สรุปสั้น

บริษัท Group-IB ร่วมกับ NyxLab เปิดเผยผลสอบสวนแคมเปญขนาดใหญ่ที่ไล่เจาะอุปกรณ์ขอบเครือข่ายที่เปิดออกอินเทอร์เน็ต โดยเฉพาะไฟร์วอลล์ Fortinet FortiGate และ Palo Alto Networks GlobalProtect ผู้อยู่เบื้องหลังคืออาชญากรไซเบอร์ที่ใช้ชื่อ k0t หรือ CryptoFeel, Member19 และ QazWsxShop ซึ่งเริ่มปรากฏตัวเมื่อ 22 ตุลาคม 2568 นักวิจัยประเมินว่า k0t ทำหน้าที่เป็นนายหน้าขายสิทธิ์เข้าถึง (initial access broker) หรือพันธมิตรของกลุ่มแรนซัมแวร์ Qilin และ The Gentlemen เพราะเหยื่อหลายรายของแคมเปญนี้ไปปรากฏบนเว็บไซต์รั่วไหลของทั้งสองกลุ่มในภายหลัง แม้ความสัมพันธ์ที่แท้จริงยังไม่ชัดเจน

k0t ไม่ได้เลือกเป้าจากอุตสาหกรรม แต่ไล่หาอุปกรณ์ที่เปิดอยู่ทีละมาก ๆ ผ่านเสิร์ชเอนจินอย่าง FOFA และ ZoomEye แล้วเจาะด้วยสคริปต์ Python ที่เขียนเองสำหรับช่องโหว่ FortiWeb CVE-2025-64446 และ PAN-OS CVE-2026-0257 หรือเดารหัสผ่านทั่วไป จากนั้นเชื่อม VPN เข้าเครือข่าย ขโมย credential เพิ่ม ฝังเครื่องมือรีโมตถูกกฎหมาย และขนข้อมูลออกไปยังคลาวด์ การเจาะส่วนใหญ่เกิดระหว่างกุมภาพันธ์ถึงมิถุนายน 2569 ซึ่งทับช่วงเวลากับแคมเปญ FortiBleed มีการพบ credential ของอุปกรณ์เครือข่ายและข้อมูล LDAP ที่ถูกดึงออกมากว่า 70,000 รายการ และเหยื่อเกือบ 38% อยู่ในภูมิภาคเอเชียแปซิฟิก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 23 ตุลาคม 2569 ตามรายงานร่วมของ Group-IB และ NyxLab ว่าหลักฐานจากการสอบสวนชี้ว่าผู้โจมตีเข้าถึงองค์กรจำนวนมากทั่วโลกได้แล้ว และพยายามเจาะลึกต่อในเหยื่อบางราย จนได้สิทธิ์เข้าถึงระยะไกลแบบถาวรและขโมยข้อมูลออกไป การติดตามกิจกรรมของ k0t ในตลาดมืดพบว่าสนใจซื้อโค้ดโจมตีช่องโหว่ เครื่องมือ และบัญชีพรีเมียมของเสิร์ชเอนจิน metadata อย่าง FOFA และ ZoomEye เป็นพิเศษ

เหยื่อกระจายอยู่ทั่วโลกและหลากหลายอุตสาหกรรม เพราะเป้าหมายถูกเลือกแบบไม่เจาะจง สัดส่วนสูงสุดอยู่ในเอเชียแปซิฟิกเกือบ 38% รองลงมาคือละตินอเมริกา 31.9% ยุโรป 15.8% และตะวันออกกลางกับแอฟริกาเหนือ 12.7% ทั้งที่ k0t ระบุลำดับความสนใจของตัวเองไว้ที่สหรัฐฯ และแคนาดาก่อน ตามด้วยยุโรปและตลาดเอเชียแปซิฟิกบางประเทศ นักวิจัยระบุว่า “ผลิตภัณฑ์และที่ตั้งของอุปกรณ์ที่เปิดออกอินเทอร์เน็ตดูจะสำคัญกว่าอุตสาหกรรมขององค์กรที่ใช้งาน”

ประเด็นความเชื่อมโยงกับ FortiBleed (2026/10/039 ) Group-IB และ NyxLab พบว่าข้อมูลที่ถูกขโมยในแคมเปญนี้ทับซ้อนกับ FortiBleed “น้อยมาก” และตั้งข้อสังเกตว่าสอดคล้องกับรายงานที่ว่ามีผู้ปฏิบัติการหลายรายอยู่ในกลุ่มกิจกรรม FortiBleed ข้อมูลชุดนี้จึงอาจเป็นชุดข้อมูลแยก กลุ่มย่อยของผู้ปฏิบัติการ หรือปฏิบัติการเข้าถึงที่เกี่ยวข้องกันภายใต้กิจกรรม FortiBleed ในภาพรวม

