แฮ็กเกอร์ใช้ประโยชน์จากช่องโหว่ใน PAN-OS ของ Palo Alto เพื่อแพร่กระจาย Qilin Ransomware

รายงานวิจัยล่าสุดจาก Arctic Wolf Labs ระบุว่า กลุ่มผู้ไม่หวังดีกำลังเร่งโจมตีผ่านช่องโหว่ระดับ Critical ประเภท Authentication Bypass ในไฟร์วอลล์ของ Palo Alto Networks เพื่อเจาะเข้าสู่เครือข่ายองค์กร และติดตั้ง Qilin Ransomware

บริษัทด้านความปลอดภัยไซเบอร์แห่งนี้ ได้ทำการสืบสวนเหตุการณ์การโจมตีหลายกรณีตลอดช่วงเดือนมิถุนายน 2026 ที่ผ่านมา ซึ่งผลการสอบสวนพบว่า เหตุการณ์ทั้งหมดมีจุดเริ่มต้นการเข้าสู่ระบบจากช่องโหว่เดียวกันนี้

สำหรับช่องโหว่ดังกล่าว CVE-2026-0257 (CVSS 7.8) ส่งผลกระทบต่อ GlobalProtect Portal และ Gateway บนระบบปฏิบัติการ PAN-OS โดยช่องโหว่นี้จะเปิดช่องทางให้ถูกโจมตีได้เมื่อมีการเปิดใช้งาน Authentication Override Cookies ร่วมกับการตั้งค่า Certificate ในรูปแบบเฉพาะ ส่งผลให้ผู้โจมตีจากภายนอกสามารถ Bypass login และสร้าง session การเชื่อมต่อ VPN ที่ดูเหมือนเป็นการใช้งานตามปกติได้

เวอร์ชันที่ได้รับผลกระทบได้แก่ PAN-OS 12.1, 11.2, 11.1 และ 10.2 (ก่อนหน้าที่มีการออกแพตช์แก้ไขเฉพาะ) รวมถึง Prisma Access บางเวอร์ชัน โดยทาง Palo Alto Networks ได้ออกมายืนยันแล้วว่าพบการนำช่องโหว่นี้ไปใช้โจมตีจริงแต่ยังอยู่ในวงจำกัด

จากเหตุการณ์การบุกรุกที่ Arctic Wolf ได้เข้าไปตรวจสอบ พบว่าผู้โจมตีอาศัย VPN session ที่เจาะระบบมาได้ เพื่อเข้าถึงเครือข่ายของเหยื่อโดยตรง และสามารถ Interactive access โดยเป็นการ bypass ระบบ Perimeter authentication ไปได้

รูปแบบการโจมตีผ่านช่องโหว่ PAN-OS

เมื่อเจาะเข้าสู่เครือข่ายได้สำเร็จ ผู้โจมตีจะดำเนินการตามแผนการโจมตีอย่างรวดเร็วเป็นขั้นตอน ดังนี้:

• อาศัยการสร้าง Registry Run keys ด้วยรูปแบบการตั้งชื่อที่เฉพาะเจาะจง (ใช้เครื่องหมายดอกจัน นำหน้าตัวอักษรภาษาอังกฤษพิมพ์เล็กแบบสุ่มจำนวน 6 ตัว) เพื่อให้โปรแกรมของแฮ็กเกอร์ทำงานทุกครั้งที่เปิดเครื่อง
• ติดตั้งเครื่องมือ Remote Access เช่น AnyDesk, Ngrok และ LogMeIn เพื่อให้มั่นใจว่าจะยังสามารถเข้าถึงเครือข่ายได้หากช่องทางหลักถูกตัดทิ้ง
• ทำการขโมยข้อมูลการยืนยันตัวตนจากหน่วยความจำ LSASS โดยใช้โปรเซส rundll32.exe และ comsvcs.dll พร้อมทั้งซ่อนไฟล์ผลลัพธ์เป็นนามสกุล ".odt" เพื่อหลบเลี่ยงการตรวจจับจากระบบรักษาความปลอดภัย
• ดึงข้อมูลฐานข้อมูล Active Directory ทั้งหมดออกมาผ่านเครื่องมือ ntdsutil.exe ทำให้ผู้โจมตีได้สิทธิ์การเข้าถึงข้อมูลรหัสผ่านในระดับครอบคลุมทั้งโดเมน
• ใช้โปรแกรม PsExec และช่องทาง Administrative shares (C$) เพื่อขยายขอบเขตการเข้าถึง และโจมตีต่อไปสู่ระบบอื่น ๆ ภายในเครือข่าย

ที่น่าสังเกตคือ การโจมตีหลายครั้งมีต้นทางมาจาก hostname ว่า “kali” นอกจากนี้ยังพบ IP Address ที่ซ้ำกันทั้งในขั้นตอนการเจาะระบบครั้งแรก และใน VPN session ภายหลัง ซึ่งแสดงให้เห็นว่ากลุ่มเครือข่ายของ Qilin affiliates มีการใช้โครงสร้างพื้นฐาน หรือเครื่องมือร่วมกัน

