สรุปสั้น
CVE-2025-8088 คือ ช่องโหว่ path traversal ใน WinRAR ที่บริษัท ESET ค้นพบเมื่อปีที่แล้ว และถูกกลุ่มสายรัสเซียใช้โจมตียูเครนผ่านไฟล์ RAR มาต่อเนื่อง ล่าสุดรายงาน APT Activity Report ไตรมาส 2-3 ปี 2569 ของ ESET เผยแคมเปญที่ยังดำเนินอยู่ในยูเครน ซึ่งนำช่องโหว่เดิมนี้ไปเจาะเมลเซิร์ฟเวอร์ MDaemon โดยไม่ต้องให้ใครเปิดหรือคลิกอะไรเลย MDaemon ใช้โปรแกรมแอนตี้ไวรัส ClamAV สแกนไฟล์แนบขาเข้า แต่ยังพกไลบรารี libclamunrar.dll รุ่นเก่าที่มีช่องโหว่มาด้วย แม้ ClamAV จะแก้ไปตั้งแต่ 27 กรกฎาคม 2568 แล้ว
ผู้โจมตีจึงแค่ส่งไฟล์ RAR ที่สร้างมาเฉพาะไปยังที่อยู่อีเมลใดก็ได้บนเซิร์ฟเวอร์ MDaemon ที่มีช่องโหว่ เมื่อเซิร์ฟเวอร์เรียก ClamAV มาสแกน exploit จะทำงานและเขียน DLL อันตรายลงระบบไฟล์ของเมลเซิร์ฟเวอร์ ESET ยังโยงแคมเปญนี้กับกลุ่มสายรัสเซียที่รู้จักไม่ได้ ส่วน CERT-UA ติดตามมัลแวร์ 2 ตระกูลที่ใช้ในชื่อ HELLAGE และ HELLTAG MDaemon แก้แล้วในเวอร์ชัน 26.0.4 เมื่อ 25 สิงหาคม 2569 ผู้ดูแลควรอัปเกรดทันทีและตรวจว่าไลบรารี ClamAV ที่มากับเซิร์ฟเวอร์เป็นรุ่นใหม่จริง
รายละเอียดข่าว
เว็บไซต์ GBHackers รายงานเมื่อวันที่ 31 ตุลาคม 2569 ว่า ESET อธิบายแคมเปญนี้ในรายงาน APT Activity Report ที่เผยแพร่ช่วงปลายเดือนตุลาคม เป้าหมายที่พบ คือ หน่วยงานในยูเครน และผู้โจมตีไม่ใช้เหยื่อล่อใด ๆ ในอีเมล เพราะไม่ต้องมีคนเปิดข้อความ กระบวนการสแกนของเมลเซิร์ฟเวอร์เองเป็นตัวรัน exploit
ไทม์ไลน์ของการแก้ไข คือ ClamAV ออกแพตช์ CVE-2025-8088 เมื่อ 27 กรกฎาคม 2568 แต่ MDaemon ยังจัดส่ง libclamunrar.dll รุ่นเก่าต่อมา จนออกเวอร์ชัน 26.0.4 แก้ปัญหาเมื่อ 25 สิงหาคม 2569 ช่วงห่างกว่าหนึ่งปีนี้เองที่ทำให้เซิร์ฟเวอร์ซึ่งดูเหมือนอัปเดตแอนตี้ไวรัสแล้วยังมีช่องโหว่อยู่ รุ่นของ ClamAV ที่แก้แล้ว คือ 1.4.6 และ 1.5.4
ข้อจำกัดของหลักฐาน คือ ESET ระบุตัวกลุ่มที่อยู่เบื้องหลังไม่ได้ บอกได้เพียงว่าสอดคล้องกับรัสเซีย และรายงานที่สื่อนำมาเผยแพร่ไม่ได้ระบุจำนวนเซิร์ฟเวอร์ที่ถูกเจาะหรือ IoC ของ HELLAGE และ HELLTAG
วิธีการโจมตี
ใช้เครื่องสแกนเป็นตัวรัน exploit — สาเหตุ คือ ส่วนประกอบแตกไฟล์ RAR ใน ClamAV รุ่นเก่ามีช่องโหว่ path traversal (การใส่ ../ ในชื่อไฟล์เพื่อเขียนไฟล์ออกนอกโฟลเดอร์ที่กำหนด) แบบเดียวกับ WinRAR เมื่อเครื่องสแกนแตกไฟล์เพื่อตรวจ มันจึงเขียนไฟล์ไปยังตำแหน่งที่ผู้โจมตีเลือก
