สรุปสั้น
บริษัท VULONE ผู้ทำวิจัยด้านข่าวกรองผู้โจมตีและแรนซัมแวร์ เผยแพร่รายงานเมื่อวันที่ 18 ตุลาคม 2569 ว่าผู้โจมตีที่เชื่อมโยงกับจีนและใช้ภาษาจีนรายหนึ่ง ใช้เอเจนต์ AI โจมตีองค์กรทั่วเอเชีย รวมถึงหน่วยงานรัฐของเวียดนามและอินโดนีเซีย ผู้โจมตีใช้ Cairn เฟรมเวิร์กโจมตีอัตโนมัติแบบโอเพนซอร์ส ทำงานร่วมกับโมเดล DeepSeek ผ่าน LLM gateway และรันโปรเจกต์ต่อองค์กรเป้าหมาย 66 โปรเจกต์ระหว่างวันที่ 24 กันยายนถึง 14 ตุลาคม 2569 ในจำนวนนี้ 48 เป้าหมายถูกเข้าถึงได้อย่างน้อยระดับเซสชัน แบ่งเป็นสิทธิ์ root หรือ SYSTEM 6 เป้า รันคำสั่งได้โดยไม่ใช่ root 39 เป้า และอยู่ในขั้นวาง web shell 3 เป้า
ฝั่งอาเซียน เป้าหมายที่ถูกระบุคือกระทรวงกลาโหมเวียดนาม (mod.gov.vn) ซึ่งผู้โจมตีได้สิทธิ์ root ภายในพ็อด Kubernetes กระทรวงความมั่นคงสาธารณะเวียดนาม (mps.gov.vn) ซึ่งรันคำสั่งได้บนเครื่องฐานข้อมูล Oracle และโดเมนรัฐเวียดนามอีก 5 แห่ง ส่วนในอินโดนีเซีย สำนักข่าวกรองแห่งรัฐ (bin.go.id) ถูกรันคำสั่งผ่านช่องโหว่ SSRF และเข้าถึงกล่องอีเมลของบัญชีรัฐได้ ข้อมูลทั้งหมดมาจากเซิร์ฟเวอร์ของผู้โจมตีที่เปิดโฟลเดอร์ /tmp ให้เข้าถึงได้โดยไม่ต้องยืนยันตัวตน VULONE ย้ำว่าผลการเข้าถึงมาจากเครื่องมือของผู้โจมตีเองและยืนยันได้เพียงบางส่วน และยังไม่พบหลักฐานว่ารัฐใดหนุนหลัง
รายละเอียดข่าว
เว็บไซต์ VULONE เผยแพร่รายงานเมื่อวันที่ 18 ตุลาคม 2569 ว่าทีมวิจัยได้รับเบาะแสจากนักวิจัยความปลอดภัย @TheM3gatr0n ถึงเซิร์ฟเวอร์ 202.61.139[.]15 ที่เปิดโฟลเดอร์ /tmp ผ่าน HTTP บนพอร์ต 9000 โดยไม่มีการยืนยันตัวตน ทีมงานดึงไฟล์ที่เปิดอยู่มาวิเคราะห์ และระบุว่าเข้าถึงเครื่องดังกล่าว “ภายใต้การอนุญาต” แต่จงใจไม่เปิดเผยวิธีที่ใช้ ข้อมูลในเซิร์ฟเวอร์เผยให้เห็นงานของผู้โจมตีเกือบทั้งหมด ตั้งแต่รายชื่อเป้าหมาย สคริปต์ ไปจนถึงผลการเข้าถึง
นอกจากเวียดนามและอินโดนีเซีย เป้าหมายยังรวมถึงหน่วยงานรัฐของไต้หวัน เช่น สภานิติบัญญัติ (ly.gov.tw) และระบบที่เชื่อมกับกระทรวงยุติธรรม หน่วยงาน C-DAC ของอินเดีย และบริษัทเอกชนหลายประเทศ เช่น China Airlines, Air India และ Hertz VULONE นับได้ว่าเป้าหมาย 12 รายเป็นโดเมนของรัฐ ไม่มีชื่อหน่วยงานไทยในรายงาน
