แฮ็กเกอร์ชาวจีนใช้ประโยชน์จากช่องโหว่ Zero-day ใน VMware ESXi เพื่อซ่อนพฤติกรรมอันตรายบนเซิร์ฟเวอร์ที่ถูกบุกรุก

 

กลุ่มแฮ็กเกอร์ที่มีความเชื่อมโยงกับรัฐบาลจีนได้ใช้ประโยชน์จากช่องโหว่ Zero-Day บน VMware ESXi เพื่อปกปิดกิจกรรมของตนบนเซิร์ฟเวอร์ที่ถูกบุกรุก ระหว่างปฏิบัติการจารกรรมข้อมูลที่มุ่งเป้าไปยังองค์กรต่าง ๆ ในสหรัฐฯ รวมถึงสำนักงานกฎหมายหลายแห่ง โดยบริษัท CrowdStrike ระบุว่า กลุ่มผู้โจมตีดังกล่าวคือ WARP PANDA และเปิดเผยว่า กลุ่มนี้ได้ใช้ช่องโหว่หมายเลข CVE-2026-41709 ในการบุกรุกระบบหลายครั้ง ซึ่งการโจมตีดังกล่าวยังคงดำเนินต่อเนื่องมาจนถึงช่วงต้นปี 2026

ข้อมูลดังกล่าวปรากฏอยู่ในรายงานภัยคุกคามต่อภาคกฎหมายประจำปี 2026 ของ CrowdStrike ซึ่งเผยแพร่เมื่อวันที่ 28 ตุลาคม โดยคณะนักวิจัยระบุว่า WARP PANDA ได้ติดตั้งมัลแวร์หลายรูปแบบภายในสภาพแวดล้อม VMware vCenter ของเหยื่อ พร้อมทั้งใช้เทคนิคการ Bypass ระบบ Command Logging บน ESXi ในฐานะช่องโหว่ Zero-Day ระหว่างการโจมตีบางระลอกดังกล่าว

กรณีนี้แสดงให้เห็นว่า ช่องโหว่ความปลอดภัยที่ถูกประเมินว่ามีระดับคะแนนความรุนแรงต่ำ ก็สามารถช่วยให้ผู้โจมตีแฝงตัวได้อย่างแนบเนียนหลังจากยึดระบบสำเร็จ โดยช่องโหว่นี้ไม่ได้ทำหน้าที่เป็นประตูในการเจาะเข้าเซิร์ฟเวอร์ แต่เปิดทางให้ผู้โจมตีที่ถือสิทธิ์ระดับผู้ดูแลระบบอยู่แล้ว สามารถสั่งประมวลผลคำสั่งบางอย่างได้โดยไม่ทิ้งร่องรอยใน Logs ตามที่ระบบควรจะเป็น

หลักการทำงานของช่องโหว่การ Bypass การบันทึก Log บน VMware ESXi

ประกาศแจ้งเตือนด้านความปลอดภัยจาก Broadcom อธิบายว่า ช่องโหว่ CVE-2026-41709 ใน VMware ESXi เกิดจากการบันทึกข้อมูล Log ไม่เพียงพอ โดยมีคะแนน CVSS อยู่ที่ 2.7 ซึ่งจัดอยู่ในระดับความรุนแรงต่ำ ทั้งนี้ Broadcom ได้ให้เครดิตแก่ Ian Barton นักวิจัยจาก CrowdStrike ในฐานะผู้รายงานช่องโหว่ดังกล่าว

เงื่อนไขในการเข้าถึงถือเป็นประเด็นสำคัญ เนื่องจากช่องโหว่นี้ไม่ใช่ช่องโหว่ประเภท Remote Code Execution ที่ทำให้ผู้โจมตีภายนอกสั่งรันโค้ดโดยไม่ต้องยืนยันตัวตน และตัวช่องโหว่เองไม่ได้ให้สิทธิ์ระดับผู้ดูแลระบบแก่ผู้ใช้งาน แต่ผลกระทบของช่องโหว่นี้จะเกิดขึ้นหลังจากที่ระบบถูกบุกรุกแล้ว โดยผู้ไม่หวังดีที่มีสิทธิ์ระดับผู้ดูแลระบบสามารถใช้ช่องโหว่นี้เพื่อดำเนินการบางอย่างโดยที่พฤติกรรมเหล่านั้นไม่ถูกบันทึกไว้ในระบบ อย่างไรก็ตาม Broadcom ไม่ได้เปิดเผยรายละเอียดต่อสาธารณะว่ามีคำสั่ง หรือการทำงานประเภทใดบ้างที่ได้รับผลกระทบจากช่องโหว่นี้

การขาดหายไปของหลักฐานดังกล่าวอาจส่งผลให้กระบวนการตรวจสอบเหตุการณ์ทำได้ยากยิ่งขึ้น หากทีมรักษาความปลอดภัยจำเป็นต้องอาศัยเพียงข้อมูลจาก Log เพื่อเรียบเรียงลำดับเหตุการณ์การบุกรุก โดยพฤติกรรมบางอย่างของผู้โจมตีอาจไม่ปรากฏให้เห็น ทั้งนี้ ประกาศแจ้งเตือนไม่ได้ระบุว่าช่องโหว่นี้สามารถลบประวัติการบันทึกเดิมที่มีอยู่ หรือปิดกั้นข้อมูลเฝ้าระวังทั้งหมดในระบบ ซึ่งเป็นข้อจำกัดสำคัญที่ควรพิจารณาในการประเมินผลกระทบของช่องโหว่

