ในยุคดิจิทัลที่ภัยคุกคามไซเบอร์เพิ่มขึ้นอย่างรวดเร็ว บริษัท AFRA APACHE ซึ่งเป็นผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ Cybersecurity ได้ตรวจพบ และวิเคราะห์รูปแบบการโจมตี หรือการสแกน (Probing) จากภายนอกที่มุ่งเป้าไปยังระบบเซิร์ฟเวอร์เว็บไซต์ โดยเฉพาะอย่างยิ่งการใช้ Hostname ของเว็บไซต์อื่นๆ ที่ไม่เกี่ยวข้อง เช่น "bogl.no" เพื่อสร้างข้อผิดพลาดในระบบและทดสอบช่องโหว่ รูปแบบนี้ไม่ใช่ malware แบบดั้งเดิมที่ติดเชื้อในระบบ แต่เป็นการบุกรุกจากภายนอกที่ทำให้เซิร์ฟเวอร์เกิดความผิดปกติ เช่น การเก็บ Log ทำให้จำนวนพื้นที่ล็อก error เกิดการสิ้นเปลืองทรัพยากร ซึ่งอาจนำไปสู่การโจมตีที่รุนแรงยิ่งขึ้น

AFRA APACHE ซึ่งมีสำนักงานในประเทศไทย และเชี่ยวชาญด้านการพัฒนาเว็บแอปพลิเคชัน การรักษาความปลอดภัยระบบ และการป้องกันภัยคุกคามไซเบอร์ ได้รับรายงานจากลูกค้าหลายรายที่ใช้เซิร์ฟเวอร์ Apache และพบปัญหานี้ โดยทีม AFRA APACHE ที่มีการวิเคราะห์ล็อกจากระบบ Fail2ban และ Apache error Log เพื่อระบุลักษณะสาเหตุของการโจมตีนี้

ลักษณะรูปแบบการทำงานของการโจมตี

รูปแบบการโจมตีนี้เกิดจากบอท (bots) หรือสคริปต์อัตโนมัติที่ถูกควบคุมจากระยะไกล โดยส่ง request เข้ามาที่เซิร์ฟเวอร์จำนวนมาก โดยจงใจระบุ hostname ของเว็บไซต์อื่นๆ เช่น "bogl.no" ในส่วน HTTP header ขณะที่ SNI (Server Name Indication) ในขั้นตอน TLS handshake อาจระบุเป็นโดเมนจริงของเซิร์ฟเวอร์ ส่งผลให้เกิดข้อผิดพลาดแบบ AH02032 ใน Log error ซึ่งเซิร์ฟเวอร์บันทึกว่าการตั้งค่า SSL ไม่เข้ากัน

• การทำงานของบอท (bots) : บอทเหล่านี้มักมาจาก Botnet ขนาดใหญ่ที่กระจายตัวอยู่ทั่วโลก โดยแต่ละ IP ส่ง request เพียงไม่กี่ครั้ง แต่เมื่อรวมกันแล้วอาจมี IP นับพันรายการที่เกี่ยวข้อง ในกรณีที่ตรวจพบ Log จาก Fail2ban แสดงว่ามี Total failed มากถึง 1603 ครั้ง ส่งผลให้ระบบบล็อก (Block) IP ไปกว่า 1603 รายการ (Currently Banned : 321 รายการ) การร้องขอเกิดขึ้นถี่ทุก 5-30 วินาที ทำให้ Log error เต็มอย่างรวดเร็ว (Log Flooding) และกินทรัพยากร CPU/Memory ของเซิร์ฟเวอร์

• ตัวอย่างจากล็อก (Block) : ข้อผิดพลาดซ้ำๆ เช่น "[ssl:error] ... AH02032: Hostname NameWebsite Provided via SNI and Hostname bogl.no Provided via HTTP Have No Compatible SSL Setup" แสดงให้เห็นว่าบอทใช้ Hostname "bogl.no" เพื่อสร้าง Mismatch โดย IP ที่เกี่ยวข้องมาจากหลากหลายแหล่ง เช่น 50.63.177.xx, 162.241.2.xxx, และอื่นๆ อีกมากมาย

การโจมตีนี้ไม่ใช่การติดไวรัสโดยตรง แต่เป็นการ Probing เพื่อรวบรวมข้อมูล หรือเตรียมการโจมตีต่อไป เช่น การหาช่องโหว่ใน Virtual Host หรือการทำให้เซิร์ฟเวอร์ช้าลง

สาเหตุของการเกิดปัญหา

สาเหตุหลักมาจากการที่เซิร์ฟเวอร์เว็บในปัจจุบันมักโฮสต์หลายโดเมนบน IP เดียวกัน (Shared Hosting) เพื่อประหยัดทรัพยากร แต่เทคโนโลยี SNI ที่ใช้ในการเลือกใบรับรอง SSL ต้องอาศัย Hostname ที่ตรงกัน หากไม่ตรง (เช่น จาก Request ปลอม) จะเกิด Error เพื่อป้องกันการ Exploit

