ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ด้านความมั่นคงปลอดภัย พบรายงานการแพร่ระบาดของมัลแวร์สายพันธุ์ใหม่ “Evooo1Bot” ซึ่งเป็น Linux Botnet ที่พัฒนาต่อยอดมาจากซอร์สโค้ดของ Mirai โดยมีเจตนาเพื่อแทรกซึมและยึดครองอุปกรณ์เครือข่ายและ IoT ให้เป็นโหนดส่งต่อข้อมูลอันตราย (Traffic Relay Nodes) ก่อให้เกิดความเสี่ยงคือ อุปกรณ์จะถูกควบคุมเพื่อใช้เป็นเครื่องมือในการโจมตีแบบ DDoS การดักจับรหัสผ่าน และใช้เป็นตัวกลางซ่อนร่องรอยการโจมตีได้ด้วย โดยผู้ที่ได้รับผลกระทบครอบคลุมถึงผู้ใช้งาน Router กล้องวงจรปิด และอุปกรณ์ IoT ภายในองค์กร เช่น D-Link, TP-Link, Zyxel, Hikvision และ Atlassian ที่ยังไม่ได้อุดช่องโหว่ความปลอดภัย โดยเกิดผลกระทบแล้วในหลายภูมิภาคทั่วโลก จึงขอให้หน่วยงานที่เกี่ยวข้องและผู้ดูแลระบบเร่งดำเนินการตรวจสอบและป้องกันโดยเร็ว [1]
1. รายละเอียดของภัยคุกคาม
ลักษณะของมัลแวร์ Evooo1Bot เป็นมัลแวร์เครือข่ายอุปกรณ์ที่ถูกควบคุม (Linux Botnet) มีโครงสร้างแบบแยกโมดูล (Modular) ที่พัฒนาต่อยอดมาจาก Mirai ทำงานโดยการสแกนค้นหาอุปกรณ์เครือข่ายและ IoT ที่เชื่อมต่อกับอินเทอร์เน็ต เพื่อสุ่มโจมตีผ่านช่องโหว่ความปลอดภัยเดิมที่เคยมีการเปิดเผยแล้ว (Known Vulnerabilities) รวมถึงการสุ่มเดารหัสผ่านเพื่อเข้าสู่ระบบ (SSH Brute-Force) เมื่อเจาะระบบสำเร็จ มัลแวร์จะทำการดาวน์โหลด Payload และสามารถทำงานได้ทันที
2. ลักษณะการโจมตี
2.1 โจมตีผ่านช่องโหว่และลบร่องรอย เมื่อโจมตีช่องโหว่สำเร็จ สคริปต์จะดาวน์โหลดมัลแวร์เวอร์ชันที่ตรงกับสถาปัตยกรรม CPU ของเครื่องเป้าหมาย (รองรับถึง 12 รูปแบบ) และทำการลบประวัติคำสั่ง (Bash History) ทันทีเพื่อซ่อนร่องรอย
2.2 ตรวจสอบสภาพแวดล้อมก่อนทำงาน (Anti-Analysis) มัลแวร์จะตรวจสอบก่อนว่ารันอยู่บน Debugger, เครื่องมือความปลอดภัย, Sandbox, Virtual Machine (VM), Container หรือ Honeypot หรือไม่ เพื่อหลบเลี่ยงการวิเคราะห์ของนักวิจัย
2.3 ฝังตัวถาวรในระบบ (Persistence) สร้างกลไกฝังตัวผ่าน systemd, SysV init, Shell Profiles, rc.local และตั้งค่า Cron job ให้ดาวน์โหลด Payload ใหม่เข้ามาทดแทนทุก ๆ 5 นาที
2.4 ดักจับข้อมูลสำคัญ (Credential Sniffing) เฝ้ามองไฟล์ระบบ /proc/net/tcp เพื่อดักจับข้อมูล HTTP Basic Authentication และ Cookie Headers ของผู้ใช้งาน
