AFRA APACHE ได้ตรวจพบร่องรอยการบุกรุกที่ซับซ้อน และอันตรายอย่างยิ่งบนเซิร์ฟเวอร์เป้าหมาย จากการตรวจสอบพบไฟล์และไดเรกทอรีต้องสงสัย (pwnkit, .pkexec, GCONV_PATH=., .mad-root, adminer.php) ในพื้นที่อัปโหลดไฟล์ ('upload/file') หลักฐานเหล่านี้บ่งชี้อย่างชัดเจนว่าผู้โจมตีได้ใช้ประโยชน์จาก ช่องโหว่ในการอัปโหลดไฟล์ ของเว็บแอปพลิเคชันเป็นประตูแรก

เพื่อลักลอบนำเครื่องมือเจาะระบบเข้ามา จากนั้น ใช้ประโยชน์จาก ช่องโหว่ PwnKit (CVE-2021-4034) ที่ไม่ได้รับการแก้ไขบนระบบปฏิบัติการ Linux เพื่อยกระดับสิทธิ์ของตนเองจากผู้ใช้ธรรมดาขึ้นเป็น ผู้ดูแลระบบสูงสุด (Root)

การเข้าถึงระดับ Root นี้หมายความว่า เซิร์ฟเวอร์ ตกอยู่ภายใต้การควบคุมของผู้บุกรุกโดยสมบูรณ์ ทำให้พวกเขาสามารถขโมยข้อมูลสำคัญ (รวมถึงข้อมูลในฐานข้อมูลผ่าน adminer.php), ลบข้อมูล, ทำลายระบบ, ใช้เซิร์ฟเวอร์เป็นฐานในการโจมตีต่อไป หรือติดตั้ง Backdoor เพื่อการเข้าถึงในระยะยาวได้ เหตุการณ์นี้ตอกย้ำถึงความสำคัญของการอัปเดตแพตช์ความปลอดภัยอย่างเร่งด่วน และการตรวจสอบความปลอดภัยของเว็บแอปพลิเคชันอย่างเข้มงวด

• pwnkit : ช่องโหว่ร้ายแรงใน Polkit pkexec ที่รู้จักกันในชื่อ PwnKit (CVE-2021-4034) ช่องโหว่นี้ช่วยให้ผู้ใช้ที่ไม่มีสิทธิ์ (unprivileged user) บนระบบ Linux สามารถยกระดับสิทธิ์ตัวเองเป็น root (ผู้ดูแลระบบสูงสุด) ได้ ไฟล์ pwnkitจะเป็นสคริปต์ หรือโปรแกรมที่ใช้ในการโจมตีช่องโหว่นี้โดยตรง

• .pkexec (ไดเรกทอรี) : pkexec เป็นคำสั่งของ Polkit ที่มีช่องโหว่ การสร้างไดเรกทอรีชื่อนี้ (หรือไฟล์ที่มีชื่อเกี่ยวข้อง) ในบริบทนี้ เป็นส่วนหนึ่งของเทคนิคการ exploit ช่องโหว่ PwnKit

• GCONV_PATH=. (ไดเรกทอรี) : การตั้งค่า Environment Variable GCONV_PATH ให้ชี้ไปยังไดเรกทอรีปัจจุบัน (.) เป็นเทคนิคสำคัญที่ใช้ร่วมกับการ exploit ช่องโหว่ PwnKit (และช่องโหว่อื่นๆ ที่เกี่ยวกับ glibc) เพื่อบังคับให้ระบบโหลดไลบรารี (shared object) ที่อันตรายจากไดเรกทอรีที่ผู้โจมตีควบคุมได้ แทนที่จะโหลดจากตำแหน่งปกติของระบบ

• .mad-root : ชื่อไฟล์นี้ (ซ่อนอยู่เพราะขึ้นต้นด้วย .) มีคำว่า "root" และดูไม่น่าไว้วางใจ อาจเป็นสคริปต์ ผลลัพธ์ หรือเครื่องมือเพิ่มเติมที่เกี่ยวข้องกับการพยายามยึดสิทธิ์ root