• ปัจจัยจากภายนอก : บอทเน็ต (Botnet) ใช้ Domain Generation Algorithm (DGA) เพื่อสร้างหรือสุ่ม Hostname เช่น "bogl.no" (ซึ่งเป็นโดเมนจริงของบริษัทสถาปัตยกรรมในนอร์เวย์ แต่ไม่เกี่ยวข้อง) เพื่อทดสอบเซิร์ฟเวอร์ โดยเฉพาะ IP ที่เปิดเผยสู่สาธารณะ บอทเหล่านี้อาจมาจากเครื่องมือสแกนอัตโนมัติที่ Attacker ใช้เพื่อหาเซิร์ฟเวอร์เปราะบางทั่วโลก

• ปัจจัยภายในเซิร์ฟเวอร์ : การตั้งค่า Virtual Host ไม่มี Default Host ที่ Block Request ไม่รู้จัก หรือใบรับรอง SSL ไม่ครอบคลุม ทำให้เซิร์ฟเวอร์บันทึก error แทนที่จะปฏิเสธทันที นอกจากนี้ หาก DNS ของโดเมนอื่นชี้ไปยัง IP เดียวกันโดยผิดพลาด จะเพิ่มโอกาสเกิดปัญหา

• ปัจจัยอื่นๆ : การสแกน WordPress หรือ PHP Application ที่เชื่อมโยงกัน เช่น การพยายามเข้าถึงไฟล์อย่าง phpinfo หรือ profile-detail ซึ่งทำให้เกิดข้อผิดพลาด "Primary Script Unknown" และเชื่อมโยงกับการ Probing ด้วย Hostname ปลอม

ปัญหานี้เกิดบ่อยในเซิร์ฟเวอร์ที่ใช้ Apache บน shared environment เพราะความซับซ้อนของ SSL ทำให้เป็นเป้าหมายง่ายสำหรับบอท

แนวทางแก้ไข และป้องกัน

AFRA APACHE แนะนำแนวทางที่ครอบคลุมทั้งการแก้ไขทันที และป้องกันระยะยาว โดยเน้นการเสริมความแข็งแกร่งของระบบด้วยเทคโนโลยีที่เราพัฒนา เช่น ระบบป้องกันการบุกรุก (IPS) และการตรวจสอบช่องโหว่

แก้ไขทันที :

• ติดตั้ง Virtual Host Default ใน Apache เพื่อ block request ที่ไม่ Match โดยใช้ <directory> ที่ Require All Denied และ Options -Indexes เพื่อป้องกันการแสดงไดเรกทอรี</directory>

• ใช้ Fail2ban เพื่อบล็อก (Block) IP อัตโนมัติ โดยปรับ Maxretry และ findtime เพื่อจัดการ IP จำนวนมาก

• Rotate Log บ่อยขึ้นเพื่อป้องกัน Log Flooding โดยแก้ไข Logrotate Configuration

ป้องกันระยะยาว :

• ใช้ Web Application Firewall (WAF) เช่น ModSecurity เพื่อกรอง Request ที่มี Hostname น่าสงสัย โดยเพิ่มกฎ SecRule REQUEST_HEADERS:Host "^bogl.no$" "deny,log,status:403"

• อัปเดต .htaccess ใน WordPress เพื่อบล็อกไฟล์ PHP ที่น่าสงสัย เช่น <FilesMatch "(phpinfo|profile-detail)$"> Deny from all และ RewriteCond สำหรับ request ใน /wp-content/uploads/

• ตรวจสอบ DNS ด้วยคำสั่ง dig bogl.no เพื่อยืนยันว่าไม่ชี้ไปยัง IP ของคุณ และแจ้ง Registrar หากผิดปกติ

ติดตั้งระบบของ AFRA APACHE เช่น การเข้ารหัส AES-256 และการตรวจสอบช่องโหว่แบบ Real-Time เพื่อปกป้องจาก Botnet และ Log Flooding

• สำหรับหน่วยงานราชการ หรือธุรกิจขนาดใหญ่ แนะนำบริการของเราในการ Audit ระบบ และติดตั้ง IPS เพื่อป้องกันการทุจริต หรือการโจมตีทางการเงิน

การป้องกันเหล่านี้จะลดจำนวน IP ที่ถูกบล็อกและหยุด error ซ้ำๆ ได้อย่างมีประสิทธิภาพ

สรุป

การตรวจพบรูปแบบการโจมตีนี้โดย AFRA APACHE ชี้ให้เห็นถึงความสำคัญของการเฝ้าระวังภัยคุกคามไซเบอร์ในเซิร์ฟเวอร์เว็บ โดยเฉพาะการสแกน Probing ที่ใช้ Hostname ปลอมอย่าง "bogl.no" เพื่อ Exploit ช่องโหว่ และ Flood Log ด้วยบอทเน็ต (Botnet) ที่ส่ง Request จาก IP กว่า 1603 รายการ บริษัท AFRA APACHE พร้อมให้บริการโซลูชันที่ปรับแต่งเพื่อปกป้องระบบจากภัยเหล่านี้ หากพบปัญหาคล้ายกัน แนะนำให้ติดต่อทีมผู้เชี่ยวชาญของ AFRA APACHE เพื่อวิเคราะห์ และแก้ไขทันที