แฮ็กเกอร์ใช้ประโยชน์จากช่องโหว่ Citrix และ Cisco ISE ในการโจมตีแบบ Zero-day

กลุ่ม APT ได้ใช้ประโยชน์จากช่องโหว่ระดับ Critical ที่ถูกเรียกว่า “Citrix Bleed 2" (CVE-2025-5777) ใน NetScaler ADC และ Gateway และช่องโหว่ CVE-2025-20337 ที่ส่งผลกระทบต่อ Cisco Identity Service Engine (ISE) มาใช้ในการโจมตีในรูปแบบ zero-day เพื่อติดตั้งมัลแวร์ที่สร้างขึ้นมาเอง

ทีม threat intelligence ของ Amazon ซึ่งวิเคราะห์ข้อมูลจาก honeypot  "MadPot" พบว่า แฮ็กเกอร์ได้ใช้ประโยชน์จากช่องโหว่ทั้งสองรายการนี้ก่อนที่จะมีการเปิดเผยต่อสาธารณะ และมีแพตช์แก้ไข

Amazon ระบุว่า "Amazon MadPot honeypot service ตรวจพบความพยายามในการโจมตีช่องโหว่ Citrix Bleed 2 (CVE-2025-5777) ก่อนที่จะมีการเปิดเผยรายละเอียดออกสู่สาธารณะ ซึ่งแสดงให้เห็นว่าผู้โจมตีได้ใช้ประโยชน์จากช่องโหว่นี้ในลักษณะ zero-day"

"จากการตรวจสอบเพิ่มเติมเกี่ยวกับภัยคุกคามลักษณะเดียวกันที่ใช้ประโยชน์จากช่องโหว่ของ Citrix นั้น Amazon Threat Intelligence ได้ระบุ และแชร์ข้อมูลกับ Cisco เกี่ยวกับ payload ที่ผิดปกติซึ่งมุ่งเป้าไปที่ endpoint ของ Cisco ISE ที่ไม่เคยถูกบันทึกไว้มาก่อน โดยใช้ deserialization logic ที่มีช่องโหว่"

Citrix Bleed 2 เป็นช่องโหว่ out-of-bounds memory read ของ NetScaler ADC และ Gateway ซึ่งผู้ผลิตได้เผยแพร่วิธีแก้ไขไปเมื่อปลายเดือนมิถุนายน

แม้ว่าผู้ผลิตจะต้องการระยะเวลาที่นานกว่านี้ในการยืนยันว่าช่องโหว่นี้กำลังถูกใช้ในการโจมตี ถึงแม้จะมีรายงานจาก third-party หลายฉบับที่อ้างว่าช่องโหว่นี้ถูกใช้ในการโจมตีแล้วก็ตาม แต่ในช่วงต้นเดือนกรกฎาคม CISA ก็ยืนยันว่าช่องโหว่ดังกล่าวกำลังถูกใช้ในการโจมตี

ช่องโหว่ใน ISE (CVE-2025-20337) ซึ่งมีคะแนนความรุนแรงสูงสุด ถูกเผยแพร่เมื่อวันที่ 17 กรกฎาคม โดย Cisco ได้เตือนว่าช่องโหว่นี้อาจถูกใช้เพื่อทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถจัดเก็บไฟล์ที่เป็นอันตราย, รันโค้ดตามที่ต้องการ หรือเข้าถึงสิทธิ์ root บนอุปกรณ์ที่มีช่องโหว่ได้

ภายในเวลาไม่ถึงห้าวัน Cisco ได้ออกคำเตือนซ้ำว่า CVE-2025-20337 กำลังถูกใช้ในการโจมตีจำนวนมาก ต่อมาในวันที่ 28 กรกฎาคม นักวิจัย Bobby Gould ได้เผยแพร่รายละเอียดทางเทคนิคในบทความซึ่งรวมถึง exploit chain ด้วย

Amazon ระบุว่าช่องโหว่ทั้งสองรายการถูกใช้ในการโจมตีจากกลุ่ม APT ก่อนที่ Cisco และ Citrix จะเผยแพร่ประกาศเตือนฉบับแรก

แฮ็กเกอร์ใช้ประโยชน์จาก CVE-2025-20337 เพื่อเข้าถึงสิทธิ์ผู้ดูแลระบบของ Cisco ISE endpoints แบบ pre-auth และติดตั้ง web shell ที่สร้างขึ้นเองชื่อว่า ‘IdentityAuditAction’ ซึ่งปลอมเป็น component ที่ถูกต้องของ ISE

Web shell นี้ได้ registered เป็น HTTP listener เพื่อ intercept requests ทั้งหมด และใช้ Java reflection เพื่อ inject เข้าไปใน threads ของ Tomcat Server

นอกจากนี้ ยังใช้การเข้ารหัสแบบ DES ร่วมกับการเข้ารหัสแบบ non-standard base64 เพื่อการแฝงตัว ซึ่งหมายความว่าผู้โจมตีต้องรู้เกี่ยวกับ HTTP header ที่เฉพาะเจาะจงเพื่อเข้าถึง และทิ้งร่องรอยไว้น้อยที่สุด

การใช้ช่องโหว่ zero-day หลายรายการที่ยังไม่เปิดเผย ประกอบกับความรู้ขั้นสูงเกี่ยวกับระบบภายในของ Java/Tomcat และสถาปัตยกรรมของ Cisco ISE ล้วนชี้ไปที่ผู้โจมตีที่มีทรัพยากร และความสามารถสูง อย่างไรก็ตาม Amazon ไม่สามารถระบุได้ว่าการดำเนินการนี้เป็นของกลุ่มภัยคุกคามกลุ่มใด

อย่างไรก็ตาม ที่น่าสนใจคือ การโจมตีแบบไม่ระบุเป้าหมาย ซึ่งไม่สอดคล้องกับขอบเขตที่มักจะจำกัด และกำหนดเป้าหมายอย่างชัดเจนของปฏิบัติการโดยกลุ่ม APT เช่นนี้

ขอแนะนำให้ติดตั้งแพตซ์อัปเดตความปลอดภัยสำหรับ CVE-2025-5777 และ CVE-2025-20337 และจำกัดการเข้าถึงอุปกรณ์เครือข่ายผ่าน firewall อย่างเหมาะสม

ที่มา : bleepingcomputer