ขั้นตอนการโจมตี — ผู้โจมตีสร้างไฟล์ RAR ที่ใช้ช่องโหว่ CVE-2025-8088 แล้วแนบไปกับอีเมลส่งถึงที่อยู่ใดก็ได้บนเซิร์ฟเวอร์ MDaemon ที่มีช่องโหว่ MDaemon เรียก ClamAV สแกนไฟล์แนบ การสแกนกระตุ้น exploit และ exploit เขียน DLL อันตรายลงระบบไฟล์ของเมลเซิร์ฟเวอร์ ไม่มีขั้นตอนใดต้องพึ่งการกระทำของผู้ใช้
เงื่อนไข — กระทบ MDaemon รุ่นก่อน 26.0.4 ที่พก libclamunrar.dll รุ่นเก่า ผู้โจมตีต้องการเพียงที่อยู่อีเมลหนึ่งที่อยู่บนเซิร์ฟเวอร์นั้น
สิ่งที่ตามมา — CERT-UA ติดตามมัลแวร์ในแคมเปญนี้เป็น HELLAGE และ HELLTAG คำแนะนำของ ESET ที่ให้ตามล่าการเชื่อมต่อไปยังเซิร์ฟเวอร์สั่งการที่ไม่รู้จักและทราฟฟิก Telegram bot API จากเมลเซิร์ฟเวอร์ บ่งชี้ช่องทางที่มัลแวร์อาจใช้สื่อสาร
ผลกระทบ
กลุ่มที่เสี่ยงโดยตรง คือ หน่วยงานในยูเครนที่ใช้ MDaemon และองค์กรในยุโรปที่ใช้ MDaemon รุ่นเก่า ซึ่ง ESET แนะนำให้ถือว่าเซิร์ฟเวอร์ที่ยังไม่แพตช์อาจถูกเจาะแล้ว เมลเซิร์ฟเวอร์เก็บการสื่อสารอ่อนไหวขององค์กรทั้งหมด จึงเป็นเป้าหลักของกลุ่มจารกรรม และกลุ่มสายรัสเซียเคยใช้ช่องโหว่ webmail ขโมย credential และความลับ 2FA มาแล้ว
บทเรียนที่ใหญ่กว่า คือ ความเสี่ยงจากไลบรารีที่ฝังมากับผลิตภัณฑ์ ผู้ดูแลที่อัปเดตฐานข้อมูลไวรัสสม่ำเสมออาจเข้าใจว่าระบบปลอดภัย ทั้งที่ตัวเอนจินและไลบรารีที่ผู้ผลิตจัดส่งยังเก่ากว่าแพตช์ต้นทางนานกว่าหนึ่งปี
คำแนะนำ
- อัปเกรด MDaemon เป็นเวอร์ชัน 26.0.4 ขึ้นไปทันที และตรวจว่าไลบรารี ClamAV ที่มาด้วย รวมถึง libclamunrar.dll ถูกอัปเดตเป็นรุ่นที่แก้แล้ว (ClamAV 1.4.6 หรือ 1.5.4)
- ตรวจระบบไฟล์ของเมลเซิร์ฟเวอร์หา DLL ที่ไม่คาดคิดนอกโฟลเดอร์ปกติ โดยเฉพาะไฟล์ที่สร้างหลังได้รับอีเมลที่มี RAR แนบ
- ตามล่าการเชื่อมต่อขาออกจากเมลเซิร์ฟเวอร์ไปยังเซิร์ฟเวอร์สั่งการที่ไม่รู้จัก และทราฟฟิกไปยัง Telegram bot API
- ตรวจกล่องจดหมายหาการเข้าถึงโดยไม่ได้รับอนุญาตหรือการดึงข้อความจำนวนมาก
- จำกัดการเชื่อมต่ออินเทอร์เน็ตขาออกของเมลเซิร์ฟเวอร์เฉพาะที่จำเป็น
- ระยะยาว ทำบัญชีไลบรารีบุคคลที่สามที่ฝังมากับผลิตภัณฑ์ (SBOM) และตรวจเวอร์ชันเทียบกับแพตช์ต้นทาง ไม่ใช่ดูแค่เวอร์ชันของผลิตภัณฑ์หลัก