ก่อนหน้านี้ สำนักข่าว Cyber Security News เคยรายงานถึงประเด็นนี้ไว้ร่วมกับช่องโหว่สำคัญด้าน Authentication Bypass และช่องโหว่อื่น ๆ ของ VMware ซึ่งแม้ช่องโหว่เหล่านี้จะปรากฏอยู่ในประกาศแจ้งเตือนฉบับเดียวกัน แต่มีเงื่อนไขการเข้าถึง และผลกระทบที่แตกต่างกัน โดยข้อมูลสรุปที่ CrowdStrike เผยแพร่ต่อสาธารณะ ไม่ได้ระบุชัดเจนว่ากลุ่ม WARP PANDA นำช่องโหว่เหล่านี้มาใช้ร่วมกัน

รายงานของ CrowdStrike ครอบคลุมช่วงเวลาตั้งแต่วันที่ 1 กันยายน 2025 ถึง 31 สิงหาคม 2026 โดยสำนักงานกฎหมายมักเป็นแหล่งเก็บข้อมูลสำคัญ เช่น ข้อมูลการสื่อสารที่เป็นความลับ รายละเอียดการควบรวมกิจการ ทรัพย์สินทางปัญญา เอกสารที่เกี่ยวข้องกับหน่วยงานรัฐ และบันทึกทางการเงิน ข้อมูลเหล่านี้ทำให้สำนักงานกฎหมายจัดเป็นเป้าหมายที่ดึงดูดผู้โจมตีอย่างมาก ทั้งในแง่ของการรวบรวมข่าวกรอง และการขโมยข้อมูล

WARP PANDA เป็นหนึ่งในสี่กลุ่มภัยคุกคามหลักที่มีความเชื่อมโยงกับประเทศจีนซึ่งถูกระบุไว้ในรายงานฉบับนี้ โดยในเดือนเมษายน 2026 กลุ่ม TITAN PANDA ได้ใช้ประโยชน์จากช่องโหว่ Hardcoded IIS Machine Key ในระบบ Intapp Time Server ซึ่งเป็นระบบบันทึกเวลา และออกใบแจ้งหนี้ที่ใช้งานกันเฉพาะในกลุ่มสำนักงานกฎหมายเท่านั้น

ขณะเดียวกัน แคมเปญ Password spraying ที่เรียกว่า ORB28 ของกลุ่ม MURKY PANDA ยังส่งผลกระทบต่อองค์กรต่าง ๆ กว่า 340 แห่ง โดยส่วนใหญ่อยู่ในสหรัฐอเมริกา และครอบคลุมหลายภาคส่วน ซึ่งพบว่าสำนักงานกฎหมายได้รับผลกระทบหนักที่สุด โดยที่สำนักงานกฎหมายแห่งหนึ่ง นักวิจัยพบความพยายามเข้าสู่ระบบที่ล้มเหลวเกือบ 500 ครั้งในบัญชีผู้ใช้จำนวนเท่ากัน ซึ่งมาจากหมายเลข IP ประมาณ 300 หมายเลข ตลอดระยะเวลา 30 วัน CrowdStrike ระบุว่าแคมเปญนี้เกิดขึ้นในช่วงเวลาที่คาบเกี่ยวจากช่วงเวลาที่บริษัทได้รวบรวมไว้ในรายงาน

นอกจากนี้ กลุ่ม OVERCAST PANDA ได้แยกปฏิบัติการมุ่งเป้าโจมตีผู้บริหารระดับสูงของสำนักงานกฎหมายในสหราชอาณาจักร ในช่วงเดือนกันยายน และตุลาคม 2025 กรณีศึกษาเหล่านี้แสดงให้เห็นถึงแนวทางการโจมตีที่แตกต่างกันตามวิธีของแต่ละกลุ่ม ไม่ใช่ปฏิบัติการร่วมกันแต่อย่างใด

การปล่อยแพตช์แก้ไขความปลอดภัย

Broadcom ได้ระบุเวอร์ชันของซอฟต์แวร์ที่ได้รับการแก้ไขสำหรับช่องโหว่ด้านการบันทึก Log ดังกล่าว ได้แก่ ESXi-9.1.0.0-25370933, ESXi-9.0.2.0100-25595025 และ ESXi80U3j-25429389 สำหรับผู้ใช้งาน VMware Cloud Foundation 5.x ควรดูคำแนะนำในการอัปเดตเวอร์ชัน 5.2.4 ส่วนการใช้งานในรูปแบบ Telco Cloud Platform ที่ได้รับผลกระทบ จะมีคำแนะนำแยกต่างหาก ระบุไว้ในบทความฐานความรู้หมายเลข KB449886 ทั้งนี้ ไม่มีการระบุวิธีแก้ปัญหาชั่วคราว (Workaround) ไว้แต่อย่างใด

สำหรับการจัดลำดับความสำคัญในการรับมือนั้น รายการช่องโหว่ที่ถูกนำไปใช้โจมตีจริง (Known Exploited Vulnerabilities: KEV) ของ CISA ถือเป็นแหล่งข้อมูลอ้างอิงที่มีประโยชน์ ควบคู่ไปกับคำแนะนำจากผู้ผลิต และการตรวจพบภัยคุกคามในสถานการณ์จริง ซึ่งในกรณีนี้ ที่มีการบันทึกโดย CrowdStrike ระบุถึงการนำช่องโหว่ไปใช้ในฐานะ Zero-Day ถือเป็นเหตุผลที่ชัดเจนเพียงพอที่ทำให้ฝ่ายป้องกันต้องประเมินความเสี่ยงของตนเอง แม้ว่าช่องโหว่นี้จะมีคะแนนความรุนแรงเชิงตัวเลขอยู่ในระดับต่ำก็ตาม

ที่มา : cybersecuritynews