แฮ็กเกอร์ใช้ Exploit จากช่องโหว่ VPN ของ Palo Alto เพื่อ Bypass ระบบ MFA และขโมย Credentials จาก VMware Disks

กลุ่มผู้โจมตีด้วย Ransomware กำลังโจมตีช่องโหว่ใน Palo Alto Networks GlobalProtect VPN เพื่อ Bypass MFA และเข้าสู่เครือข่ายองค์กร โดยในกรณีหนึ่งที่มีการตรวจสอบพบว่า ผู้โจมตีสามารถเข้าถึงระบบจัดการ VMware และขโมย Credential โดยตรงจาก Virtual Disk ของ Domain Controller เพื่อหลีกเลี่ยงเครื่องมือรักษาความปลอดภัยที่ทำงานอยู่ภายใน Virtual Machine

Palo Alto Networks Unit 42 เปิดเผยรายละเอียดการโจมตีดังกล่าวในการอัปเดตรายงานภัยคุกคามเมื่อวันที่ 19 ตุลาคม โดยนักวิจัยเชื่อมโยงการใช้ Exploit ช่องโหว่ CVE-2026-0257 เข้ากับกลุ่ม Spikey Scorpius หรือที่รู้จักในชื่อ Qilin และกลุ่ม Tarnished Scorpius หรือที่รู้จักในชื่อ Inc. ขณะที่รายงานสาธารณะจากแหล่งอื่นเชื่อมโยงการใช้ Exploit ช่องโหว่นี้กับผู้โจมตีที่ใช้ Settra Ransomware

การตรวจสอบที่ดำเนินมาตั้งแต่ต้นเดือนมิถุนายนครอบคลุมองค์กรในหลายภาคส่วน ได้แก่ สาธารณสุข, การศึกษา, บริการทางการเงิน, การผลิต, หน่วยงานรัฐบาล, พลังงาน และภาคส่วนอื่น ๆ ผลการค้นพบล่าสุดแสดงให้เห็นว่า การเข้าถึง VPN โดยไม่ได้รับอนุญาตสามารถนำไปสู่การขโมย Credential การขโมยข้อมูล และการติดตั้ง Ransomware ได้อย่างไร

ช่องโหว่ GlobalProtect ทำให้ Bypass MFA ได้

ช่องโหว่นี้ส่งผลกระทบต่อ GlobalProtect Portal และ Gateway ในการติดตั้งใช้งาน PAN-OS และ Prisma Access บางรูปแบบ โดยระบบจะมีความเสี่ยงเมื่อเปิดใช้งาน Authentication Override Cookies ร่วมกับการกำหนดค่า Certificate ที่มีช่องโหว่ โดย Palo Alto Networks จัดระดับความรุนแรงของช่องโหว่นี้ไว้ที่ High โดยมีคะแนน CVSS 7.8 และกำหนดระดับความเร่งด่วนในการตอบสนองสูงสุด ขณะที่ Panorama และ Cloud NGFW ไม่ได้รับผลกระทบ

Authentication Override Cookies ช่วยให้ผู้ใช้ที่ผ่านการยืนยันตัวตนแล้วสามารถเชื่อมต่อใหม่ได้โดยไม่ต้องดำเนินกระบวนการเข้าสู่ระบบทั้งหมดซ้ำอีกครั้ง ตามการวิเคราะห์ทางเทคนิคของ Rapid7 อุปกรณ์ที่มีช่องโหว่จะถอดรหัส Cookie เหล่านี้ แต่ไม่ได้ตรวจสอบอย่างถูกต้องว่า Cookie ถูกสร้างขึ้นโดยระบบที่เชื่อถือได้หรือไม่

หาก Certificate ที่ใช้กับ Cookie ถูกนำไปใช้ซ้ำกับบริการที่เปิดให้เข้าถึงจากอินเทอร์เน็ต ผู้โจมตีสามารถรับ Public Key ของ Certificate ดังกล่าว และปลอมแปลง Cookie ขึ้นมาได้ จากนั้น Gateway อาจยอมรับ Cookie ปลอมเป็นหลักฐานการยืนยันตัวตน ทำให้สามารถเชื่อมต่อ VPN ได้โดยไม่ต้องผ่านขั้นตอนเข้าสู่ระบบ และ MFA ตามปกติ ก่อนหน้านี้ Cybersecurity News เคยรายงานเกี่ยวกับช่องโหว่ Authentication Bypass ใน GlobalProtect ดังกล่าวแล้ว