• adminer.php : นี่คือเครื่องมือจัดการฐานข้อมูลยอดนิยมที่เป็นไฟล์ PHP ไฟล์เดียว การพบไฟล์นี้ในไดเรกทอรีอัปโหลดเป็นสัญญาณอันตรายอย่างยิ่ง บ่งชี้ว่าผู้โจมตีได้อัปโหลดเครื่องมือนี้เข้ามาเพื่อเข้าถึง จัดการ หรือขโมยข้อมูลจากฐานข้อมูลของเว็บไซต์ แอปพลิเคชันได้โดยง่าย

• 'upload/file' : ตำแหน่งที่ไฟล์เหล่านี้อยู่ (ในไดเรกทอรีอัปโหลดรูปภาพ) ชี้ให้เห็นว่า ช่องทางแรกที่ผู้โจมตีใช้เข้ามาคือช่องโหว่ในการอัปโหลดไฟล์ ของเว็บแอปพลิเคชัน ทำให้พวกเขาสามารถอัปโหลดไฟล์อันตรายเหล่านี้เข้ามาในเซิร์ฟเวอร์ได้

สรุปเหตุการณ์ที่น่าจะเกิดขึ้น :

• ผู้โจมตีหาช่องโหว่ในเว็บไซต์หรือเว็บแอปพลิเคชันของคุณ ที่อนุญาตให้อัปโหลดไฟล์ประเภทใดก็ได้ (หรือหลอกระบบว่าเป็นไฟล์รูปภาพ) ไปยังไดเรกทอรี 'upload/file'

• ผู้โจมตีอัปโหลดไฟล์ที่จำเป็นสำหรับการ exploit ช่องโหว่ PwnKit (pwnkit, .pkexec, GCONV_PATH=., .mad-root)

• ผู้โจมตีหาวิธีรัน (execute) สคริปต์ pwnkit ที่อัปโหลดเข้าไป (อาจผ่านช่องโหว่อื่น หรือฟังก์ชันบางอย่างของเว็บ)

• การรัน pwnkit สำเร็จ ทำให้ผู้โจมตี ยกระดับสิทธิ์จากผู้ใช้เว็บเซิร์ฟเวอร์ธรรมดา กลายเป็นผู้ใช้ root ซึ่งมีสิทธิ์ควบคุมเซิร์ฟเวอร์ได้ทั้งหมด

• หลังจากได้สิทธิ์ root หรือมีสิทธิ์เขียนไฟล์แล้ว ผู้โจมตีอัปโหลด adminer.php เพื่อเข้าถึงฐานข้อมูล และอาจติดตั้ง Backdoor อื่นๆ เพื่อคงการเข้าถึงไว้

ความร้ายแรง :

นี่เป็นการบุกรุกที่ร้ายแรงมาก บ่งชี้ว่า เซิร์ฟเวอร์ ถูกควบคุมโดยผู้ไม่หวังดีในระดับสูงสุด (root access) สามารถทำอะไรก็ได้บนเซิร์ฟเวอร์ เช่น ขโมยข้อมูลทั้งหมด, ลบข้อมูล, ใช้เซิร์ฟเวอร์ของคุณไปโจมตีผู้อื่น, ติดตั้งมัลแวร์เรียกค่าไถ่, ขุดเหรียญดิจิทัล ฯลฯ

คำแนะนำจาก AFRA APACHE ที่ต้องทำทันที :

• ตัดการเชื่อมต่อเซิร์ฟเวอร์จากเครือข่าย เพื่อป้องกันความเสียหายเพิ่มเติม และการแพร่กระจาย

• ตรวจสอบ และวิเคราะห์ Log เพื่อหาต้นตอ ขอบเขตความเสียหาย

• ล้างข้อมูล ติดตั้งระบบปฏิบัติการใหม่ทั้งหมด (Reinstall/Reimage) การพยายามลบไฟล์เหล่านี้อย่างเดียวอาจไม่เพียงพอ เพราะผู้โจมตีอาจติดตั้ง Backdoor อื่นๆ ไว้ในที่ที่หายากแล้ว