ด้านการระบุตัว VULONE มั่นใจสูงว่าโครงสร้างสั่งการเป็นของผู้โจมตีรายเดียวหรือกลุ่มเล็ก ๆ ผู้โจมตีใช้ภาษาจีนและมีแรงจูงใจทางการเงิน แต่ภาษาบอกได้เพียงต้นทาง ไม่ใช่ความภักดีต่อรัฐ และไม่พบสัญญาณการหนุนหลังจากรัฐในข้อมูลที่ตรวจ แม้จะไม่ตัดความสนใจของรัฐออกเพราะมีเป้าหมายเป็นหน่วยงานรัฐ รายงานยังระบุว่าใช้เครื่องมือชุดเดียวกับแคมเปญที่ถูกเรียกว่า “SOUL” (Cairn และโมเดลเดียวกัน) แต่ไม่มีหลักฐานว่าเป็นแคมเปญหรือผู้โจมตีเดียวกัน เบาะแสระบุตัวที่ดีที่สุดคือข้อมูลการเรียกเก็บเงินและการลงทะเบียนกับผู้ให้บริการ ซึ่งส่งต่อให้กระบวนการทางกฎหมายแล้ว
วิธีการโจมตี
ผู้โจมตีรัน Cairn ร่วมกับคอนเทนเนอร์ทำงานที่ใช้ Kali Linux ตัวจ่ายงาน และฐานข้อมูล SQLite โดยมีสคริปต์เฝ้าระวังคอยดูแลระบบ และใช้ LLM gateway ที่เรียกโมเดล deepseek-v4.1-flash ผ่านพร็อกซีของบัญชี CodeBuddy ที่ดัดแปลงมา เอเจนต์ AI ไล่ใช้เทคนิคหลากหลายที่ส่วนใหญ่เป็นช่องโหว่เก่าหรือการตั้งค่าผิดพลาด เช่น Shellshock (CVE-2014-6271) ผ่าน SMTP, ช่องโหว่ JBoss Seam (CVE-2010-1871), การข้าม RBAC ของ Kubernetes โดยไม่ยืนยันตัวตน, PL/SQL injection, xp_cmdshell ของ MSSQL, การเขียนไฟล์ผ่าน FTP แบบไม่ระบุตัวตน, SSRF และรหัสผ่านค่าเริ่มต้น admin/admin บนคอนโซล WSO2
สคริปต์ของผู้โจมตีเก็บข้อมูลโครงสร้างระบบภายใน รหัสผ่านฐานข้อมูลแบบข้อความธรรมดา โทเคน API ของผู้ดูแล การตั้งค่าระบบอีเมล และซอร์สโค้ดเท่าที่เข้าถึงได้ ผู้โจมตียังพยายามหลบการตรวจจับด้วยการส่งคำสั่งผ่าน POST เท่านั้นและลบร่องรอย VULONE ไม่พบหลักฐานการขโมยข้อมูลบัตรจำนวนมากหรือการทำลายระบบ
ประเด็นที่น่าสังเกตคือเกือบทั้งหมดไม่ใช่ zero-day แต่เป็นช่องโหว่อายุนับสิบปีและการตั้งค่าที่หละหลวม เอเจนต์ AI ช่วยให้ผู้โจมตีรายเดียวไล่ทดสอบเทคนิคเหล่านี้กับเป้าหมายจำนวนมากพร้อมกันได้ในเวลาไม่กี่สัปดาห์ ซึ่งสอดคล้องกับกรณี Cairn ที่ NorForge รายงานก่อนหน้า (ดูโพสต์ 201)
ผลกระทบ
การที่กระทรวงกลาโหมและกระทรวงความมั่นคงสาธารณะของเวียดนาม รวมถึงสำนักข่าวกรองของอินโดนีเซีย ถูกเข้าถึงด้วยช่องโหว่ระดับพื้นฐาน สะท้อนว่าหน่วยงานรัฐในภูมิภาคยังมีระบบที่ไม่ได้แพตช์และตั้งค่าไม่ปลอดภัยเปิดออกอินเทอร์เน็ต แม้ผู้โจมตีรายนี้จะดูมีแรงจูงใจทางการเงิน แต่ข้อมูลรับรองและโทเคนที่ถูกเก็บจากหน่วยงานด้านความมั่นคงมีมูลค่าสูงต่อผู้ซื้อที่เป็นรัฐ และอาจถูกขายต่อหรือส่งต่อได้
ในภาพใหญ่ กรณีนี้ยืนยันว่าเอเจนต์ AI ทำให้การไล่เจาะเป้าหมายจำนวนมากด้วยเทคนิคเก่ามีต้นทุนต่ำลงมาก หน่วยงานที่เคยคิดว่าตัวเองไม่ใช่เป้าหมายเพราะระบบไม่สำคัญพอ อาจถูกเลือกเพียงเพราะสแกนเจอช่องโหว่ และหน่วยงานในประเทศอาเซียนอื่นที่มีลักษณะระบบคล้ายกันก็เสี่ยงในลักษณะเดียวกัน
คำแนะนำ
- หน่วยงานรัฐสำรวจระบบที่เปิดออกอินเทอร์เน็ตทั้งหมด และแพตช์หรือปิดระบบที่ใช้ซอฟต์แวร์เก่า เช่น JBoss Seam, Bash ที่มี Shellshock และระบบที่ไม่ได้อัปเดตมานาน
- ตรวจ Kubernetes ว่าไม่มี API หรือ RBAC ที่เข้าถึงได้โดยไม่ยืนยันตัวตน และเปลี่ยนรหัสผ่านค่าเริ่มต้นบนคอนโซลผู้ดูแลทุกตัว
- ตรวจเส้นทาง SSRF ที่เข้าถึงบริการภายใน กฎกรองอีเมลที่ไม่ตรวจทุกฟิลด์ของ SMTP และปิด
xp_cmdshellบน MSSQL - มองแพลตฟอร์มที่ใช้ข้อมูลรับรองร่วมกันเป็นพื้นที่เสียหายเดียวกัน และหมุนเวียนรหัสผ่านฐานข้อมูลกับโทเคน API ที่อาจถูกเก็บไป
- ล่าหา IoC ในตารางด้านล่าง และเฝ้าระวังการส่งข้อมูลออกแบบ
PUT /ev/และ User-Agent ที่ระบุในรายงาน - อย่าเปิดโฟลเดอร์ทำงานภายในออกอินเทอร์เน็ต และเฝ้าระวังโปรเซสที่เปิดเสิร์ฟไฟล์โดยไม่คาดคิด
Indicators of Compromise (IoCs)
ข้อมูลจาก VULONE · IP ถูก defang แล้ว ([.]) ต้องแปลงกลับก่อนใช้งาน
| ประเภท | Indicator | คำอธิบาย |
|---|---|---|
| IP | 202.61.139[.]15 | เซิร์ฟเวอร์ของผู้โจมตีที่เปิด /tmp บนพอร์ต 9000 (AS152194 CTG Server Ltd สิงคโปร์) |
| IP | 202.61.139[.]137 | โครงสร้างพื้นฐานของผู้โจมตีในเครือข่ายเดียวกัน |
| ใบรับรอง TLS (SHA256) | 93:17:8D:D2:F9:25:16:EB:D5:24:81:DE:C2:EE:54:68:BF:5E:97:86:83:9E:67:19:CA:E0:69:EC:D8:C5:41:FF | ใบรับรอง self-signed CN=202.61.139.15 ใช้ได้ 3-5 ต.ค. 2569 |
| SSH key comment | us@us-VMware-Virtual-Platform | ความเห็นของกุญแจ ed25519 ของผู้โจมตี |
| พอร์ต | 4445, 4446, 8896, 8899, 8997, 9099, 9201, 9955, 9000 | พอร์ตรับการเชื่อมต่อกลับ ส่งข้อมูลออก และเสิร์ฟไฟล์ |
| HTTP | PUT /ev/ | รูปแบบการส่งข้อมูลออก |
| User-Agent | pi (win32…), pi (linux…), ccswitch, Cairn/1.0 | สตริงไคลเอนต์ที่พบ |