MeshCentral ฝังสิทธิ์รูทเล็งฐานข้อมูลล็อกอินบรอดแบนด์ไทย: 3BB ชี้เป็นระบบของลูกค้าองค์กร

Read in English

ไดเรกทอรีเปิดโล่ง แบ็คดอร์ MeshCentral และฐานข้อมูล RADIUS

เมื่อวันที่ 14 กันยายน 2569 บริษัทข่าวกรองภัยคุกคาม Hunt.io เผยแพร่รายงานเทคนิคเกี่ยวกับการบุกรุกที่ยังดำเนินอยู่ซึ่งเชื่อมโยงกับโครงสร้างบรอดแบนด์ไทย นักวิจัยเก็บภาพเซิร์ฟเวอร์ที่ผู้โจมตีเปิดทิ้งไว้บนอินเทอร์เน็ตเมื่อวันที่ 3 มิถุนายน 2569 ภายในมีไฟล์ประมาณ 298 ไฟล์ ได้แก่ สคริปต์เจาะระบบ เครื่องมือพ่นรหัสผ่าน คอนฟิกเอเจนต์ MeshCentral และรายการเครื่องที่อยู่ภายใต้การควบคุมแล้ว The Hacker News สรุปข้อค้นพบชุดเดียวกันในวันเดียวกัน

ตามรายงานของ Hunt.io ผู้โจมตีติดตั้ง MeshCentral ซึ่งเป็นเครื่องมือจัดการระยะไกลที่ฝ่ายไอทีใช้กันปกติ ให้ทำหน้าที่เป็นแบ็คดอร์แฝง เอเจนต์รายงานกลับไปยังเซิร์ฟเวอร์ที่ผู้โจมตีรันที่ www.ayuthayatech.com ภายใต้กลุ่มอุปกรณ์ชื่อ TH-3BB เครื่องหลายเครื่องในรายการเชื่อมต่ออยู่ด้วยสิทธิ์รูทตอนที่ส่งออกข้อมูล และมีสคริปต์ทำความสะอาดที่เขียนไว้ลบบันทึกและเครื่องมืออื่น แต่จงใจเหลือเอเจนต์ MeshCentral ไว้

สคริปต์ยังเล็งฐานข้อมูล RADIUS ชื่อ radius_corp, radiusinfo และ job_radius ซึ่งเป็นระบบที่เก็บข้อมูลล็อกอินที่ลูกค้าบรอดแบนด์ใช้เข้าเน็ต Hunt.io ระบุจุดหนึ่งที่ทีมกำกับดูแลต้องจำไว้ชัดเจน คือหลักฐานแสดงว่าฐานข้อมูลเหล่านั้นถูก เล็งเป้า ไม่ได้ยืนยันว่าข้อมูลผู้ใช้ถูกขโมยไปแล้ว

สองวันถัดมา 3BB ชี้แจงอย่างไร

วันที่ 16 กันยายน 2569 3BB ออกแถลงชี้แจงตามที่ Telecomlover และสื่อเทคโนโลยีไทยรายงาน บริษัทระบุว่าจากการตรวจสอบภายในไม่พบการเข้าถึงข้อมูลลูกค้าของ 3BB แต่อย่างใด และเหตุการณ์เป็นความพยายามเข้าถึงระบบของลูกค้าองค์กรรายหนึ่ง ซึ่งเป็นระบบที่ลูกค้าดูแลเอง ไม่ใช่ระบบของ 3BB บริษัทได้แจ้งลูกค้ารายนั้นให้ตรวจสอบและเสริมความปลอดภัยแล้ว พร้อมชี้แจงต่อสำนักงานคณะกรรมการการรักษาความมั่นคงปลอดภัยไซเบอร์แห่งชาติ (สกมช.) และหน่วยงานกำกับดูแลที่เกี่ยวข้อง

สรุปข้อเท็จจริงสาธารณะขณะนี้จึงเป็นดังนี้ นักวิจัยอธิบายถึงสิทธิ์รูทผ่าน MeshCentral และเครื่องมือดึง RADIUS ในโครงสร้างที่เชื่อมกับแบรนด์และโดเมนภายในของ 3BB ส่วน 3BB ระบุว่าเป้าหมายคือระบบของลูกค้าองค์กรที่ดูแลเอง และไม่พบการเข้าถึงข้อมูลลูกค้า 3BB ไม่ว่าจะมองมุมไหน บทเรียนสำหรับบริษัทไทยก็เหมือนกัน