วิธีการโจมตี

ขั้นแรก k0t สำรวจผ่านเครื่องมือสแกนสาธารณะอย่าง FOFA และ ZoomEye เพื่อนับอุปกรณ์ VPN และไฟร์วอลล์ที่เปิดออกอินเทอร์เน็ต กรองตามผลิตภัณฑ์ แล้วรวมเป็นรายชื่อเป้าหมายที่อาจมีช่องโหว่ ขั้นถัดมาคือเจาะเข้าด้วยช่องโหว่ที่เปิดเผยแล้ว ได้แก่ CVE-2025-64446 ซึ่งเป็น path traversal ใน FortiWeb และ CVE-2026-0257 ซึ่งเป็น authentication bypass ใน PAN-OS และ Prisma Access (2026/10/203 ) ผ่านสคริปต์ Python ที่เขียนเองชื่อ fortnew.py และ exploit_2026_0257.py หากไม่สำเร็จก็ใช้ brute-force ด้วยคู่ชื่อผู้ใช้และรหัสผ่านที่พบบ่อย

เมื่อได้สิทธิ์เข้าถึง ผู้โจมตีเชื่อมต่อเข้าเครือข่ายเหยื่อผ่าน OpenConnect VPN แล้วสำรวจ Active Directory, SMB และซอฟต์แวร์แอนติไวรัสที่ติดตั้งอยู่ พร้อมขโมย credential เพิ่ม เครื่องมือที่ใช้เจาะลึกเข้าไปในเครือข่ายส่วนใหญ่เป็นเครื่องมือผู้ดูแลระบบและเครื่องมือทดสอบเจาะระบบที่ถูกกฎหมาย ได้แก่ NetExec, SoftPerfect, Impacket, noPac, Kerbrute, PetitPotam และ Mimikatz

การคงอยู่ในระบบอาศัยเครื่องมือรีโมตถูกกฎหมายอย่าง MeshCentral Agent, Atera, Teramind และ AnyDesk รวมถึงเฟรมเวิร์กจำลองผู้โจมตีแบบโอเพนซอร์ส AdaptixC2 ส่วนข้อมูลที่เก็บได้ถูกขนออกด้วย Rclone ไปยังบักเก็ต Wasabi S3 และพื้นที่เก็บข้อมูล MEGA

ผลกระทบ

แคมเปญนี้แสดงให้เห็นว่าอุปกรณ์ขอบเครือข่ายที่เปิดออกอินเทอร์เน็ตกลายเป็นสินค้าที่ถูกคัดกรองอย่างเป็นระบบ ผู้โจมตีไม่ต้องสนใจว่าองค์กรทำธุรกิจอะไร ขอแค่ใช้ผลิตภัณฑ์ที่ตรงกับเครื่องมือในมือและยังไม่แพตช์ องค์กรทุกขนาดที่มี FortiGate, FortiWeb หรือ GlobalProtect เปิดอยู่จึงตกเป็นเป้าได้เท่ากัน และเมื่อสิทธิ์เข้าถึงถูกขายต่อให้กลุ่มแรนซัมแวร์อย่าง Qilin และ The Gentlemen การเจาะไฟร์วอลล์เพียงครั้งเดียวก็นำไปสู่การเข้ารหัสและขู่เผยแพร่ข้อมูลได้

สัดส่วนเหยื่อเกือบ 38% ในเอเชียแปซิฟิกสูงกว่าภูมิภาคอื่น แม้ผู้โจมตีจะระบุว่าให้ความสำคัญกับอเมริกาเหนือก่อน สิ่งนี้สะท้อนว่าจำนวนอุปกรณ์ที่ยังมีช่องโหว่หรือใช้รหัสผ่านอ่อนในภูมิภาคนี้มีมาก การใช้เครื่องมือรีโมตและเครื่องมือผู้ดูแลระบบที่ถูกกฎหมายยังทำให้การตรวจจับยากขึ้น เพราะซอฟต์แวร์ความปลอดภัยหลายตัวไม่แจ้งเตือนเครื่องมือเหล่านี้โดยปริยาย

คำแนะนำ

  • แพตช์ FortiWeb (CVE-2025-64446) และ PAN-OS/Prisma Access (CVE-2026-0257) และตรวจว่าไม่มีอินเทอร์เฟซบริหารจัดการเปิดออกอินเทอร์เน็ต
  • บังคับ MFA บน VPN ทุกบัญชี ปิดบัญชีที่ไม่ใช้ และตั้ง lockout เพื่อรับมือ brute-force
  • หากพบสัญญาณการเจาะไฟร์วอลล์ ให้เปลี่ยนรหัสผ่านบัญชี VPN บัญชีบนอุปกรณ์ และบัญชี LDAP/AD ที่เชื่อมกับอุปกรณ์ทั้งหมด
  • ตรวจล็อก VPN หาการเชื่อมต่อจาก OpenConnect หรือจากประเทศและ IP ที่ไม่คาดคิด
  • ทำ allowlist เครื่องมือรีโมต และแจ้งเตือนเมื่อพบ MeshCentral, Atera, Teramind, AnyDesk หรือ AdaptixC2 ที่ไม่ได้รับอนุญาต
  • เฝ้าระวังการใช้ Rclone และการส่งข้อมูลจำนวนมากไปยัง Wasabi S3 หรือ MEGA รวมถึงการใช้ NetExec, Impacket, Kerbrute, PetitPotam และ Mimikatz ภายในเครือข่าย

แหล่งอ้างอิง