ช่องโหว่ Cisco FMC ถูกใช้โจมตีโดยกลุ่ม Ransomware และกลุ่มแฮ็กเกอร์ที่ได้รับการสนับสนุนจากรัฐฯ

 

Cisco Talos ระบุว่า ช่องโหว่ 2 รายการใน Secure Firewall Management Center (FMC) ซึ่งเพิ่งได้รับการแก้ไขไปเมื่อเร็ว ๆ นี้ ถูกนำมาใช้ในการโจมตีโดยกลุ่ม Hacker 3 กลุ่มที่แตกต่างกัน ซึ่งมีความเชื่อมโยงกับการโจมตีจากกลุ่ม Ransomware และกลุ่มที่ได้รับการสนับสนุนจากรัฐฯ

การโจมตีดังกล่าวใช้ช่องโหว่ CVE-2026-20079 ซึ่งเป็นช่องโหว่ระดับความรุนแรงสูงสุด ที่ทำให้ผู้โจมตีสามารถ bypass การ authentication ได้ และช่องโหว่ CVE-2026-20316 ซึ่งเกี่ยวข้อง static credentials ที่ทำให้สามารถเข้าสู่ระบบได้โดยใช้บัญชีที่มีสิทธิ์ต่ำ

รายงานฉบับใหม่จาก Cisco Talos ระบุว่า กลุ่ม Hacker ทั้ง 3 กลุ่มโจมตีอุปกรณ์ FMC ที่มีช่องโหว่ เพื่อติดตั้ง web shell, ขโมยข้อมูล credentials, สร้าง reverse shell และ proxy รวมถึงมีการติดตั้ง Qilin ransomware และ Cyclops Blink malware ในบางกรณี

Cisco Talos ระบุว่า "การวิเคราะห์ของ Talos แสดงให้เห็นถึงกิจกรรมที่เกิดขึ้นหลังจากโจมตีระบบ FMC สำเร็จ โดยเกี่ยวข้องกับกลุ่ม Ransomware และกลุ่มที่ได้รับการสนับสนุนจากรัฐฯ"

Cisco Talos กำลังติดตามกลุ่ม Hacker เหล่านี้ภายใต้รหัส UAT-12197, UAT-11823 และ UAT-11988

CVE-2026-20079 (คะแนน CVSS 10/10 ความรุนแรงระดับ Critical) เป็นช่องโหว่ที่ทำให้ Hacker ที่ไม่ผ่านการยืนยันตัวตนสามารถ bypass การ authentication และเรียกใช้คำสั่งด้วยสิทธิ์ระดับ root บนอุปกรณ์ FMC ที่มีช่องโหว่จากระยะไกลได้

CVE-2026-20316 (คะแนน CVSS 5.3/10 ความรุนแรงระดับ Medium) เป็นช่องโหว่ที่ทำให้ Hacker เข้าสู่ระบบ FMC โดยใช้ข้อมูล credentials แบบ static ของบัญชีที่มีสิทธิ์ต่ำ อย่างไรก็ตาม Cisco จัดให้ช่องโหว่นี้มีความรุนแรงระดับสูง (High) เนื่องจากสามารถนำไปใช้ร่วมกับช่องโหว่อื่น ๆ ของ FMC เพื่อยกระดับสิทธิ์การใช้งานได้

Cisco ได้ปล่อยแพตช์แก้ไขด่วน (hotfix) สำหรับช่องโหว่ทั้ง 2 รายการแล้ว และขอให้ลูกค้าดำเนินการติดตั้งโดยทันที นอกจากนี้ บริษัทยังเตรียมปล่อยมาตรการเสริมความปลอดภัยที่ครอบคลุมยิ่งขึ้น ซึ่งรวมถึงแพตช์สำหรับช่องโหว่อื่น ๆ เพิ่มเติม

