พบเหตุการณ์การโจมตีที่มุ่งเป้าไปยังพอร์ทัล Palo Alto Networks PAN-OS GlobalProtect โดยมี IP ที่ไม่ซ้ำกันเกือบ 24,000 รายการ ที่พยายามเข้าถึงโดยไม่ได้รับอนุญาตในช่วง 30 วันที่ผ่านมา

การโจมตีนี้ได้รับการแจ้งเตือนโดยบริษัทด้านความปลอดภัยทางไซเบอร์ GreyNoise ซึ่งแสดงให้เห็นถึงความซับซ้อนที่เพิ่มขึ้นของผู้ไม่หวังดีในการตรวจสอบการป้องกันของเครือข่ายเพื่อเตรียมการโจมตีในอนาคต

GreyNoise ตรวจพบเหตุการณ์ที่เพิ่มสูงขึ้นมาตั้งแต่วันที่ 17 มีนาคม 2025 โดยสูงสุดเกือบถึง 20,000 IP ที่ไม่ซ้ำกันต่อวัน

แม้ว่าเหตุการณ์จะลดลงภายในวันที่ 26 มีนาคม แต่ก็ยังแสดงให้เห็นถึงรูปแบบที่สอดคล้องกัน โดยส่วนใหญ่ของ IP ที่ถูกตรวจสอบมีลักษณะเป็น Suspicious (23,800) และ Outright Malicious (154)

Bob Rudis รองประธานฝ่าย Data Science ของ GreyNoise ระบุว่า การโจมตีครั้งนี้สอดคล้องกับแนวโน้มในอดีตที่มักจะเกิดขึ้นหลังจากการค้นพบช่องโหว่ใหม่ ๆ

"ในช่วง 18-24 เดือนที่ผ่านมา เราได้พบการโจมตีที่มุ่งเป้าไปยังช่องโหว่เก่า ๆ ซึ่งมักจะตามมาด้วยการค้นพบช่องโหว่ใหม่ ๆ ภายในไม่กี่สัปดาห์"

องค์กรที่ใช้ผลิตภัณฑ์ของ Palo Alto Networks ถูกแนะนำให้เสริมความปลอดภัยในพอร์ทัลการเข้าสู่ระบบของตนทันที เนื่องจากผู้ไม่หวังดีอาจกำลังเตรียมการโจมตีในอนาคต

ข้อสังเกตที่สำคัญ

GreyNoise พบหลายปัจจัยที่สำคัญในการพยายามโจมตีนี้

การวิเคราะห์แหล่งที่มา และประเทศปลายทาง

ประเทศต้นทาง : ส่วนใหญ่ของการโจมตีมาจากสหรัฐอเมริกา (16,249) และแคนาดา (5,823) โดยมีเหตุการณ์เพิ่มเติมมาจากฟินแลนด์, เนเธอร์แลนด์ และรัสเซีย
ประเทศปลายทาง : ส่วนใหญ่เป้าหมายคือระบบในสหรัฐอเมริกา (23,768) ตามด้วยสหราชอาณาจักร, ไอร์แลนด์, รัสเซีย และสิงคโปร์
เหตุการณ์ทั่วโลกนี้แสดงให้เห็นถึงการดำเนินการที่ประสานกันในหลายภูมิภาค

ผู้โจมตีที่มีส่วนร่วมหลัก และเครื่องมือที่ใช้

ผู้โจมตีที่มีส่วนร่วมหลักสามารถติดตามกลับได้ โดยมีการรับส่งข้อมูลไปยัง 3xK Tech GmbH ซึ่งรับผิดชอบ 20,010 IP ภายใต้ ASN200373

ผู้ที่มีส่วนร่วมอื่น ๆ ได้แก่ PureVoltage Hosting Inc.

พบ Hackers เริ่มใช้ช่องโหว่ใหม่ใน FortiNAC เพื่อสร้าง backdoor บน servers ของเป้าหมาย

นักวิจัยจาก GreyNoise และ CronUp ซึ่งเป็นบริษัทรักษาความปลอดภัยทางไซเบอร์ได้เผยแพร่รายงานพบการ พบ Hackers เริ่มใช้ช่องโหว่ใหม่ใน FortiNAC (CVE-2022-39952) ในการโจมตีเพื่อสร้าง backdoor บน servers ของเป้าหมาย ภายหลังจากที่ทาง Horizon3 ได้ปล่อย proof-of-concept exploit code (PoC) ที่ใช้ในการโจมตีช่องโหว่ดังกล่าวออกมา โดยเป็นการเพิ่ม cron job ใน reverse shell บนระบบของเหยื่อเพื่อให้ได้สิทธิสูงสุด (Root)

CVE-2022-39952 มีคะแนน CVSS v3 อยู่ที่ 9.8/10 ระดับความรุนแรงสูงมาก เป็นช่องโหว่ใน FortiNAC ที่สามารถหลบเลี่ยงการตรวจสอบสิทธิ และสามารถสั่งรันโค้ดที่เป็นอันตรายจากระยะไกลได้

FortiNAC เป็นโซลูชันในการควบคุมการเข้าถึงเครือข่ายที่ช่วยให้องค์กรมองเห็นภาพรวมของเครือข่ายแบบเรียลไทม์ รวมถึงการบังคับใช้นโยบายด้านความปลอดภัย และตรวจจับ และป้องกันภัยคุกคาม

รวมไปถึง GreyNoise และ CronUp ยังพบว่าการโจมตีอุปกรณ์ FortiNAC จำนวนมากผ่านช่องโหว่ CVE-2022-39952 มาจาก IP หลากหลายแห่ง โดยใช้กระบวนการโจมตีเดียวกับ PoC exploit ที่ Horizon3 ปล่อยออกมา คือการเพิ่ม cron job ใน reverse shell บนระบบของเหยื่อเพื่อให้ได้สิทธิ root และเรียกกลับไปยัง IP ของ Hacker

Fortinet กล่าวว่าปัจจุบัน ยังไม่มีวิธีการอื่นในการป้องกัน หรือหลีกเลี่ยงช่องโหว่ดังกล่าว จึงแนะนำให้ผู้ดูแลระบบทำการอัปเดตแพตซ์เพื่อป้องกันการถูกโจมตีจากช่องโหว่โดยเร็วที่สุด

 

ที่มา : bleepingcomputer