CL-UNK-1211 ใช้สคริปต์ที่ AI ช่วยเขียนเจาะเซิร์ฟเวอร์ Linux ภาครัฐ — ฝังเว็บเชลล์ผ่าน auto_prepend_file, ดักรหัส sudo ด้วย alias ปลอม และติดตั้ง SysGoRAT

สรุปสั้น

ทีม Unit 42 ของบริษัท Palo Alto Networks รายงานแคมเปญของกลุ่มที่ติดตามในชื่อ CL-UNK-1211 ซึ่งใช้สคริปต์ที่ AI ช่วยเขียนเจาะเซิร์ฟเวอร์ Linux ของหน่วยงานภาครัฐ ขโมยข้อมูลรับรองของผู้ดูแลระบบ และฝังแบ็กดอร์ถาวร ระหว่างเดือนตุลาคม 2568 ถึงเมษายน 2569 ตามกรอบของ Unit 42 คำว่า “UNK” หมายความว่ายังไม่สามารถระบุได้ว่าเป็นกลุ่มที่รัฐหนุนหรือมีแรงจูงใจทางการเงิน และพฤติกรรมเก็บข่าวกรองที่พบก็ยังไม่ได้ยืนยันความเชื่อมโยงกับรัฐใด

นักวิจัยพบคำอธิบายในรูปแบบบทสนทนาและการให้เหตุผลทีละขั้นแบบนักพัฒนาอยู่ในสคริปต์ PHP และ shell ที่เป็นอันตราย บ่งชี้ว่าผู้โจมตีคัดลอกผลลัพธ์จาก LLM มาใช้ตรง ๆ หรือใช้ AI agent อัตโนมัติ แต่ AI ก็ไม่ได้รับประกันว่าโค้ดจะใช้งานได้ สคริปต์รวบรวมอีเมล zip_mails.sh มีไวยากรณ์ผิดจนรันไม่สำเร็จ Unit 42 จึงแยกให้ชัดว่าการขโมยอีเมลหรือการเจาะแบบอัตโนมัติเต็มรูปแบบยังไม่ใช่สิ่งที่ยืนยันได้

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 17 ตุลาคม 2569 ว่า Unit 42 บันทึกกิจกรรมของกลุ่มนี้ตั้งแต่การสำรวจระบบ การดัมป์ฐานข้อมูล ไปจนถึงความพยายามขโมยอีเมลของหน่วยงานรัฐที่ผูกกับบัญชีโซเชียลมีเดีย หลักฐานที่สนับสนุนการใช้ AI ได้แก่ คำสั่งที่เข้ารหัส Base64 หัวข้อที่จัดโครงสร้างเป็นระเบียบ และการสลับภาษา PHP, JavaScript, Bash และ Python ไปมา แม้หลักฐานเหล่านี้จะไม่ได้พิสูจน์ด้วยตัวเองว่าเป็นการทำงานอัตโนมัติ

ผู้โจมตีไล่ดูไดเรกทอรี /var/qmail/mailnames/ และใช้สคริปต์ search_social.php ค้นหาข้อความที่เกี่ยวกับโซเชียลมีเดีย ดัมป์ฐานข้อมูลเป็นไฟล์บีบอัดในเครื่องก่อนพยายามส่งออกผ่านโครงสร้างของผู้โจมตีและบริการฝากไฟล์ที่ถูกกฎหมาย โดย Unit 42 แยกความพยายามเหล่านี้ออกจากการส่งออกที่ยืนยันว่าสำเร็จ Cortex XDR บล็อกความพยายามปิดโพรเซสของตัวเองได้