พบการติดตั้ง Qilin ransomware หลังโจมตีช่องโหว่  FMC

Cisco Talos ระบุว่า หนึ่งในกลุ่ม Hacker ซึ่งถูกติดตามภายใต้รหัส UAT-11988 นั้น มีความเกี่ยวข้องกับเครือข่ายกลุ่ม Qilin ransomware โดยกลุ่ม Hacker ดังกล่าวเข้าถึงอุปกรณ์ FMC โดยใช้ข้อมูล credentials แบบ static ที่เกี่ยวข้องกับช่องโหว่ CVE-2026-20316 จากนั้นจึงใช้เครื่องมือที่มีอยู่ภายใน FMC เพื่อสำรวจ และเก็บข้อมูลเครือข่ายของเหยื่อ โดย Hacker ได้รวบรวมข้อมูลต่าง ๆ ได้แก่ hostname, IP addresses, directory list, ข้อมูล credentials ของบัญชี Active Directory service และ MySQL, ข้อมูล domain account, รายชื่อ computer lists และข้อมูลการจับคู่ hostname-to-IP address ภายในเครือข่าย

ทั้งนี้ข้อมูลที่รวบรวมมานั้นถูกนำไปพักไว้ในไฟล์ที่สามารถเข้าถึงได้จาก public บน FMC server ที่ถูกโจมตี และถูกดาวน์โหลดออกไปโดยใช้คำสั่ง HTTP GET

จากนั้น Hacker ได้ติดตั้ง Python SOCKS5 proxy และ reverse SSH tunnel เพื่อคงสิทธิ์การเข้าถึงระบบภายใน พร้อมทั้งทำ port forwarding สำหรับโปรโตคอลต่าง ๆ เช่น LDAP, LDAPS, Kerberos, SMB, NetBIOS และ WinRM

ภายหลังขั้นตอนการ reconnaissance เสร็จ Hacker ได้ใช้เครื่องมือสำหรับขั้นตอนหลังการเจาะระบบ (post-exploitation tools) ซึ่งรวมถึง Impacket, Invoke-TheHash และเครื่องมือที่สร้างขึ้นเองเพื่อหยุดการทำงานของซอฟต์แวร์ EDR (EDR killers)

ท้ายที่สุด Hacker ได้ติดตั้ง Qilin ransomware ลงบนเครื่อง เพื่อเข้ารหัสไฟล์ข้อมูล

กลุ่ม APT Hacker ติดตั้ง Cyclops Blink

สำหรับการโจมตีระลอกที่สอง ซึ่งถูกระบุรหัสติดตามว่า UAT-11823 นั้น Talos ระบุว่า เป็นฝีมือของกลุ่ม Advanced Persistent Threat actor (APT) ที่มีเครื่องมือการโจมตีคล้ายคลึงกับกลุ่ม Sandworm APT

Sandworm เป็นกลุ่ม Hacker ชาวรัสเซีย และมีความเชื่อมโยงกับหน่วยข่าวกรองทางทหารของรัสเซีย (GRU) กลุ่มนี้ขึ้นชื่อเรื่องการโจมตีทางไซเบอร์ที่สร้างความเสียหายรุนแรงต่อหน่วยงานภาครัฐ และโครงสร้างพื้นฐานที่สำคัญ

Hacker สามารถเข้าถึงอุปกรณ์ FMC ได้โดยการใช้ช่องโหว่ CVE-2026-20079 หรือใช้ข้อมูล credentials แบบ static ที่เกี่ยวข้องกับช่องโหว่ CVE-2026-20316

หลังจากเข้าถึงระบบได้แล้ว Hacker ได้แก้ไขไฟล์ `license.tmp` เพื่อสร้าง reverse shell ผ่าน Netcat ซึ่งเชื่อมต่อไปยัง command-and-control infrastructure (C2) ของตน จากนั้นไฟล์ license ที่แฝงมัลแวร์จะถูกสั่งรันด้วยสิทธิ์ root โดยใช้ยูทิลิตี้ `package_info.pl` ของ Cisco ซึ่งเป็นเครื่องมือที่ถูกต้องตามปกติของระบบ

Talos เชื่อว่ากลุ่ม UAT-11823 ใช้ทั้งช่องโหว่ CVE-2026-20079 และ CVE-2026-20316 ในระหว่างการโจมตี

