เซิร์ฟเวอร์ที่ถูกเปิดทิ้ง: คู่มือการโจมตีที่ถูกเปิดเผย

CloudSEK ค้นพบไดเรกทอรีแบบเปิดบนเซิร์ฟเวอร์ที่เป็นของกลุ่มผู้คุกคามที่เชื่อมโยงกับรัสเซีย ซึ่งทำหน้าที่เป็นบันทึกระดับคำสั่งของกิจกรรมของผู้ปฏิบัติการ ไดเรกทอรีดังกล่าวประกอบด้วย:

• เครื่องมือเจาะระบบที่จัดเรียงตาม CVE
• รายชื่อเป้าหมายที่แบ่งตามประเทศ
• ผลลัพธ์การสแกนที่จัดหมวดหมู่เป็น 'มีช่องโหว่', 'ไม่มีช่องโหว่' และ 'ไม่สามารถเข้าถึงได้'
• กลไกตรวจสอบจุดคืบหน้าที่ติดตามความคืบหน้าผ่านเป้าหมายหลายแสนรายการ

โดยสรุป เซิร์ฟเวอร์นี้คือคู่มือปฏิบัติการและบันทึกการกดแป้นพิมพ์ของผู้ปฏิบัติการ ซึ่งเปิดให้ทุกคนที่รู้วิธีค้นหาเห็นได้

ช่องโหว่ที่ถูกใช้ประโยชน์และภาคส่วนเป้าหมาย

โบรกเกอร์รายนี้จัดเตรียมช่องโหว่ (exploit) สำหรับ CVE อย่างน้อย 12 รายการที่แตกต่างกัน โดยกำหนดเป้าหมายอุปกรณ์ขอบเครือข่าย (edge appliances) และเว็บแอปพลิเคชันที่เผชิญกับอินเทอร์เน็ตอย่างแพร่หลาย ผู้ผลิตที่ได้รับผลกระทบ ได้แก่ Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin และ Hikvision แม้ว่าโค้ดช่องโหว่ส่วนใหญ่จะเป็น 'proof-of-concept' สาธารณะ แต่ช่องโหว่หลักของ Fortinet และ Citrix ถูกดัดแปลงให้เป็นเฟรมเวิร์กแบบโมดูลาร์ที่ห่อหุ้มด้วยภาษารัสเซีย ซึ่งทำให้การฉีดคีย์ SSH, การสร้างผู้ใช้ VPN, การติดตั้งแบ็คดอร์สำหรับผู้ดูแลระบบ และการสแกนจำนวนมากเป็นไปโดยอัตโนมัติ ผู้ปฏิบัติการยังเก็บสำเนาในเครื่องของที่เก็บ nuclei templates พร้อมกับเทมเพลตแบบกำหนดเองกว่า 100 รายการสำหรับตรวจจับช่องโหว่ใหม่และแผง C2/stealer

ภาคส่วนเป้าหมายรวมถึง การศึกษา สาธารณสุข การเงิน โทรคมนาคม และรัฐบาล ในกว่า 12 ประเทศในอเมริกาเหนือ ยุโรป และอื่นๆ

หลักฐานการบุกรุก Active Directory แบบสมบูรณ์

ห่วงโซ่หลังการเจาะระบบ (post-exploitation chain) ของผู้ปฏิบัติการให้หลักฐานที่ชัดเจนของการครอบงำ Active Directory (AD) อย่างสมบูรณ์ :

• การเคลื่อนที่ในแนวราบ (Lateral movement): เว็บเชลล์ Neo-reGeorg และอุโมงค์ SOCKS สร้างช่องทางเข้าถึงภายในเบื้องต้น ซึ่งถูกทำให้เป็นอาวุธผ่านการเคลื่อนที่ในแนวราบโดยใช้ NTLM ผ่าน Evil-WinRM
• การขโมยข้อมูลประจำตัว (Credential theft): คีย์สำรอง DPAPI ถูกแยกออกจาก Domain Controller; SAM และ LSA secrets ถูกดัมพ์; ข้อมูลประจำตัวที่เก็บไว้ในเบราว์เซอร์ถูกเก็บเกี่ยว
• การบุกรุก krbtgt และ Golden Ticket: ผู้โจมตีแยกแฮช krbtgt และปลอมแปลง Kerberos ticket ด้วยอายุการใช้งานนานถึงหนึ่งทศวรรษ ทำให้สามารถกลับเข้ามาใหม่ได้โดยไม่จำกัด โดยไม่ขึ้นอยู่กับการรีเซ็ตรหัสผ่านและการแก้ไขจุดสิ้นสุด
• การยืนยันผ่านเหตุการณ์จริง: Greater Pittsburgh Orthopaedic Associates (GPOA) ผู้ให้บริการด้านสาธารณสุขในสหรัฐฯ ปรากฏในไดเรกทอรีพร้อมหลักฐานการบุกรุกโดเมน (ข้อมูลประจำตัวผู้ดูแลระบบถูกขโมย, คีย์สำรอง DPAPI ถูกแยกออกจาก Domain Controller) ต่อมา GPOA ปรากฏบนเว็บไซต์รั่วไหลของ RansomHouse หลังจากเหตุการณ์ในปี 2025 ซึ่งระยะเวลาที่ล่าช้าสอดคล้องกับช่วงเวลาทั่วไปของโบรกเกอร์เจาะระบบไปจนถึงการเรียกค่าไถ่