วิธีการโจมตี

• คงอยู่ในระบบผ่าน PHP — ติดตั้งเว็บเชลล์ทั้งแบบเขียนเองและแบบสาธารณะ แล้วแก้ค่า auto_prepend_file ของ PHP ในคอนฟิกใต้ /etc/php/ และ /opt/plesk/php/ ให้รันไฟล์อันตรายก่อนสคริปต์ PHP อื่นทุกตัว ครอบคลุมทุกแอปที่โฮสต์อยู่ ไฟล์หนึ่งปลอมชื่อเป็น /usr/lib/php/plesk_sys_driver.php
• ขโมยรหัสผ่าน — แก้ไฟล์ .bashrc ให้ alias คำสั่ง sudo แสดงหน้าขอรหัสผ่านที่ดูสมจริง บันทึกรหัสที่กรอกแล้วส่งต่อให้ sudo จริง ล็อกรหัสผ่านถูกเก็บในไฟล์ Solarwinds.StatusLog.txt เพื่อปลอมเป็นกิจกรรมของซอฟต์แวร์ปกติ (ไม่พบหลักฐานว่าโครงสร้างของ SolarWinds ถูกเจาะ) ยังแก้หน้าล็อกอิน PHP เพื่อดักรหัสผู้ดูแล และค้นไฟล์คอนฟิกกับประวัติคำสั่งหารหัส SMTP อีเมล และฐานข้อมูล
• SysGoRAT — โทรจันควบคุมระยะไกลเขียนด้วย Go รองรับทั้ง Linux และ Windows สื่อสารผ่าน WebSocket ค่าเริ่มต้นไปที่ 104.194.158[.]65:443 สั่งรันคำสั่ง ไล่ดูไดเรกทอรี เปิด shell แบบโต้ตอบ และทำ TCP proxy ได้ คงอยู่ผ่าน systemd และ cron บน Linux หรือ registry และ scheduled task บน Windows ไบนารีปลอมชื่อเป็น sys-control-client, pip2.7, ea_install และ semanage
• reverse shell ในหน่วยความจำ — ใช้ Netcat, Bash และ Python เชื่อมไปยังเซิร์ฟเวอร์ C2 อย่างน้อย 7 แห่ง ลดร่องรอยบนดิสก์
• ลบร่องรอย — ล้างล็อกการยืนยันตัวตน อีเมล ระบบปฏิบัติการ และเว็บเซิร์ฟเวอร์ ลบสคริปต์ชั่วคราว ย้อนเวลาเข้าถึงและแก้ไขไฟล์ (Timestomp, MITRE ATT&CK T1070.006) และวางเครื่องหมาย RedTeamOps2025 กับ pentest123 ให้ดูเหมือนการทดสอบที่ได้รับอนุญาต

ผลกระทบ

เซิร์ฟเวอร์เว็บและอีเมลของหน่วยงานรัฐที่ใช้ Plesk หรือโฮสต์หลายแอปบนเครื่องเดียว เป็นเป้าที่ให้ทั้งข้อมูลอีเมล ฐานข้อมูล และบัญชีโซเชียลมีเดียของหน่วยงาน ซึ่งนำไปใช้ต่อในการปลอมตัวหรือปฏิบัติการข่าวสารได้ การแก้ auto_prepend_file ทำให้แบ็กดอร์ทำงานกับทุกแอป PHP บนเครื่อง และรอดจากการลบเว็บเชลล์ทีละไฟล์ การดักรหัส sudo ยังให้ผู้โจมตีได้สิทธิ์ root โดยไม่ต้องใช้ช่องโหว่

ในภาพกว้าง กรณีนี้แสดงว่า AI ลดอุปสรรคให้ผู้โจมตีผลิตเครื่องมือหลายภาษาได้เร็วขึ้น แม้คุณภาพจะยังไม่สม่ำเสมอ ส่วนการวางเครื่องหมายปลอมเป็นการทดสอบเจาะระบบอาจทำให้ทีมตอบสนองลังเลหรือจัดลำดับความสำคัญผิด

คำแนะนำ

• เฝ้าระวังการเปลี่ยนแปลงค่า auto_prepend_file และ auto_append_file ในไฟล์ php.ini และคอนฟิกย่อยทั้งหมด รวมถึงใต้ /opt/plesk/php/
• ตรวจ .bashrc, .bash_profile และไฟล์ shell profile ของผู้ดูแลระบบหา alias หรือฟังก์ชันที่ครอบคำสั่ง sudo
• ตรวจหาไฟล์ PHP ที่ปลอมชื่อเป็นส่วนประกอบระบบ เช่น plesk_sys_driver.php ไฟล์ล็อกชื่อแปลก เช่น Solarwinds.StatusLog.txt และบริการ systemd หรือ cron ที่ใช้ชื่อไบนารีข้างต้น
• เปิดใช้การควบคุมทราฟฟิกขาออกอย่างเข้มงวด และตรวจจับเครื่องมือ Linux มาตรฐานที่เปิด shell แบบโต้ตอบ
• อย่าเชื่อเครื่องหมาย “red team” หรือ “pentest” ที่พบบนเครื่องโดยไม่ยืนยันกับทีมที่รับผิดชอบการทดสอบจริง
• หากพบร่องรอย ให้เปลี่ยนรหัสผ่านผู้ดูแล รหัส SMTP และฐานข้อมูลทั้งหมด และตรวจบัญชีโซเชียลมีเดียของหน่วยงานที่ผูกกับอีเมลบนเซิร์ฟเวอร์

Indicators of Compromise (IoCs)

แหล่งอ้างอิง

• AI-Assisted Hackers Compromise Government Linux Servers to Deploy Backdoors and Steal Credentials — GBHackers
• AI-Assisted Campaign Targets Linux Infrastructure — Palo Alto Networks Unit 42