นอกจากนี้ Hacker ยังได้ติดตั้งสคริปต์เพื่อรวบรวมข้อมูล configuration จากอุปกรณ์ที่ถูกควบคุม และจัดเก็บข้อมูลเหล่านั้นไว้ในไฟล์ archives และรอส่งข้อมูลออกไปในภายหลัง

ในขั้นตอนสุดท้าย กลุ่ม UAT-11823 ได้ติดตั้งมัลแวร์ Cyclops Blink (รุ่นดัดแปลง) ลงบนอุปกรณ์ที่ถูกโจมตีระบบ ซึ่ง Cyclops Blink เป็น Linux malware แบบโมดูลาร์ที่เคยถูกระบุว่าเป็นผลงานของกลุ่ม Sandworm จากรัสเซีย

มัลแวร์ Cyclops Blink รุ่นนี้ทำหน้าที่เป็น backdoor ที่ช่วยให้ Hacker สามารถเข้าถึงระบบได้อย่างต่อเนื่อง ขโมยข้อมูล credentials และดักจับข้อมูลการรับส่งในเครือข่ายได้

Hacker ขโมยข้อมูล credentials

กลุ่มที่สามซึ่งถูกติดตามภายใต้รหัส UAT-12197 ได้ใช้ช่องโหว่ CVE-2026-20079 เพื่อติดตั้ง web shell ที่เขียนด้วยภาษา JSP ลงในไดเรกทอรี webroot ของ Tomcat ใน Cisco Security Manager

จากนั้น web shell ดังกล่าวถูกนำมาใช้เพื่อติดตั้งไฟล์ JAR ที่เป็นอันตรายชื่อ cmd.jar ซึ่งช่วยให้ Hacker สามารถสั่งรันคำสั่งต่าง ๆ บนเซิร์ฟเวอร์ได้

Hacker ใช้ไฟล์ JAR นี้ในการสืบค้นฐานข้อมูลภายในของระบบที่ถูกโจมตี และขโมยข้อมูลการยืนยันตัวตนรวมถึงข้อมูลรับรองการเข้าถึงของผู้ใช้งาน

Cisco Talos ยืนยันความเชื่อมโยงระหว่างการโจมตีในเดือนกรกฎาคม 2026

รายงานจาก Cisco Talos ยังช่วยไขข้อสงสัยเกี่ยวกับการโจมตีช่องโหว่สองรายการที่ได้รับการเปิดเผยข้อมูลครั้งแรกเมื่อเดือนกรกฎาคม 2026

ตามที่ BleepingComputer ได้รายงานไว้เมื่อวันที่ 29 กรกฎาคม 2026 Cisco ได้เปิดเผยว่าช่องโหว่ CVE-2026-20316 กำลังถูกนำมาใช้ในการโจมตีจริง และเตือนว่าช่องโหว่นี้อาจถูกนำไปใช้ร่วมกับช่องโหว่อื่น ๆ ของ FMC เพื่อยกระดับสิทธิ์การเข้าถึงระบบ

ในขณะเดียวกัน Cisco ได้ปรับปรุงข้อมูลแจ้งเตือนสำหรับช่องโหว่ CVE-2026-20079 โดยระบุ Indicator of Compromise ตัวเดียวกันกับที่พบใน CVE-2026-20316 นั่นคือไฟล์ `/var/tmp/license.tmp` แต่ในขณะนั้นยังไม่ได้ยืนยันว่าช่องโหว่ประเภท authentication bypass ดังกล่าวกำลังถูกโจมตีอยู่ด้วยหรือไม่

Cisco ไม่ได้ตอบคำถามเหล่านั้นโดยตรง แต่ได้ออกแถลงการณ์แจ้งเตือนให้ลูกค้าติดตั้งแพตช์แก้ไขด่วน (hotfix) โดยเร็วที่สุด

ล่าสุด Talos ได้ยืนยันแล้วว่ากลุ่ม UAT-11823 ได้ใช้ช่องโหว่ทั้งสองรายการ และใช้กลไกที่เกี่ยวข้องกับไฟล์ `license.tmp` ที่เป็นอันตรายในการโจมตีดังกล่าว

ที่มา : bleepingcomputer