MeshCentral ฝังสิทธิ์รูทเล็งฐานข้อมูลล็อกอินบรอดแบนด์ไทย: 3BB ชี้เป็นระบบของลูกค้าองค์กร

Read in English

ไดเรกทอรีเปิดโล่ง แบ็คดอร์ MeshCentral และฐานข้อมูล RADIUS

เมื่อวันที่ 14 กันยายน 2569 บริษัทข่าวกรองภัยคุกคาม Hunt.io เผยแพร่รายงานเทคนิคเกี่ยวกับการบุกรุกที่ยังดำเนินอยู่ซึ่งเชื่อมโยงกับโครงสร้างบรอดแบนด์ไทย นักวิจัยเก็บภาพเซิร์ฟเวอร์ที่ผู้โจมตีเปิดทิ้งไว้บนอินเทอร์เน็ตเมื่อวันที่ 3 มิถุนายน 2569 ภายในมีไฟล์ประมาณ 298 ไฟล์ ได้แก่ สคริปต์เจาะระบบ เครื่องมือพ่นรหัสผ่าน คอนฟิกเอเจนต์ MeshCentral และรายการเครื่องที่อยู่ภายใต้การควบคุมแล้ว The Hacker News สรุปข้อค้นพบชุดเดียวกันในวันเดียวกัน

ตามรายงานของ Hunt.io ผู้โจมตีติดตั้ง MeshCentral ซึ่งเป็นเครื่องมือจัดการระยะไกลที่ฝ่ายไอทีใช้กันปกติ ให้ทำหน้าที่เป็นแบ็คดอร์แฝง เอเจนต์รายงานกลับไปยังเซิร์ฟเวอร์ที่ผู้โจมตีรันที่ www.ayuthayatech.com ภายใต้กลุ่มอุปกรณ์ชื่อ TH-3BB เครื่องหลายเครื่องในรายการเชื่อมต่ออยู่ด้วยสิทธิ์รูทตอนที่ส่งออกข้อมูล และมีสคริปต์ทำความสะอาดที่เขียนไว้ลบบันทึกและเครื่องมืออื่น แต่จงใจเหลือเอเจนต์ MeshCentral ไว้

สคริปต์ยังเล็งฐานข้อมูล RADIUS ชื่อ radius_corp, radiusinfo และ job_radius ซึ่งเป็นระบบที่เก็บข้อมูลล็อกอินที่ลูกค้าบรอดแบนด์ใช้เข้าเน็ต Hunt.io ระบุจุดหนึ่งที่ทีมกำกับดูแลต้องจำไว้ชัดเจน คือหลักฐานแสดงว่าฐานข้อมูลเหล่านั้นถูก เล็งเป้า ไม่ได้ยืนยันว่าข้อมูลผู้ใช้ถูกขโมยไปแล้ว

สองวันถัดมา 3BB ชี้แจงอย่างไร

วันที่ 16 กันยายน 2569 3BB ออกแถลงชี้แจงตามที่ Telecomlover และสื่อเทคโนโลยีไทยรายงาน บริษัทระบุว่าจากการตรวจสอบภายในไม่พบการเข้าถึงข้อมูลลูกค้าของ 3BB แต่อย่างใด และเหตุการณ์เป็นความพยายามเข้าถึงระบบของลูกค้าองค์กรรายหนึ่ง ซึ่งเป็นระบบที่ลูกค้าดูแลเอง ไม่ใช่ระบบของ 3BB บริษัทได้แจ้งลูกค้ารายนั้นให้ตรวจสอบและเสริมความปลอดภัยแล้ว พร้อมชี้แจงต่อสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และหน่วยงานกำกับดูแลที่เกี่ยวข้อง

สรุปข้อเท็จจริงสาธารณะขณะนี้จึงเป็นดังนี้ นักวิจัยอธิบายถึงสิทธิ์รูทผ่าน MeshCentral และเครื่องมือดึง RADIUS ในโครงสร้างที่เชื่อมกับแบรนด์และโดเมนภายในของ 3BB ส่วน 3BB ระบุว่าเป้าหมายคือระบบของลูกค้าองค์กรที่ดูแลเอง และไม่พบการเข้าถึงข้อมูลลูกค้า 3BB ไม่ว่าจะมองมุมไหน บทเรียนสำหรับบริษัทไทยก็เหมือนกัน