วิธีการรวบรวมข่าวกรองต่อยูเครน

ในช่วงท้ายของเส้นเวลาปฏิบัติการ กิจกรรมได้แยกออกจากการเป็นนายหน้าขายช่องทางเชิงพาณิชย์ล้วนๆ :

• การติดตั้ง Sliver C2: ผู้ปฏิบัติการติดตั้งเฟรมเวิร์กควบคุมและสั่งการ (C2) Sliver ต่อเป้าหมายด้านการป้องกันประเทศและอวกาศของยูเครน
• การขโมยซอร์สโค้ด: โบรกเกอร์เข้าถึงและขโมยที่เก็บซอร์สโค้ดผ่านระบบควบคุมเวอร์ชันที่ถูกเปิดเผย ซึ่งเป็นของโครงการที่เกี่ยวข้องกับการป้องกันประเทศ
• การเฝ้าระวังด้วยกล้อง IP: ผู้ปฏิบัติการเก็บเกี่ยวภาพจากกล้อง IP ที่ถูกเปิดเผยนับพันตัว และจับภาพหน้าจอจากเซสชัน Remote Desktop (RDP) ที่ถูกเปิดเผย ซึ่งเป็นข่าวกรองที่เป็นประโยชน์สำหรับการระบุตำแหน่งทรัพย์สินทางทหารของยูเครน
• เป้าหมายรอง: สหรัฐฯ ยุโรป และเกาหลีใต้ ปรากฏเป็นเป้าหมายข่าวกรองรองภายในสิ่งประดิษฐ์

CloudSEK ระบุว่ารูปแบบการปฏิบัติการนี้สอดคล้องอย่างใกล้ชิดกับคำแนะนำของ AIVD/MIVD (หน่วยข่าวกรองดัตช์) เกี่ยวกับการเฝ้าระวังด้วยกล้องที่เชื่อมโยงกับรัฐรัสเซีย ซึ่งใช้ในการระบุตำแหน่งทางทหารของยูเครน

รูปแบบสองด้านนี้สอดคล้องกับแนวทางปฏิบัติของรัสเซียที่ได้รับการบันทึกไว้อย่างไร

CloudSEK ประเมินด้วยความมั่นใจสูงว่าผู้ปฏิบัติการเป็นโบรกเกอร์เจาะระบบที่พูดภาษารัสเซีย ซึ่งกิจกรรมที่เน้นยูเครนนั้นอธิบายได้ดีที่สุดว่าเป็นผู้รับเหมาทางอาชญากรรมที่ขายช่องทางเข้าถึง—รวมถึงข่าวกรองที่ได้จากกล้อง—ให้กับผู้ซื้อที่เป็นรัฐ

สิ่งนี้สอดคล้องกับรูปแบบข่าวกรองของรัสเซียที่ได้รับการบันทึกไว้เป็นอย่างดี: ตัวแสดงที่ได้รับการสนับสนุนจากรัฐ (เช่น SVR, GRU, FSB) มักจะจัดหาช่องทางเข้าถึงเครือข่ายเริ่มต้นจากระบบนิเวศอาชญากรรม แทนที่จะดำเนินการบุกรุกเริ่มต้นด้วยตนเอง โบรกเกอร์อาชญากรรมจะจัดการงานที่มีปริมาณมากและมีเสียงดังในการสแกนและใช้ประโยชน์จากอุปกรณ์ขอบเครือข่าย ในขณะที่ลูกค้าของรัฐจ่ายเงินสำหรับการเข้าถึงที่เตรียมไว้ล่วงหน้าไปยังเป้าหมายที่มีมูลค่าสูง (โดยเฉพาะหน่วยงานด้านการป้องกันประเทศ อวกาศ และรัฐบาล) โดยไม่ต้องเปิดเผยโครงสร้างพื้นฐานที่ควบคุมโดยรัฐในระหว่างการบุกรุกครั้งแรก