หลังจากเข้าถึงระบบได้สำเร็จ ผู้โจมตีจะใช้เครื่องมือ Remote Monitoring and Management (RMM) เพื่อสำรวจเครือข่ายภายใน จากนั้นเคลื่อนย้ายระหว่างระบบผ่าน Remote Desktop Protocol (RDP) และ Server Message Block (SMB) ก่อนเตรียมเครื่องมือสำหรับรวบรวม Credential ขโมยข้อมูล และติดตั้ง Ransomware

กรณีที่น่าสนใจที่สุดคือ ผู้โจมตีสามารถเคลื่อนย้ายจาก VPN Gateway ที่ถูกเจาะไปยังระบบจัดการ VMware vCenter จากนั้นปิดการทำงานของมาตรการรักษาความปลอดภัย execInstalledOnly บน ESXi Host และใช้เครื่องมือที่พัฒนาขึ้นมาโดยเฉพาะเพื่อดึง Credential แบบ Offline จาก Virtual Disk ประเภท VMDK ของ Domain Controller โดย Unit 42 ไม่ได้เปิดเผยชื่อเครื่องมือ หรือรายละเอียดการทำงานของเครื่องมือดังกล่าว

การอ่าน Credential โดยตรงจาก Disk ช่วยให้ผู้โจมตี Bypass ระบบ Endpoint Detection and Response (EDR) ที่ทำงานอยู่ภายใน Virtual Machine ที่ได้รับผลกระทบได้ วิธีการนี้มุ่งโจมตีโครงสร้างพื้นฐานที่อยู่ในระดับต่ำกว่าระบบปฏิบัติการ แทนที่จะพึ่งพาโปรแกรมขโมย Credential ที่ทำงานอยู่ภายในระบบปฏิบัติการ โดย Cybersecurity News เคยรายงานเกี่ยวกับการโจมตี VMware ที่เกี่ยวข้องกับ Disk ของ Domain Controller ที่ถูกแยกออกจาก Virtual Machine เช่นกัน

Unit 42 ยังพบว่าผู้โจมตีนำการเข้าถึงระบบในขั้นต้นนี้ไปใช้ร่วมกับเครื่องมือที่มุ่งโจมตีโครงสร้างพื้นฐานสำรองข้อมูล Veeam ผ่านช่องโหว่ CVE-2023-27532 ซึ่งเป็นอีกช่องโหว่หนึ่งที่อาจทำให้ Credential ที่ถูกเข้ารหัส และจัดเก็บอยู่ในฐานข้อมูลการกำหนดค่าระบบสำรองข้อมูลถูกเปิดเผย และอาจนำไปสู่การเข้าถึง Backup Host ได้

ผู้ดูแลระบบควรตรวจสอบ Log ของ GlobalProtect เพื่อค้นหาเหตุการณ์ที่เชื่อมต่อกับ Gateway สำเร็จ โดยเฉพาะการเชื่อมต่อจากแหล่งที่มาที่น่าสงสัย และรายละเอียด Client ที่ผิดปกติ IOC ที่มีการรายงานประกอบด้วย IP Address 104[.]207[.]144[.]154 และ 146[.]19[.]216[.]125 ชื่ออุปกรณ์ GP-CLIENT และ DESKTOP-GP01 รวมถึง Host ID aa:bb:cc:dd:ee:ff และ 00:11:22:33:44:55 การตรวจสอบก่อนหน้านี้พบว่า ความพยายามตรวจสอบระบบจำนวนมากไม่ได้สร้าง VPN Session ที่สมบูรณ์ จึงทำให้เหตุการณ์การเชื่อมต่อสำเร็จมีความสำคัญต่อการตรวจสอบ

องค์กรควรปฏิบัติตามประกาศด้านความปลอดภัยของ Palo Alto Networks และอัปเกรด Portal และ Gateway ทุกระบบที่ได้รับผลกระทบ ส่วนมาตรการบรรเทาความเสี่ยงชั่วคราว ได้แก่ การปิดใช้งาน Authentication Override หรือสร้าง Certificate ใหม่ที่ใช้สำหรับ Authentication Override Cookies โดยเฉพาะเท่านั้น

ที่มา: cybersecuritynews