2.5 เปลี่ยนเครื่องของเหยื่อให้เป็น SOCKS5 Proxy เพื่อใช้เป็นเครื่องตัวกลางซ่อนทราฟฟิกอันตราย หลบเลี่ยงการบล็อกพื้นที่ (Geo-restriction) หรือใช้เป็นช่องทางเข้าสู่เครือข่ายภายใน พร้อมมี Interactive Shell และคำสั่ง รับ-ส่ง ไฟล์เพื่อควบคุมเครื่องเหยื่อโดยตรง
2.6 สุ่มเดารหัสผ่าน SSH พร้อมคลังรหัสผ่านดั้งเดิม และบัญชีระดับองค์กรกว่า 150 ชุดรายการ พร้อมระบบตรวจสอบหลัง Login เพื่อหลีกเลี่ยงการถูกตรวจจับจากอุปกรณ์ที่เป็น Honeypot
2.7 สื่อสารกับเซิร์ฟเวอร์ควบคุม (C2 Server) ผ่านการเข้ารหัสบน Port 443
3. ผลกระทบ
3.1 ถูกนำเครื่องไปใช้เป็น Proxy Node โดยอุปกรณ์ที่ถูกโจมตีสำเร็จจะกลายเป็น SOCKS5 Proxy Node ส่งผ่านทราฟฟิกอันตรายให้แฮกเกอร์ ซึ่งอาจถูกนำไปขายต่อในรูปแบบบริการ Residential Proxy
3.2 ข้อมูลรหัสผ่าน (Credentials) และข้อมูล Cookie ที่ใช้สืบทอดเซสชันผ่าน HTTP อาจถูกดักจับและขโมยออกไป
3.3 เครื่องเหยื่อจะกลายเป็นส่วนหนึ่งของเครือข่าย Botnet ซึ่งรองรับการปล่อยทราฟฟิกก่อกวนในรูปแบบการโจมตีแบบ DDoS ได้ถึง 16 วิธี (เช่น UDP, DNS, SYN, ACK, GRE, Fragmented TCP และ HTTP Flood)
3.4 แฮกเกอร์สามารถเข้าแทรกแซงผ่าน Interactive Shell เพื่อสั่งการ รันคำสั่ง หรืออัปโหลด/ดาวน์โหลดไฟล์อันตรายเพิ่มเติมได้ตามต้องการ
4. ผลิตภัณฑ์ที่ได้รับผลกระทบ
4.1 Gateway Routers & IoT Devices Alcatel, NETGEAR, Tenda, Mitsubishi Electric, Telesquare, D-Link (รวมถึง D-Link NAS) และ TP-Link
4.2 อุปกรณ์ความปลอดภัยและกล้องวงจรปิด Zyxel Firewalls และ Hikvision Cameras
4.3 ซอฟต์แวร์และแพลตฟอร์มองค์กร Atlassian Confluence, WSO2 Products, Kubernetes ingress-nginx และระบบที่ใช้ PHP-CGI ที่มีช่องโหว่
5. แนวทางการแก้ไข
5.1 ดำเนินการอัปเดตเฟิร์มแวร์ของอุปกรณ์เครือข่าย/IoT และซอฟต์แวร์ให้เป็นเวอร์ชันล่าสุดอยู่เสมอ เพื่ออุดช่องโหว่ที่มัลแวร์ใช้ในการเจาะระบบ
5.2 เปลี่ยนรหัสผ่านของผู้ดูแลระบบ (Admin) บัญชี SSH และ Telnet ไม่ให้ใช้ค่าเริ่มต้นจากโรงงาน พร้อมกำหนดรหัสผ่านใหม่ที่มีความซับซ้อนสูง
5.3 ปิดฟังก์ชัน Remote Management หรือปิด Port SSH/HTTP(S) ฝั่ง WAN อินเทอร์เน็ต หากจำเป็นต้องใช้งานควรจำกัดการเข้าถึงเฉพาะผ่าน VPN หรือ ZTNA เท่านั้น
5.4 ปลดระวางและทดแทนอุปกรณ์ที่ไม่ได้รับการอัปเดตแพตช์ความปลอดภัยจากผู้ผลิตแล้ว (End-of-Life / End-of-Support)
แหล่งอ้างอิง