แม้ว่าช่องทางการเจาะระบบ และเทคนิคหลัก ๆ จะยังคงเหมือนเดิม แต่พฤติกรรมหลังการเจาะระบบ กลับมีความแตกต่างกันอย่างมาก การโจมตีบางกรณีมุ่งตรงไปที่การเข้ารหัสข้อมูลทันทีโดยใช้เวลาแฝงตัวอยู่ในระบบน้อยที่สุด ในขณะที่บางกรณีกลับเน้นไปที่การสอดแนมระบบอย่างละเอียด การไล่เก็บข้อมูลรหัสผ่านจำนวนมาก และขโมยข้อมูลโดยการโอนถ่ายผ่านเครื่องมือ Rclone ไปยัง MEGA cloud storage ก่อนที่จะทำการติดตั้ง Ransomware

ความแตกต่างของรูปแบบการโจมตีนี้ถือเป็นเรื่องปกติของ Ransomware-as-a-Service (RaaS) ซึ่งเครือข่ายย่อยแต่ละกลุ่มจะใช้เครื่องมือร่วมกัน แต่ประยุกต์ใช้กลยุทธ์ตามแบบฉบับของตนเอง

ก่อนที่จะสั่งระบบให้เริ่มทำการเข้ารหัสข้อมูล ผู้โจมตีมักจะดำเนินการปิดระบบป้องกันแบบเรียลไทม์ของ Microsoft Defender และลบ Windows Event Logs ทิ้งทั้งหมด โดยใช้สคริปต์ PowerShell ที่ลบ Logs การทำงานทุกช่องทางบนระบบ ไม่ใช่แค่ Logs ด้านความปลอดภัย หรือ Logs ของระบบเท่านั้น ส่งผลให้การสืบสวน และกู้คืนข้อมูลทาง Forensic recovery ทำได้ยากลำบากยิ่งขึ้น

สำหรับตัว Payload ของ Ransomware นั้น พบว่ามีการใช้ชื่อ win.exe อย่างสม่ำเสมอ โดยจะถูกนำไปเตรียมพร้อมโจมตี ไว้ในไดเรกทอรี C:\PerfLogs\ ซึ่งเป็นโฟลเดอร์เริ่มต้นของ Windows ที่เครื่องมือรักษาความปลอดภัยมักไม่ได้เฝ้าระวัง นอกจากนี้ การสั่งรัน Payload ดังกล่าวยังจำเป็นต้องระบุ Password parameter ซึ่งสร้างความยุ่งยากซับซ้อนให้กับการวิเคราะห์พฤติกรรมใน Sandbox เป็นอย่างมาก

ข้อเสนอแนะ Tactical Security

Arctic Wolf ขอแนะนำให้องค์กรต่าง ๆ ดำเนินการรับมือโดยด่วนดังนี้:

• อัปเดตแพตช์แก้ไขช่องโหว่ CVE-2026-0257 ในทุกระบบของ PAN-OS และ Prisma Access ที่มีการเปิดช่องทางเชื่อมต่อกับอินเทอร์เน็ต
• ตัดการเชื่อมต่อ session ของ GlobalProtect ที่กำลังทำงานอยู่ทั้งหมดทันทีหลังจากที่อัปเดตแพตช์เสร็จสิ้น
• รีเซ็ต และเปลี่ยนรหัสผ่านของโดเมนทั้งหมด ซึ่งรวมถึงบัญชีระดับโครงสร้างพื้นฐานอย่าง KRBTGT ด้วย หากมีข้อสงสัย หรือสัญญาณว่าระบบอาจถูกเจาะไปแล้ว
• เฝ้าระวัง และจำกัดสิทธิ์การสั่งรันโปรแกรมจากไดเรกทอรี C:\PerfLogs
• ส่งต่อข้อมูล Windows Event Logs ไปเก็บไว้ที่ระบบศูนย์กลางอย่าง SIEM เพื่อรักษาสภาพหลักฐานทางไซเบอร์ไว้ ในกรณีที่ Local logs ถูกแฮ็กเกอร์ลบทิ้ง

Arctic Wolf ประเมินด้วยระดับความเชื่อมั่นปานกลางว่า การโจมตีผ่านช่องโหว่นี้เพื่อนำไปสู่การติดตั้ง Qilin ransomware จะยังคงเกิดขึ้นอย่างต่อเนื่อง โดยมีปัจจัยสนับสนุนหลักมาจากการสแกนหาเป้าหมายที่ขยายวงกว้างขึ้น และลักษณะเฉพาะของโมเดลธุรกิจ RaaS ที่มักจะกระจายเครื่องมือเจาะระบบ ที่ใช้งานได้ผลไปให้กลุ่มเครือข่ายย่อยหลาย ๆ กลุ่มนำไปใช้ต่อ

ที่มา : cybersecuritynews