สรุปสั้น
บริษัท BeyondTrust เปิดเผยว่ากลุ่มจารกรรมไซเบอร์ที่เชื่อมโยงกับจีนชื่อ Armory Castle (เดิมติดตามในชื่อ UNC5221 หรือ Warp Panda) ใช้ช่องโหว่ CVE-2026-102764 ใน BeyondTrust Remote Support (ชื่อเดิม Bomgar) เป็น zero-day ตั้งแต่ปลายเดือนสิงหาคม 2569 ช่องโหว่มีคะแนน CVSS 9.3 เกิดจากคอมโพเนนต์รับส่งข้อความภายในไม่ตรวจสอบต้นทางของข้อความที่ได้รับ ทำให้ผู้โจมตีจากระยะไกลดำเนินการกับไฟล์บนอุปกรณ์ได้ ตามไทม์ไลน์ของ BeyondTrust ผู้โจมตีใช้ช่องโหว่กับอุปกรณ์แบบติดตั้งเองเพียงเครื่องเดียวเมื่อวันที่ 29 สิงหาคม และ BeyondTrust เริ่มล่าหากิจกรรมลักษณะเดียวกันหลังมีการเปิดเผยการเจาะผู้ให้บริการอุปกรณ์ความปลอดภัยอีกรายเมื่อ 27 กันยายน
บริษัท Mandiant ในเครือ Google ซึ่งร่วมสอบสวน พบว่าหลังเจาะสำเร็จ ผู้โจมตีฝังเว็บเชลล์ PHP ขนาดเล็กชื่อ SAWFLY ยกสิทธิ์จนควบคุมอุปกรณ์ได้ทั้งหมด ดึงข้อมูลรับรองจากคลังความลับของอุปกรณ์ แล้วใช้รายการ Jump Items ที่อยู่ในอุปกรณ์เปิดเซสชันรีโมตเข้าไปยังเครื่องปลายทางภายในองค์กร ลูกค้า Remote Support แบบ SaaS ได้รับแพตช์ครบตั้งแต่ 9 ตุลาคม ส่วนลูกค้าที่ติดตั้งเองต้องอัปเดตด้วยตัวเอง และ Mandiant แนะนำให้ถือว่าอุปกรณ์ที่เปิดสู่อินเทอร์เน็ตด้วยเวอร์ชันที่มีช่องโหว่ในช่วงที่มีการโจมตีอาจถูกเจาะแล้ว จนกว่าจะตรวจสอบเสร็จ
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 ตุลาคม 2569 ว่า BeyondTrust ออกประกาศ BT26-05 ระบุว่า “ช่องโหว่อยู่ภายในคอมโพเนนต์ภายในของ Remote Support คอมโพเนนต์ไม่ได้ตรวจสอบต้นทางของข้อความที่ได้รับอย่างเพียงพอ ภายใต้เงื่อนไขที่เหมาะสม อาจถูกใช้ดำเนินการกับไฟล์บนอุปกรณ์ได้” ลูกค้าแบบติดตั้งเองที่ใช้เวอร์ชัน 24.3.1 ถึง 26.2.3 ต้องติดตั้งแพตช์ BT26-05-RS เอง ส่วนเวอร์ชันที่เก่ากว่า 24.3.1 ต้องอัปเกรดก่อนจึงจะติดตั้งแพตช์ได้
Armory Castle เคลื่อนไหวมาตั้งแต่อย่างน้อยตุลาคม 2566 และมีประวัติใช้ zero-day ใน Citrix NetScaler (CVE-2023-4966) และ Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 และ CVE-2025-0282) เพื่อเจาะหลายภาคส่วน ทั้งสำนักงานกฎหมาย ผู้ให้บริการ SaaS บริษัท BPO เทคโนโลยี และหน่วยงานรัฐ เพื่อเก็บข่าวกรองระยะยาว BeyondTrust ระบุว่า “ผู้ก่อภัยใช้ zero-day อย่างเลือกสรรกับเป้าหมายที่คัดไว้ และเมื่อช่องโหว่เป็นที่รู้จักแล้ว มักเปลี่ยนไปโจมตีวงกว้างกับทุกเครื่องที่ยังไม่แพตช์”
BeyondTrust ยังประเมินว่า “ผู้ก่อภัยเลือกซอฟต์แวร์มูลค่าสูงเป็นเป้าหมายไว้ล่วงหน้า และเก็บแบบจำลองการทำงานของผลิตภัณฑ์เป้าหมายไว้ในบริบท AI ที่ใช้อย่างต่อเนื่องเพื่อพัฒนา exploit chain” นักวิจัยของ GTIG และ Mandiant ระบุว่าตลอดการบุกรุก Armory Castle แสดงความเข้าใจโครงสร้างภายในของอุปกรณ์ BeyondTrust อย่างลึกซึ้ง ทั้งการใช้เครื่องมือ CLI เฉพาะของผู้ผลิต เทมเพลต config ตอนเริ่มระบบ และการกำหนดเส้นทาง reverse proxy ภายในเครื่อง
รายละเอียดช่องโหว่
