทเรียนด้านการควบคุม มากกว่ามุมผลิตภัณฑ์

คำแนะนำ

  • ตรวจทุกช่องทางเข้าระยะไกล (VPN, เกตเวย์, จุดเข้าของผู้ให้บริการ) ที่บุคคลที่สามดูแล ให้ใช้มาตรฐานเดียวกับระบบภายใน และกำหนดไว้ในสัญญาว่าต้องบังคับ MFA
  • ใช้ MFA แบบป้องกันฟิชชิงได้ (phishing-resistant) บน VPN และลดบัญชีแอดมินที่มีสิทธิ์ถาวร
  • ตั้งการแจ้งเตือนการสแกนภายในและการล็อกอินล้มเหลวซ้ำ ๆ ต่อบัญชีแอดมิน เพราะในเคสนี้ผู้บุกรุกทำงานเสียงดังต่อเนื่องหลายเดือนก่อนถูกพบ
  • ถือว่าเซิร์ฟเวอร์ WSUS และระบบกระจายซอฟต์แวร์เป็น Tier 0 แพตช์ให้ทันเวลา จำกัดการเข้าถึงเครือข่าย และไม่เปิดพอร์ต WSUS (8530/8531) ให้เครือข่ายที่ไม่จำเป็น
  • ติดตั้ง EDR ให้ครอบคลุมเซิร์ฟเวอร์จัดการกลางทุกเครื่อง และทำ threat hunting หลังเหตุเพื่อยืนยันว่าไม่มี backdoor หลงเหลือ
  • เมื่อพบบัญชีถูกขโมย ให้เปลี่ยนรหัสผ่านทุกบัญชีที่เกี่ยวข้อง และตรวจเอกสารที่ถูกเข้าถึงเพื่อประเมินข้อมูลที่อาจรั่ว

แหล่งอ้างอิง