เรื่องนี้หมายความว่าอย่างไรกับบริษัทของคุณ

• เซิร์ฟเวอร์ที่องค์กรดูแลเองคือเป้าอ่อน ถ้าคำชี้แจงของ 3BB ถูกต้อง ผู้โจมตีเล็งสแตกของลูกค้าองค์กร แร็คโคโล เซิร์ฟเวอร์ RADIUS หรือ AAA ในออฟฟิศ เกตเวย์ VPN และเครื่องลินุกซ์ "ชั่วคราว" ที่ลืมเก็บในห้องเก็บของ ล้วนอยู่ในกลุ่มนี้ เครื่องพวกนี้มักเก็บคีย์ SSH ของพนักงาน รหัสผ่านฐานข้อมูล และล็อกอินลูกค้าต่ออีกนานหลังโปรเจกต์จบไปแล้ว
• เครื่องมือแอดมินที่ถูกกฎหมายกลายเป็นแบ็คดอร์ที่มองแทบไม่เห็น MeshCentral เอเจนต์ซัพพอร์ตระยะไกล และซอฟต์แวร์คล้ายกันปนไปกับทราฟฟิกไอทีปกติ พอเอเจนต์รันด้วยสิทธิ์รูทแล้ว การเปลี่ยนรหัสไฟร์วอลล์อย่างเดียวไม่พอ ต้องหาและถอดเอเจนต์ออก แล้วตัดสินใจว่าจะทำอย่างไรกับเครื่องที่เคยโฮสต์มัน
• ฐานข้อมูลรหัสผ่านมีอายุยาวกว่าเหตุผลทางธุรกิจ สำเนา RADIUS, LDAP และตารางผู้ใช้ใน MySQL คือข้อมูลที่ PDPA คาดให้ลบเมื่อพ้นระยะเก็บรักษา เซิร์ฟเวอร์ที่ยังเก็บสิ่งเหล่านี้ไว้คือเหตุรั่วที่รอไดเรกทอรีเปิดโล่งครั้งถัดไป
• ช่องทางเข้าอาจยังไม่ยืนยัน แต่การเคลียร์เครื่องยืนยันไม่ได้ Hunt.io พบชุดเครื่องมือเต็มรูปแบบสำหรับช่องโหว่ FortiGate CVE-2024-21762 กับ SSL-VPN ที่ผูกกับแบรนด์ 3BB แต่ไม่ได้พิสูจน์ว่าช่องโหว่นั้นคือทางเข้าจริง การรอรายงานสาเหตุที่สมบูรณ์แบบไม่ใช่เหตุผลดีพอที่จะปล่อยดิสก์เก่าและเซิร์ฟเวอร์สำรองนอนในตู้

แผนเคลียร์หลังมีสัญญาณบุกรุก

1. ทำรายการเซิร์ฟเวอร์ NAS และเครื่องโคโลที่บริษัทเป็นเจ้าของหรือดูแลจริง รวมถึงเครื่องที่โฮสต์อยู่กับ ISP หรือศูนย์ข้อมูลแต่แอดมินโดยทีมของคุณเอง
2. ไล่หาเอเจนต์จัดการระยะไกลที่ไม่ได้ติดตั้งเอง ไฟล์ SUID แอบแฝง เว็บเชลล์ และคีย์ SSH ที่ไม่รู้จัก หมุนเวียนรหัส RADIUS ฐานข้อมูล VPN และแอปพลิเคชันที่อาจถูกคัดลอก
3. เมื่อเปลี่ยนเครื่องหรือไม่ไว้ใจเครื่องนั้นแล้ว อย่ารีเซ็ตแล้วเก็บไว้ "เผื่อใช้" ให้ใช้ บริการทำลายข้อมูลเซิร์ฟเวอร์ ที่บันทึกหมายเลขซีเรียลและออกใบรับรองให้ทุกเครื่อง
4. ดิสก์ที่ถอดออกมาหรือดิสก์สำรองให้ส่งเข้า บริการทำลายฮาร์ดดิสก์และ SSD โน้ตบุ๊กพนักงานที่เคยเก็บคอนฟิก VPN หรือไฟล์รหัสผ่านที่ส่งออกมาให้ผ่าน บริการทำลายข้อมูลโน้ตบุ๊ก และถ้าเปลี่ยนเครื่องทั้งออฟฟิศ ให้ทำเป็นงาน การกำจัดสินทรัพย์ไอที ครั้งเดียว แล้วเก็บใบรับรองไว้กับเอกสาร PDPA

สำหรับงานเซิร์ฟเวอร์ เราไปรับเครื่องที่สำนักงานของคุณในกรุงเทพฯ บันทึกหมายเลขซีเรียลตอนรับ ควบคุมการส่งต่อครบทุกขั้นจนถึงการทำลายทางกายภาพ และออกใบรับรองการทำลายข้อมูลทุกเซิร์ฟเวอร์ (หมายเลขซีเรียล วิธีการ และวันที่) พร้อมรายงานรายการอุปกรณ์ มีหลักฐานภาพถ่ายและวิดีโอให้หากต้องการ เราทำเฉพาะอุปกรณ์ ไม่รับย่อยเอกสารกระดาษ

ขอใบเสนอราคาทันที หรือโทร 082-797-3702 เพื่อทำลายเซิร์ฟเวอร์และดิสก์ที่ยังเก็บสำเนา RADIUS คีย์ SSH และล็อกอินลูกค้าเก่า อย่าปล่อยให้แบ็คดอร์สไตล์ MeshCentral ครั้งถัดไปยังเจอของมีค่าอยู่

ที่มา: Hunt.io, "Thai Broadband Provider Targeted via FortiGate SSL-VPN and MeshCentral Persistence" (14 ก.ย. 2569); The Hacker News, "3BB Attacker Used MeshCentral Backdoor for Root Access, Targeted Subscriber Credentials" (14 ก.ย. 2569); Telecomlover, "3BB ยืนยันไม่พบการเข้าถึงข้อมูลลูกค้า ย้ำมาตรการความปลอดภัย พร้อมชี้แจงหน่วยงานกำกับดูแลแล้ว" (16 ก.ย. 2569); Monster Connect สรุปคำชี้แจง AIS/3BB (ก.ย. 2569)