ผู้โจมตีใช้ช่องโหว่ AhsayCBS ฝังมัลแวร์ขุดเหรียญ XMRig ปลอมเป็น Microsoft Edge
พบผู้โจมตีใช้ช่องโหว่ใน AhsayCBS ติดตั้งเว็บเชลล์และมัลแวร์ขุดเหรียญ XMRig แอบอ้างเป็น Microsoft Edge เพื่อแฝงตัวในระบบ
นักวิจัยด้านความปลอดภัยเปิดเผยว่า กลุ่มผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่สองรายการที่เพิ่งถูกเปิดเผยในโปรแกรมสำรองข้อมูล AhsayCBS เพื่อเข้าควบคุมอุปกรณ์ที่ได้รับผลกระทบ และติดตั้งเว็บเชลล์พร้อมมัลแวร์ขุดเหรียญ XMRig บนเครื่องของเหยื่อ
การโจมตีครั้งนี้มีความน่าสนใจตรงที่ผู้โจมตีเลือกปลอมแปลงมัลแวร์ให้แสดงผลเป็นโปรแกรม Microsoft Edge ที่ผู้ใช้งานทั่วไปคุ้นเคย เพื่อหลีกเลี่ยงการตรวจจับจากเจ้าหน้าที่ฝ่ายไอทีและระบบรักษาความปลอดภัย
ภาพรวมของช่องโหว่ที่ถูกโจมตี
ช่องโหว่ทั้งสองรายการถูกระบุในระบบ AhsayCBS ซึ่งเป็นโซลูชันสำรองข้อมูลที่ใช้กันอย่างแพร่หลายในองค์กร ช่องโหว่แรกมีรหัส CVE 2026 105133 ได้คะแนนความรุนแรงในระบบ CVSS เวอร์ชัน 4 อยู่ที่ 5.5 ซึ่งจัดอยู่ในระดับปานกลาง โดยเป็นช่องโหว่ประเภทการยืนยันตัวตนที่ไม่เหมาะสมในฟังก์ชัน checkSysPwd ภายในไฟล์ com/ahsay/obs/api/ApiStructsAction.java ข้อบกพร่องนี้ทำให้ผู้โจมตีสามารถหลีกเลี่ยงขั้นตอนการตรวจสอบสิทธิ์เพื่อเข้าถึงระบบได้
กลไกการโจมตีและการแฝงตัว
หลังจากใช้ช่องโหว่เข้าถึงเครื่องเป้าหมายได้แล้ว ผู้โจมตีได้ติดตั้งเว็บเชลล์เพื่อเปิดช่องทางการเข้าถึงอย่างต่อเนื่อง จากนั้นจึงปล่อยมัลแวร์ขุดเหรียญคริปโตเคอร์เรนซี XMRig ลงในระบบ การเลือกใช้ XMRig เป็นอีกหนึ่งเทรนด์ที่พบบ่อยในกลุ่มอาชญากรไซเบอร์ เนื่องจาก Monero ให้ความเป็นส่วนตัวสูง ทำให้ยากต่อการติดตามธุรกรรม
เทคนิคการแฝงตัวโดยปลอมเป็น Microsoft Edge นับเป็นกลยุทธ์ที่ชาญฉลาด เพราะทำให้กระบวนการขุดเหรียญแสดงผลในลักษณะที่ดูเหมือนเบราว์เซอร์ทั่วไป ลดความสงสัยจากผู้ดูแลระบบที่อาจเปิดดูตัวจัดการงานบนเครื่อง
ความเสี่ยงต่อองค์กร
แม้การขุดเหรียญดูเหมือนเป็นภัยคุกคามระดับล่าง แต่ผลกระทบที่ตามมามีมากกว่าที่หลายคนคิด ทรัพยากรของเครื่องเซิร์ฟเวอร์ถูกใช้งานอย่างหนัก ค่าไฟฟ้าเพิ่มขึ้น ประสิทธิภาพของระบบลดลง และอาจเกิดความเสียหายต่อฮาร์ดแวร์จากการทำงานหนักต่อเนื่อง นอกจากนี้การที่ผู้โจมตีสามารถติดตั้งเว็บเชลล์ได้สำเร็จ หมายความว่าพวกเขาสามารถใช้เครื่องที่ถูกโจมตีเป็นฐานในการโจมตีขั้นต่อไปได้อีกด้วย
แนวทางป้องกันและรับมือ
องค์กรที่ใช้งาน AhsayCBS ควรตรวจสอบเวอร์ชันของซอฟต์แวร์และทำการอัปเดตแพตช์โดยเร็วที่สุด ควรเปิดใช้งานการยืนยันตัวตนแบบหลายปัจจัยสำหรับระบบสำรองข้อมูล ตรวจสอบกระบวนการที่ทำงานอยู่บนเซิร์ฟเวอร์อย่างสม่ำเสมอ และเฝ้าระวังการใช้ทรัพยากรของระบบที่ผิดปกติ การแยกเครือข่ายสำหรับระบบสำรองข้อมูลออกจากเครือข่ายหลักก็เป็นอีกมาตรการที่ช่วยลดความเสี่ยงได้
Reference
The Hacker News
หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม
💬 Line @monsteronline
☎️ Tel 02-026-6664
📩 Email [email protected]
🌐 Website mon.co.th