• กู้คืนข้อมูลจาก Backup ที่เชื่อถือได้ (ที่สร้างไว้ก่อนเกิดเหตุ)

• แก้ไขช่องโหว่ ที่เป็นต้นเหตุ (ทั้งช่องโหว่ File Upload และช่องโหว่ PwnKit โดยการอัปเดตระบบปฏิบัติการและ Polkit)

• เปลี่ยนรหัสผ่านทั้งหมด ที่เกี่ยวข้องกับเซิร์ฟเวอร์, ฐานข้อมูล, CMS, บัญชีผู้ใช้ ฯลฯ

• ตรวจสอบความเสียหายของข้อมูล โดยเฉพาะข้อมูลในฐานข้อมูล

ช่องโหว่ในการอัปโหลดไฟล์ (File Upload Vulnerability) บนเว็บแอปพลิเคชัน :

นี่คือ จุดเริ่มต้น ที่เป็นไปได้สูงที่สุด ผู้โจมตีพบวิธีที่จะอัปโหลดไฟล์ที่ไม่ใช่รูปภาพ (เช่น ไฟล์สคริปต์ PHP, ไฟล์โปรแกรม) เข้าไปยังไดเรกทอรี 'upload/file' ได้

สาเหตุอาจเกิดจาก:

• การตรวจสอบประเภทไฟล์ไม่รัดกุม : ระบบอาจตรวจสอบแค่นามสกุลไฟล์ (.jpg, .png) แต่ไม่ได้ตรวจสอบเนื้อหาไฟล์จริงๆ หรือมีวิธีหลอกการตรวจสอบได้

• ไม่มีการจำกัดประเภทไฟล์ : ระบบอนุญาตให้อัปโหลดไฟล์ได้ทุกประเภท

• ช่องโหว่ในไลบรารี/CMS : หากใช้ CMS (เช่น WordPress, Joomla) หรือไลบรารีจัดการการอัปโหลดที่ไม่อัปเดต อาจมีช่องโหว่ที่รู้จักกันดีอยู่แล้ว

ช่องโหว่ในระบบปฏิบัติการ หรือซอฟต์แวร์บนเซิร์ฟเวอร์ (Privilege Escalation Vulnerability) :

• หลังจากอัปโหลดไฟล์เข้ามาได้แล้ว ผู้โจมตีมักจะมีสิทธิ์แค่ในระดับของผู้ใช้เว็บเซิร์ฟเวอร์ (เช่น www-data, apache) ซึ่งมีสิทธิ์จำกัด

• ไฟล์ pwnkit, .pkexec, และ GCONV_PATH=. บ่งชี้ชัดเจนว่าผู้โจมตีใช้ช่องโหว่ PwnKit (CVE-2021-4034) ซึ่งเป็นช่องโหว่ร้ายแรงใน Polkit pkexec บนระบบ Linux หลายรุ่น

• สาเหตุ : เซิร์ฟเวอร์ ไม่ได้อัปเดตแพตช์ความปลอดภัย ของระบบปฏิบัติการ หรือแพ็กเกจ Polkit ทำให้ช่องโหว่ PwnKit ยังคงอยู่ และเปิดโอกาสให้ผู้ใช้ธรรมดาสามารถยกระดับสิทธิ์ตัวเองเป็น root ได้

การขาดการเสริมความแข็งแกร่งของระบบ (Lack of System Hardening) :

• การตั้งค่า Permission ไม่เหมาะสม : ไดเรกทอรีอัปโหลดอาจมีสิทธิ์ในการ execute ไฟล์ได้ ซึ่งไม่ควรจะเป็น

• การไม่ได้ใช้หลักการ Least Privilege : เว็บเซิร์ฟเวอร์อาจรันด้วยสิทธิ์ที่สูงเกินความจำเป็น (แม้ว่า PwnKit จะทำให้ขั้นตอนนี้ไม่จำเป็น แต่ก็เป็นหลักปฏิบัติที่ดี)

