ผู้โจมตีกำลังใช้ช่องโหว่ SimpleHelp RMM เป็นช่องทางขโมยข้อมูลสำคัญ
ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) แจ้งเตือนถึงการตรวจพบการโจมตีจริงที่อาศัยช่องโหว่ใน SimpleHelp Remote Monitoring and Management (RMM) ซึ่งเป็นซอฟต์แวร์ที่นิยมใช้สำหรับบริหารจัดการเครื่องคอมพิวเตอร์และให้บริการ IT Support จากระยะไกล โดยผู้ไม่หวังดีสามารถใช้ช่องโหว่นี้เพื่อยกระดับสิทธิ์เข้าถึงระบบและติดตั้งมัลแวร์สำหรับขโมยข้อมูลสำคัญขององค์กรได้
เหตุการณ์ดังกล่าวถือเป็นอีกหนึ่งตัวอย่างที่สะท้อนว่าเครื่องมือบริหารจัดการระบบที่ใช้ในองค์กร หากไม่ได้รับการอัปเดตอย่างสม่ำเสมอ อาจกลายเป็นจุดเริ่มต้นของการโจมตีทางไซเบอร์ได้
รายละเอียดการโจมตี
จากข้อมูลของ ThaiCERT ผู้โจมตีสามารถใช้ประโยชน์จากช่องโหว่เพื่อสร้างบัญชี Technician ที่มีสิทธิ์ระดับสูงบนเซิร์ฟเวอร์ SimpleHelp โดยไม่จำเป็นต้องผ่านการยืนยันตัวตน จากนั้นจึงเชื่อมต่อไปยังอุปกรณ์ปลายทางที่อยู่ภายใต้การบริหารจัดการของระบบ RMM ได้โดยตรง
หลังจากเข้าควบคุมระบบได้แล้ว ผู้โจมตีจะติดตั้ง Djinn Stealer ซึ่งเป็นมัลแวร์สำหรับขโมยข้อมูลสำคัญ เช่น
- รหัสผ่านที่บันทึกไว้ในเว็บเบราว์เซอร์
- Cookies สำหรับการเข้าสู่ระบบ
- ข้อมูลบัญชีผู้ใช้งาน
- ข้อมูลที่จัดเก็บภายใน Browser
นอกจากนี้ยังมีการใช้เครื่องมือ Taskweaver เพื่อดาวน์โหลดเพย์โหลดเพิ่มเติม สั่งรันคำสั่งจากระยะไกล และสร้างกลไกที่ช่วยให้ผู้โจมตียังคงเข้าถึงระบบได้ในระยะยาว (Persistence)
ผลกระทบต่อองค์กร
สำหรับองค์กรที่ใช้ SimpleHelp RMM ในการให้บริการ IT Support, IT Maintenance หรือบริหารจัดการเครื่องลูกข่ายจำนวนมาก ความเสี่ยงจากเหตุการณ์นี้อาจส่งผลกระทบในหลายด้าน ได้แก่
การรั่วไหลของข้อมูลสำคัญ
ข้อมูลบัญชีผู้ใช้งาน รหัสผ่าน และ Session Cookies ที่ถูกขโมย อาจถูกนำไปใช้เข้าถึงระบบ Cloud, Microsoft 365, VPN หรือบริการอื่นขององค์กร
การขยายการโจมตีภายในองค์กร
เมื่อผู้โจมตีสามารถควบคุมเครื่องลูกข่ายได้แล้ว อาจใช้เป็นฐานในการเคลื่อนย้ายภายในเครือข่าย (Lateral Movement) เพื่อเข้าถึง Server, Infrastructure และระบบสำคัญอื่น
ความเสียหายต่อธุรกิจ
การถูกควบคุมระบบจากระยะไกลอาจนำไปสู่เหตุการณ์ Data Breach, การหยุดชะงักของบริการ หรือแม้แต่การโจมตีด้วย Ransomware ในลำดับถัดไป
แนวทางป้องกันที่แนะนำ
ผู้ดูแลระบบและทีม Cyber Security ควรดำเนินการดังต่อไปนี้
อัปเดต SimpleHelp เป็นเวอร์ชันล่าสุด
ติดตั้ง Security Patch จากผู้พัฒนาโดยเร็วที่สุด เพื่อลดความเสี่ยงจากช่องโหว่ที่ถูกนำไปใช้โจมตีจริง
ตรวจสอบบัญชีผู้ใช้งาน
ค้นหาบัญชี Technician ที่ถูกสร้างขึ้นโดยไม่ได้รับอนุญาต และตรวจสอบสิทธิ์ของผู้ใช้งานทั้งหมด
ตรวจสอบ Log การใช้งาน
เฝ้าระวังพฤติกรรมผิดปกติ เช่น การเชื่อมต่อจาก IP ที่ไม่คุ้นเคย การสร้างบัญชีใหม่ หรือการเรียกใช้คำสั่งที่ผิดปกติ
สแกนหา Indicators of Compromise (IOC)
ตรวจสอบเครื่องลูกข่ายและเซิร์ฟเวอร์ว่ามีการติดตั้ง Djinn Stealer หรือเครื่องมือหลังการโจมตีอื่นหรือไม่
ใช้ระบบป้องกันหลายชั้น
เสริมความปลอดภัยด้วย Endpoint Protection, Multi-Factor Authentication (MFA), Network Segmentation และระบบตรวจจับภัยคุกคามภายในองค์กร
มุมมองของผู้เชี่ยวชาญ
เครื่องมือประเภท Remote Monitoring and Management กลายเป็นเป้าหมายสำคัญของผู้โจมตีในช่วงหลายปีที่ผ่านมา เนื่องจากสามารถเข้าถึงอุปกรณ์จำนวนมากได้จากศูนย์กลางเพียงแห่งเดียว
ดังนั้น องค์กรที่มีทีม IT Solution, ผู้ให้บริการ Managed Service Provider (MSP) หรือผู้ดูแล Infrastructure ควรกำหนดกระบวนการอัปเดตแพตช์ การตรวจสอบ Log และการประเมินความเสี่ยงอย่างต่อเนื่อง เพื่อป้องกันไม่ให้เครื่องมือที่ใช้บริหารจัดการระบบกลายเป็นช่องทางให้ผู้ไม่หวังดีเข้าควบคุมเครือข่ายขององค์กร
บทสรุป
เหตุการณ์ครั้งนี้แสดงให้เห็นว่าช่องโหว่ในระบบบริหารจัดการระยะไกลสามารถสร้างผลกระทบต่อทั้งข้อมูลและโครงสร้างพื้นฐานขององค์กรได้อย่างรวดเร็ว หากองค์กรใช้งาน SimpleHelp RMM ควรเร่งตรวจสอบเวอร์ชันที่ใช้งาน ติดตั้งแพตช์ล่าสุด และติดตามความผิดปกติของระบบอย่างใกล้ชิด เพื่อป้องกันการถูกโจมตีและลดความเสี่ยงจากภัยคุกคามไซเบอร์ในอนาคต
หากองค์กรของคุณต้องการยกระดับความมั่นคงปลอดภัยของระบบ Cyber Security, วางแผน IT Solution, บริการ IT Support, IT Maintenance, Cloud Infrastructure หรือการประเมินความเสี่ยงด้านความปลอดภัย ทีมผู้เชี่ยวชาญของ Time To Fly Technology พร้อมให้คำปรึกษาและช่วยออกแบบแนวทางที่เหมาะสมกับธุรกิจของคุณ
