ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานแคมเปญการโจมตีที่เชื่อมโยงกับโครงสร้างพื้นฐานควบคุมและสั่งการ (Command and Control – C2) ของมัลแวร์ TencShell และ Gshell ซึ่งจะทำให้ผู้โจมตีสามารถเข้าควบคุมระบบ ขโมยฐานข้อมูล และฝังตัวอยู่ในระบบผ่านหน้าเว็บสำหรับควบคุมเครื่อง (Web Shell) ได้ และจากการตรวจสอบพบว่ากลุ่มผู้ไม่หวังดีได้ใช้มัลแวร์นี้ และเทคนิคหลายรูปแบบร่วมกันในการโจมตี โดยส่งผลกระทบต่อระบบบริหารจัดการในหลายประเทศแล้ว [1] [2]
1. รายละเอียดมัลแวร์
1.1 TencShell ถูกพัฒนาด้วยภาษา Go และมีพื้นฐานจาก Rshell ซึ่งเป็นเครื่องมือโอเพนซอร์สสำหรับทำหน้าที่เป็นศูนย์กลางการควบคุมและสั่งการผ่านเครือข่าย (Command and Control – C2) โดย Cato CTRL รายงานการตรวจพบและการสกัดกั้นความพยายามบุกรุกจาก TencShell ตั้งแต่เดือนเมษายน 2569 ที่มุ่งโจมตีผู้ผลิตภาคอุตสาหกรรมผ่านช่องทางการเข้าถึงของบุคคลที่สาม (third-party access) [1]
1.2 Hunt.io ได้เผยแพร่ข้อมูลเพิ่มเติมเมื่อวันที่ 14 กรกฎาคม 2569 โดยตรวจสอบจากโครงสร้างพื้นฐาน C2 ของ TencShell จนพบไดเรกทอรีของผู้ปฏิบัติการ ซึ่งมีซอร์สโค้ดของเหยื่อ สคริปต์เจาะระบบเฉพาะทาง บันทึกการปฏิบัติการ และหน้าเว็บปลอมสำหรับหลอกเก็บข้อมูลรับรองตัวตน พร้อมทั้งระบุถึง Gshell ซึ่งประเมินแล้วว่าเป็นโครงสร้างพื้นฐาน C2 อีกชุดหนึ่งที่ถูกใช้งานโดยผู้ปฏิบัติการกลุ่มเดียวกับ TencShell เนื่องจากพบเซิร์ฟเวอร์บางส่วนที่ให้บริการทั้งสองระบบร่วมกัน ทั้งนี้ จากข้อมูลปัจจุบันยังไม่มีการระบุชื่อกลุ่มภัยคุกคามหรือกลุ่ม Advanced Persistent Threat (APT) ที่เชื่อมโยงกับแคมเปญดังกล่าวอย่างเป็นทางการ [2]
2. รูปแบบพฤติกรรมและข้อมูลที่ตรวจพบ[2]
จากรายงานของ Hunt.io พบพฤติกรรมการโจมตีเว็บแอปพลิเคชันด้วยเทคนิค SQL Injection โดยมีการใช้เครื่องมือ SQLMap เพื่อทดสอบและเข้าถึงฐานข้อมูล การพยายามหลีกเลี่ยงกระบวนการยืนยันตัวตน การเข้าถึงส่วนบริหารจัดการระบบ และการติดตั้ง Web Shell เพื่อคงช่องทางการเข้าถึงระบบภายหลังการโจมตี นอกจากนี้ ยังพบการจัดเตรียมเครื่องมือ สคริปต์ และโครงสร้างพื้นฐานสำหรับสนับสนุนการดำเนินกิจกรรมในขั้นตอนต่าง ๆ ของการโจมตี ตั้งแต่การค้นหาเป้าหมาย การใช้ประโยชน์จากจุดอ่อนของระบบ ไปจนถึงการควบคุมระบบภายหลังการเข้าถึงสำเร็จ ซึ่งจากการวิเคราะห์โครงสร้างพื้นฐานของแคมเปญ พบว่า TencShell และ Gshell มีการใช้โครงสร้างพื้นฐานบางส่วนร่วมกัน ประเมินได้ว่าถูกใช้งานโดยผู้ปฏิบัติการกลุ่มเดียวกัน ทั้งนี้ ลักษณะการดำเนินงานดังกล่าวสะท้อนให้เห็นถึงการใช้เครื่องมือและโครงสร้างพื้นฐานหลายส่วนร่วมกันเพื่อสนับสนุนการโจมตี จึงควรเพิ่มการเฝ้าระวัง ตรวจสอบบันทึกเหตุการณ์ และติดตามตัวบ่งชี้การคุกคาม (IOCs) ที่เกี่ยวข้องอย่างต่อเนื่อง
3. ระบบที่ควรเฝ้าระวัง
3.1 ระบบ Web Application และ Web Server ที่เปิดให้บริการผ่านอินเทอร์เน็ต
3.2 ระบบบริหารจัดการที่มีหน้า Administrator หรือ Management Interface
3.3 ระบบที่มีการเชื่อมต่อกับฐานข้อมูลและรองรับการรับค่าจากผู้ใช้งาน
3.4 ระบบที่มีฟังก์ชันอัปโหลดไฟล์หรือจัดเก็บไฟล์ผ่านเว็บ
4. แนวทางการเฝ้าระวัง ป้องกัน และรับมือ
4.1 ตรวจสอบ Web Server Log, Web Application Firewall (WAF), Firewall, Proxy, IDS/IPS, EDR และ SIEM ย้อนหลัง เพื่อค้นหาคำขอหรือพฤติกรรมที่ผิดปกติ โดยเฉพาะ SQL Injection การหลีกเลี่ยงการยืนยันตัวตน การใช้งาน Session ที่ผิดปกติ การเข้าถึงไฟล์หรือ Path สำคัญ และการอัปโหลดหรือสร้างไฟล์ที่ไม่รู้จัก
4.2 ตรวจสอบบัญชีผู้ใช้งานและบัญชีที่มีสิทธิ์สูง โดยเฉพาะการสร้างบัญชีใหม่ การเปลี่ยนแปลงสิทธิ์ การเข้าสู่ระบบจากหมายเลขไอพีหรือช่วงเวลาที่ผิดปกติ และการเข้าถึงหน้า Administrator โดยไม่ได้รับอนุญาต
4.3 ตรวจสอบ Web Root, Temporary Directory และ Directory สำหรับอัปโหลดไฟล์ เพื่อค้นหา Web Shell สคริปต์ หรือไฟล์ที่ไม่ได้เป็นส่วนหนึ่งของระบบ รวมถึงตรวจสอบการเปลี่ยนแปลงไฟล์ย้อนหลังเทียบกับชุดไฟล์ที่เชื่อถือได้
4.4 ตรวจสอบฐานข้อมูลเพื่อค้นหาการ Query, Dump หรือ Export ข้อมูลจำนวนมากผิดปกติ รวมถึงการเข้าถึงตารางบัญชีผู้ใช้งาน ข้อมูลยืนยันตัวตน หรือข้อมูลส่วนบุคคล ตลอดจนการเพิ่ม แก้ไข หรือลบข้อมูลโดยไม่ได้รับอนุญาต
4.5 อัปเดตระบบปฏิบัติการ Web Server, Framework, Library, Database และส่วนประกอบที่เกี่ยวข้องให้เป็นเวอร์ชันที่ได้รับการแก้ไขด้านความปลอดภัย และทบทวนการตั้งค่าระบบที่เปิดให้เข้าถึงจากภายนอก
4.6 จำกัดการเข้าถึงหน้า Administrator และ Management Interface จากอินเทอร์เน็ตโดยตรง หากไม่มีความจำเป็น และพิจารณาใช้ VPN, IP Allowlist หรือมาตรการควบคุมการเข้าถึงที่เหมาะสม
แหล่งอ้างอิง