• การขาดการตรวจสอบ และเฝ้าระวัง (Monitoring) : การไม่มีระบบตรวจจับความผิดปกติ ทำให้การโจมตีเกิดขึ้น และดำเนินไปได้โดยไม่มีใครสังเกตเห็น

เพราะหลายบริษัท องค์กร อาจคิดว่าติดตั้งระบบรักษาความปลอดภัย (เช่น Firewall, Antivirus, Intrusion Detection System) แล้วก็จบ แต่ความจริงคือ การตรวจสอบอย่างสม่ำเสมอเป็นสิ่งจำเป็นอย่างยิ่ง แม้จะมีระบบเหล่านั้นอยู่แล้วก็ตาม ด้วยเหตุผลดังนี้

ภัยคุกคามใหม่เกิดขึ้นตลอดเวลา (Evolving Threats) :

• แฮกเกอร์ และผู้ไม่หวังดีพัฒนาเทคนิคการโจมตี, มัลแวร์, และช่องโหว่ใหม่ๆ อยู่เสมอ (เหมือนกรณี PwnKit ซึ่งอาจจะถูกค้นพบ หลังจากติดตั้งระบบไปแล้ว)

• ระบบรักษาความปลอดภัยที่มี อาจจะยังไม่รู้จัก หรือไม่สามารถป้องกันภัยคุกคามรูปแบบใหม่ล่าสุดได้ หากไม่ได้รับการอัปเดตฐานข้อมูล หรือ Signature อย่างสม่ำเสมอ

• การตรวจสอบบ่อยๆ ช่วยให้รู้ว่าระบบของยังสามารถรับมือกับภัยคุกคามล่าสุดได้หรือไม่ หรือมีช่องโหว่ใหม่ที่ระบบปัจจุบันยังป้องกันไม่ได้เกิดขึ้น หรือเปล่า

การเปลี่ยนแปลงในระบบของคุณเอง (System Changes) :

• เมื่อติดตั้งซอฟต์แวร์ใหม่ อัปเดตระบบปฏิบัติการ เปลี่ยนแปลงการตั้งค่า (Configuration) เพิ่มผู้ใช้งาน หรือติดตั้ง Plugin ใหม่ๆ การเปลี่ยนแปลงเหล่านี้อาจ สร้างช่องโหว่ใหม่ โดยไม่ได้ตั้งใจ หรือทำให้การตั้งค่าความปลอดภัยเดิมใช้ไม่ได้ผล

• การตรวจสอบบ่อยๆ ช่วยให้แน่ใจว่าการเปลี่ยนแปลงที่เกิดขึ้นไม่ได้เปิดประตูให้ผู้โจมตีเข้ามาได้

การตั้งค่าผิดพลาด หรือเสื่อมประสิทธิภาพ (Configuration Errors & Degradation) :

• การตั้งค่าระบบรักษาความปลอดภัยอาจผิดพลาดได้ตั้งแต่แรก หรืออาจถูกแก้ไขโดยไม่ได้ตั้งใจในภายหลัง ทำให้ประสิทธิภาพลดลง หรือไม่ทำงานตามที่ควรจะเป็น

• ซอฟต์แวร์รักษาความปลอดภัยเองก็ต้องการการอัปเดต (Patch) เพื่อแก้ไขข้อผิดพลาด (Bug) หรือช่องโหว่ในตัวมันเอง

• การตรวจสอบบ่อยๆ ช่วยยืนยันว่าระบบยังคงทำงานถูกต้องตามที่ตั้งค่าไว้ และได้รับการอัปเดตอยู่เสมอ

เพื่อยืนยันว่าระบบทำงานได้จริง (Verification of Effectiveness) :

