Palo Alto Networks งานเข้า แก๊งแรนซัมแวร์ใช้ช่องโหว่ VPN เจาะเครือข่ายองค์กร
ReliaQuest บริษัทด้านข่าวกรองภัยคุกคามไซเบอร์ เปิดเผยว่า กลุ่มแรนซัมแวร์กำลังใช้ช่องโหว่ CVE-2026-0257 ในระบบ VPN ของ Palo Alto Networks เพื่อข้ามขั้นตอนยืนยันตัวตนและเจาะเข้าสู่เครือข่ายภายในองค์กร โดยพบความเชื่อมโยงกับกลุ่มแรนซัมแวร์ Qilin และ Settra ซึ่งอาศัยช่องทาง VPN ที่องค์กรใช้งานตามปกติเป็นเส้นทางเจาะระบบ ทำให้กิจกรรมของผู้โจมตีอาจกลมกลืนกับการเชื่อมต่อจากพนักงานที่ทำงานจากระยะไกล และยากต่อการตรวจจับในช่วงแรก
เปิดทางเชื่อมต่อ VPN โดยไม่ต้องยืนยันตัวตน
ช่องโหว่ CVE-2026-0257 ส่งผลกระทบต่อระบบ PAN-OS GlobalProtect และ Prisma Access ของ Palo Alto Networks โดยเกี่ยวข้องกับองค์ประกอบ GlobalProtect Portal และ Gateway ซึ่งทำหน้าที่รองรับการเชื่อมต่อ VPN จากภายนอกเข้าสู่เครือข่ายองค์กร
อย่างไรก็ตาม ความเสี่ยงไม่ได้เกิดขึ้นกับทุกระบบที่ติดตั้ง GlobalProtect แต่ขึ้นอยู่กับการตั้งค่าบางประการ โดยต้องเปิดใช้งาน Authentication Override Cookies ร่วมกับการตั้งค่าใบรับรองตามเงื่อนไขที่ระบุไว้ในประกาศของผู้ผลิต ส่วน Panorama และ Cloud NGFW ไม่ได้รับผลกระทบจากช่องโหว่นี้
เมื่อผู้โจมตีใช้ช่องโหว่ได้สำเร็จ ก็อาจสร้างเซสชัน VPN โดยไม่ได้รับอนุญาต และเข้าสู่เครือข่ายภายในโดยไม่ต้องผ่านกระบวนการยืนยันตัวตนตามปกติ จากนั้นอาจขโมยข้อมูลรับรองบัญชีผู้ใช้ เคลื่อนย้ายไปยังระบบอื่นภายในเครือข่าย ลอบนำข้อมูลออกไป หรือวางแรนซัมแวร์เพื่อเรียกค่าไถ่
ReliaQuest ยังตรวจพบการใช้เครื่องมือ Cobalt Strike, BloodHound และ SharpHound ในกิจกรรมที่เกี่ยวข้อง โดย Cobalt Strike เป็นเครื่องมือที่สามารถใช้จำลองการโจมตีหรือควบคุมระบบจากระยะไกล ขณะที่ BloodHound และ SharpHound ใช้วิเคราะห์ความสัมพันธ์และสิทธิ์การเข้าถึงภายในเครือข่าย ซึ่งอาจช่วยให้ผู้โจมตีค้นหาเส้นทางไปยังบัญชีหรือระบบสำคัญได้ ทั้งนี้ ไม่ได้หมายความว่าทุกกรณีจะมีการใช้เครื่องมือทั้งสามชนิดหรือดำเนินการตามลำดับเดียวกัน
เร่งอัปเดตแพตช์ และแนวทางป้องกัน
ReliaQuest แนะนำให้องค์กรตรวจสอบการตั้งค่า GlobalProtect Portal และ Gateway ตามคำแนะนำของ Palo Alto Networks พร้อมอัปเดตซอฟต์แวร์ที่ได้รับผลกระทบโดยเร็ว และปิดการใช้งาน Authentication Override Cookies หากไม่มีความจำเป็นต้องใช้
สิ่งสำคัญคือ การติดตั้งแพตช์เพียงอย่างเดียวอาจไม่เพียงพอ เพราะผู้โจมตีอาจสร้างเซสชัน VPN ไว้ก่อนที่องค์กรจะแก้ไขช่องโหว่แล้ว ดังนั้น หลังอัปเดตระบบควรยุติเซสชัน GlobalProtect ที่ยังทำงานอยู่ทั้งหมด พร้อมตรวจสอบประวัติการเชื่อมต่อและค้นหาเซสชันที่ผิดปกติ เพื่อป้องกันไม่ให้ผู้โจมตีใช้ช่องทางเดิมเข้าถึงเครือข่ายต่อไป
นอกจากนี้ ควรตรวจสอบการเชื่อมต่อ VPN ที่มีชื่อโฮสต์ผิดปกติ เช่น “kali” ซึ่ง ReliaQuest ระบุว่าเป็นเบาะแสที่ควรนำไปตรวจสอบ อย่างไรก็ตาม ชื่อโฮสต์ดังกล่าวเพียงอย่างเดียวไม่สามารถยืนยันได้ว่าเป็นการโจมตีหรือระบุตัวผู้โจมตีได้อย่างแน่ชัด จึงต้องพิจารณาร่วมกับประวัติการเชื่อมต่อและหลักฐานอื่น ๆ
ReliaQuest ประเมินว่า ในช่วง 3 เดือนข้างหน้า ความเสี่ยงจากการใช้ช่องโหว่นี้ยังมีแนวโน้มอยู่ในระดับสูง เนื่องจากกลุ่มแรนซัมแวร์และนายหน้าขายสิทธิ์เข้าถึงระบบที่ถูกเจาะ (Initial Access Brokers) ยังคงมองหาระบบที่ไม่ได้ติดตั้งแพตช์เพื่อใช้เป็นช่องทางเข้าสู่เครือข่ายองค์กร
สำหรับข้อมูลที่ใช้ประกอบการตรวจสอบเหตุการณ์ (Indicators of Compromise: IoC) ReliaQuest เผยแพร่หมายเลข IP ที่ควรนำไปตรวจสอบร่วมกับหลักฐานอื่น ได้แก่
- 216.245.184[.]150
- 216.245.184[.]47
- 216.245.184[.]110
- 216.245.184.0
องค์กรสามารถนำข้อมูลเหล่านี้ไปเปรียบเทียบกับบันทึกการเชื่อมต่อ VPN และระบบตรวจจับภัยคุกคามที่ใช้งานอยู่ โดยไม่ควรสรุปว่าการพบ IP ใด IP หนึ่งเพียงอย่างเดียวเป็นหลักฐานยืนยันว่าระบบถูกเจาะแล้ว