CVE-2026-102764 เป็นช่องโหว่ประเภทตรวจสอบต้นทางไม่ถูกต้อง (improper origin validation) ในคอมโพเนนต์รับส่งข้อความภายในของ Remote Support ผู้โจมตีจากระยะไกลใช้มันดำเนินการกับไฟล์บนอุปกรณ์ได้ ซึ่งในกรณีนี้นำไปสู่การวางเว็บเชลล์ SAWFLY ที่ให้การเข้าถึงแบบโต้ตอบและช่องทาง C2 เข้ารหัสสองทิศทาง ผู้โจมตีซ่อนทราฟฟิกผ่าน VPN เชิงพาณิชย์และเราเตอร์บ้านหรือสำนักงานขนาดเล็กที่ถูกยึด จากนั้น Mandiant บันทึกการกระทำหลังเจาะไว้ดังนี้
- คัดลอก
/bin/shไปเป็น/usr/bin/dbus-authdเปลี่ยนเจ้าของเป็น root และเปิด SUID เพื่อให้ได้สิทธิ์ root บนอุปกรณ์ - ใช้เครื่องมือ CLI เฉพาะ
/ns/sbin/bt-secretsดึงรหัสผ่าน API key และข้อมูลรับรองของเครื่องปลายทางจากฐานข้อมูลความลับของอุปกรณ์ - แก้เทมเพลต config ของ BeyondTrust เพื่อให้บัญชีบริการของไซต์ได้สิทธิ์ root โดยไม่ต้องใช้รหัสผ่าน และคงอยู่แม้รีบูต
- ใช้ข้อมูลรับรองผู้ดูแลที่ขโมยมาเข้าแอป Remote Support สำรวจระบบ แล้วเปิดเซสชันรีโมตไปยังเครื่องปลายทางที่อยู่ในรายการ Jump Items เพื่อเข้าถึงระบบไฟล์ทั้งหมดและนำเอกสารภายในออกไป
- ทำ tunnel ทราฟฟิกผ่านอุปกรณ์ด้วย BARECLAW เครื่องมือ SOCKS5 proxy ภาษา C ที่สร้างเอง และแก้
/ns/config/haproxy.confให้ BARECLAW เข้าถึงได้จากอินเทอร์เน็ตโดยตรง - ลบล็อกระบบ ล็อกเว็บเซิร์ฟเวอร์ และล็อกระดับแอปพลิเคชันอย่างเป็นระบบเพื่อขัดขวางการตรวจจับ
ผลกระทบ
เครื่องมือ remote support อย่าง BeyondTrust ถูกออกแบบมาให้เข้าถึงเครื่องอื่นในองค์กรด้วยสิทธิ์สูงอยู่แล้ว การยึดเซิร์ฟเวอร์ได้จึงเท่ากับได้กุญแจเข้าระบบปลายทางทั้งหมดที่ลงทะเบียนไว้ใน Jump Items พร้อมข้อมูลรับรองในคลังความลับ ซึ่งทำให้การเคลื่อนที่ภายในดูเหมือนการทำงานปกติของฝ่ายไอที การลบล็อกอย่างเป็นระบบยังทำให้การสืบสวนย้อนหลังยากขึ้นมาก
จากรูปแบบที่ BeyondTrust อธิบาย ช่วงที่น่ากังวลที่สุดคือหลังการเปิดเผย เพราะกลุ่มนี้มักเปลี่ยนจากการโจมตีแบบเลือกเป้าไปสู่การไล่เจาะทุกเครื่องที่ยังไม่แพตช์ องค์กรที่ใช้ Remote Support แบบติดตั้งเองและเปิดสู่อินเทอร์เน็ตจึงต้องเร่งทั้งแพตช์และตรวจหาร่องรอย นี่ยังเป็นอีกกรณีในแนวโน้มที่กลุ่มจารกรรมจีนเล็งอุปกรณ์ขอบเครือข่ายและซอฟต์แวร์บริหารจัดการ ต่อจาก Ivanti และ Citrix
คำแนะนำ
- ลูกค้า Remote Support แบบติดตั้งเองเวอร์ชัน 24.3.1–26.2.3 ติดตั้งแพตช์ BT26-05-RS ทันที เวอร์ชันเก่ากว่า 24.3.1 ต้องอัปเกรดก่อน ลูกค้า SaaS ได้รับแพตช์แล้วตั้งแต่ 9 ต.ค.
- ถืออุปกรณ์ที่เปิดสู่อินเทอร์เน็ตด้วยเวอร์ชันที่มีช่องโหว่ในช่วงที่มีการโจมตีว่าอาจถูกเจาะ จนกว่าจะตรวจสอบเสร็จ
- ตรวจหาไฟล์
/usr/bin/dbus-authdที่มี SUID, การเรียกใช้/ns/sbin/bt-secretsที่ผิดปกติ, การแก้ไข/ns/config/haproxy.confและเทมเพลต config, ไฟล์ PHP แปลกปลอมในส่วนเว็บ และช่องว่างของล็อกที่ถูกลบ - หากพบร่องรอย ให้ rotate ข้อมูลรับรองทั้งหมดที่เก็บในอุปกรณ์ รวมถึงบัญชีของเครื่องใน Jump Items และตรวจสอบเซสชันรีโมตย้อนหลังไปยังเครื่องปลายทาง
- จำกัดการเข้าถึงหน้าผู้ดูแลของ Remote Support จากอินเทอร์เน็ต ส่งล็อกออกไปเก็บนอกอุปกรณ์แบบเรียลไทม์ และทบทวนรายการ Jump Items ให้เหลือเท่าที่จำเป็น