• การมีระบบอยู่ ไม่ได้หมายความว่ามันทำงานได้ผล 100% เสมอไป การมี Firewall ไม่ได้แปลว่า Rule ทุกข้อถูกต้อง และป้องกันได้ทุกอย่าง การมี Antivirus ไม่ได้แปลว่ามันจะจับมัลแวร์ได้ทุกตัว

• การตรวจสอบบ่อยๆ (เช่น การทำ Vulnerability Scan หรือ Penetration Test จำลอง) เป็นการทดสอบว่าระบบป้องกันที่มีอยู่ สามารถตรวจจับ และป้องกันการโจมตีในสถานการณ์จริงได้หรือไม่

ปัจจัยมนุษย์ (Human Factor) :
• ผู้ใช้งานอาจตั้งรหัสผ่านที่ไม่แข็งแรง เผลอคลิกลิงก์ Phishing หรือดาวน์โหลดไฟล์อันตรายโดยไม่ตั้งใจ ซึ่งระบบรักษาความปลอดภัยอาจป้องกันได้บางส่วน แต่ไม่ใช่ทั้งหมด การตรวจสอบบ่อยๆ อาจช่วยตรวจพบกิจกรรมที่น่าสงสัยซึ่งเกิดจากความผิดพลาดของผู้ใช้ได้

ข้อกำหนด และมาตรฐาน (Compliance & Regulations) :
• ในหลายอุตสาหกรรม มีข้อกำหนดหรือกฎหมายบังคับให้ต้องมีการตรวจสอบ และประเมินความปลอดภัยอย่างสม่ำเสมอ (เช่น PCI DSS สำหรับธุรกิจบัตรเครดิต)

สรุป : การโจมตีที่ใช้ประโยชน์จากช่องโหว่หลายชั้น ตั้งแต่เว็บแอปพลิเคชันไปจนถึงระบบปฏิบัติการ เน้นย้ำถึงความจำเป็นในการมีมาตรการรักษาความปลอดภัยเชิงรุก การอัปเดตที่สม่ำเสมอ, และการเฝ้าระวังอย่างต่อเนื่อง ซึ่ง AFRA APACHE พร้อมให้บริการเพื่อปกป้อง บริษัท และองค์กรของคุณ

อย่ารอให้สายเกินแก้! AFRA APACHE คือพันธมิตรด้านความปลอดภัยไซเบอร์ที่วางใจได้

AFRA APACHE ให้บริการครบวงจรเพื่อปกป้องสินทรัพย์ดิจิทัลอันมีค่าของคุณ และบริษัท องค์กร :

• บริการประเมินช่องโหว่ และทดสอบเจาะระบบ (Vulnerability Assessment & Penetration Testing) : ค้นหาจุดอ่อนเชิงรุก ทั้งในเว็บแอปพลิเคชัน และโครงสร้างพื้นฐาน ก่อนที่แฮกเกอร์จะเจอ!

• บริการเฝ้าระวัง และตรวจจับภัยคุกคาม (Managed Detection & Response - MDR) : ทีมผู้เชี่ยวชาญของเราเฝ้าระวังระบบของคุณ 24/7 ตรวจจับ และตอบสนองต่อการโจมตีแบบเรียลไทม์

• บริการให้คำปรึกษา และเสริมความแข็งแกร่งของระบบ (Security Hardening & Consulting): ช่วยคุณตั้งค่าระบบให้ปลอดภัยตามหลักปฏิบัติที่ดีที่สุด ปิดช่องโหว่ที่ไม่จำเป็น

• บริการจัดการแพตช์ (Patch Management) : ดูแลการอัปเดตระบบปฏิบัติการ และซอฟต์แวร์สำคัญให้ทันสมัยอยู่เสมอ ลดความเสี่ยงจากช่องโหว่ที่รู้จัก

• บริการรับมือเหตุการณ์ละเมิด (Incident Response) : หากเกิดเหตุการณ์ไม่คาดฝัน AFRA APACHE พร้อมเข้าช่วยเหลือ ควบคุมสถานการณ์ และกู้คืนระบบอย่างรวดเร็ว