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

• เซิร์ฟเวอร์ที่องค์กรดูแลเองคือเป้าอ่อน ถ้าคำชี้แจงของ 3BB ถูกต้อง ผู้โจมตีเล็งสแตกของลูกค้าองค์กร แร็คโคโล เซิร์ฟเวอร์ RADIUS หรือ AAA ในออฟฟิศ เกตเวย์ VPN และเครื่องลินุกซ์ "ชั่วคราว" ที่ลืมเก็บในห้องเก็บของ ล้วนอยู่ในกลุ่มนี้ เครื่องพวกนี้มักเก็บคีย์ SSH ของพนักงาน รหัสผ่านฐานข้อมูล และล็อกอินลูกค้าต่ออีกนานหลังโปรเจกต์จบไปแล้ว
• เครื่องมือแอดมินที่ถูกกฎหมายกลายเป็นแบ็คดอร์ที่มองแทบไม่เห็น MeshCentral เอเจนต์ซัพพอร์ตระยะไกล และซอฟต์แวร์คล้ายกันปนไปกับทราฟฟิกไอทีปกติ พอเอเจนต์รันด้วยสิทธิ์รูทแล้ว การเปลี่ยนรหัสไฟร์วอลล์อย่างเดียวไม่พอ ต้องหาและถอดเอเจนต์ออก แล้วตัดสินใจว่าจะทำอย่างไรกับเครื่องที่เคยโฮสต์มัน
• ฐานข้อมูลรหัสผ่านมีอายุยาวกว่าเหตุผลทางธุรกิจ สำเนา RADIUS, LDAP และตารางผู้ใช้ใน MySQL คือข้อมูลที่ PDPA คาดให้ลบเมื่อพ้นระยะเก็บรักษา เซิร์ฟเวอร์ที่ยังเก็บสิ่งเหล่านี้ไว้คือเหตุรั่วที่รอไดเรกทอรีเปิดโล่งครั้งถัดไป
• ช่องทางเข้าอาจยังไม่ยืนยัน แต่การเคลียร์เครื่องยืนยันไม่ได้ Hunt.io พบชุดเครื่องมือเต็มรูปแบบสำหรับช่องโหว่ FortiGate CVE-2024-21762 กับ SSL-VPN ที่ผูกกับแบรนด์ 3BB แต่ไม่ได้พิสูจน์ว่าช่องโหว่นั้นคือทางเข้าจริง การรอรายงานสาเหตุที่สมบูรณ์แบบไม่ใช่เหตุผลดีพอที่จะปล่อยดิสก์เก่าและเซิร์ฟเวอร์สำรองนอนในตู้

แผนเคลียร์หลังมีสัญญาณบุกรุก

1. ทำรายการเซิร์ฟเวอร์ NAS และเครื่องโคโลที่บริษัทเป็นเจ้าของหรือดูแลจริง รวมถึงเครื่องที่โฮสต์อยู่กับ ISP หรือศูนย์ข้อมูลแต่แอดมินโดยทีมของคุณเอง
2. ไล่หาเอเจนต์จัดการระยะไกลที่ไม่ได้ติดตั้งเอง ไฟล์ SUID แอบแฝง เว็บเชลล์ และคีย์ SSH ที่ไม่รู้จัก หมุนเวียนรหัส RADIUS ฐานข้อมูล VPN และแอปพลิเคชันที่อาจถูกคัดลอก
3. เมื่อเปลี่ยนเครื่องหรือไม่ไว้ใจเครื่องนั้นแล้ว อย่ารีเซ็ตแล้วเก็บไว้ "เผื่อใช้" ให้ใช้บริการทำลายข้อมูลเซิร์ฟเวอร์ที่บันทึกหมายเลขซีเรียลและออกใบรับรองให้ทุกเครื่อง
4. ดิสก์ที่ถอดออกมาหรือดิสก์สำรองให้ส่งเข้าบริการทำลายฮาร์ดดิสก์และ SSD โน้ตบุ๊กพนักงานที่เคยเก็บคอนฟิก VPN หรือไฟล์รหัสผ่านที่ส่งออกมาให้ผ่านบริการทำลายข้อมูลโน้ตบุ๊ก และถ้าเปลี่ยนเครื่องทั้งออฟฟิศ ให้ทำเป็นงานการกำจัดสินทรัพย์ไอทีครั้งเดียว แล้วเก็บใบรับรองไว้กับเอกสาร PDPA

สำหรับงานเซิร์ฟเวอร์ เราไปรับเครื่องที่สำนักงานของคุณในกรุงเทพฯ บันทึกหมายเลขซีเรียลตอนรับ ควบคุมการส่งต่อครบทุกขั้นจนถึงการทำลายทางกายภาพ และออกใบรับรองการทำลายข้อมูลทุกเซิร์ฟเวอร์ (หมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานรายการอุปกรณ์ มีหลักฐานภาพถ่ายและวิดีโอให้หากต้องการ เราทำเฉพาะอุปกรณ์ ไม่รับย่อยเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อทำลายเซิร์ฟเวอร์และดิสก์ที่ยังเก็บสำเนา RADIUS คีย์ SSH และล็อกอินลูกค้าเก่า อย่าปล่อยให้แบ็คดอร์สไตล์ MeshCentral ครั้งถัดไปยังเจอของมีค่าอยู่

ที่มา: Hunt.io, "Thai Broadband Provider Targeted via FortiGate SSL-VPN and MeshCentral Persistence" (14 ก.ย. 2569); The Hacker News, "3BB Attacker Used MeshCentral Backdoor for Root Access, Targeted Subscriber Credentials" (14 ก.ย. 2569); Telecomlover, "3BB ยืนยันไม่พบการเข้าถึงข้อมูลลูกค้า ย้ำมาตรการความปลอดภัย พร้อมชี้แจงหน่วยงานกำกับดูแลแล้ว" (16 ก.ย. 2569); Monster Connect สรุปคำชี้แจง AIS/3BB (ก.ย. 2569)