ช่องทางเดียวกันที่โบรกเกอร์ขายให้กับกลุ่มแรนซัมแวร์เพื่อผลกำไรต่อเป้าหมายเชิงพาณิชย์ ยังถูกขายเป็นท่อส่งข่าวกรองต่อเป้าหมายทางทหารของยูเครน—เป็นโมเดลการใช้งานสองทางที่ความสามารถทางเทคนิคเดียวกันสร้างทั้งรายได้ทางอาชญากรรมและมูลค่าข่าวกรองเชิงกลยุทธ์ให้กับรัฐรัสเซีย

เซิร์ฟเวอร์ที่ถูกเปิดทิ้ง: คู่มือการโจมตีที่ถูกเปิดเผย

CloudSEK ค้นพบไดเรกทอรีแบบเปิดบนเซิร์ฟเวอร์ที่เป็นของกลุ่มผู้คุกคามที่เชื่อมโยงกับรัสเซีย ซึ่งทำหน้าที่เป็นบันทึกระดับคำสั่งของกิจกรรมของผู้ปฏิบัติการ ไดเรกทอรีดังกล่าวประกอบด้วย:

• เครื่องมือเจาะระบบที่จัดเรียงตาม CVE
• รายชื่อเป้าหมายที่แบ่งตามประเทศ
• ผลลัพธ์การสแกนที่จัดหมวดหมู่เป็น 'มีช่องโหว่', 'ไม่มีช่องโหว่' และ 'ไม่สามารถเข้าถึงได้'
• กลไกตรวจสอบจุดคืบหน้าที่ติดตามความคืบหน้าผ่านเป้าหมายหลายแสนรายการ

โดยสรุป เซิร์ฟเวอร์นี้คือคู่มือปฏิบัติการและบันทึกการกดแป้นพิมพ์ของผู้ปฏิบัติการ ซึ่งเปิดให้ทุกคนที่รู้วิธีค้นหาเห็นได้

ช่องโหว่ที่ถูกใช้ประโยชน์และภาคส่วนเป้าหมาย

โบรกเกอร์รายนี้จัดเตรียมช่องโหว่ (exploit) สำหรับ CVE อย่างน้อย 12 รายการที่แตกต่างกัน โดยกำหนดเป้าหมายอุปกรณ์ขอบเครือข่าย (edge appliances) และเว็บแอปพลิเคชันที่เผชิญกับอินเทอร์เน็ตอย่างแพร่หลาย ผู้ผลิตที่ได้รับผลกระทบ ได้แก่ Fortinet, SonicWall, F5, Citrix, Sophos, SAP, Roundcube, vBulletin และ Hikvision แม้ว่าโค้ดช่องโหว่ส่วนใหญ่จะเป็น 'proof-of-concept' สาธารณะ แต่ช่องโหว่หลักของ Fortinet และ Citrix ถูกดัดแปลงให้เป็นเฟรมเวิร์กแบบโมดูลาร์ที่ห่อหุ้มด้วยภาษารัสเซีย ซึ่งทำให้การฉีดคีย์ SSH, การสร้างผู้ใช้ VPN, การติดตั้งแบ็คดอร์สำหรับผู้ดูแลระบบ และการสแกนจำนวนมากเป็นไปโดยอัตโนมัติ ผู้ปฏิบัติการยังเก็บสำเนาในเครื่องของที่เก็บ nuclei templates พร้อมกับเทมเพลตแบบกำหนดเองกว่า 100 รายการสำหรับตรวจจับช่องโหว่ใหม่และแผง C2/stealer

ภาคส่วนเป้าหมายรวมถึง การศึกษา สาธารณสุข การเงิน โทรคมนาคม และรัฐบาล ในกว่า 12 ประเทศในอเมริกาเหนือ ยุโรป และอื่นๆ

หลักฐานการบุกรุก Active Directory แบบสมบูรณ์

ห่วงโซ่หลังการเจาะระบบ (post-exploitation chain) ของผู้ปฏิบัติการให้หลักฐานที่ชัดเจนของการครอบงำ Active Directory (AD) อย่างสมบูรณ์ :

• การเคลื่อนที่ในแนวราบ (Lateral movement): เว็บเชลล์ Neo-reGeorg และอุโมงค์ SOCKS สร้างช่องทางเข้าถึงภายในเบื้องต้น ซึ่งถูกทำให้เป็นอาวุธผ่านการเคลื่อนที่ในแนวราบโดยใช้ NTLM ผ่าน Evil-WinRM
• การขโมยข้อมูลประจำตัว (Credential theft): คีย์สำรอง DPAPI ถูกแยกออกจาก Domain Controller; SAM และ LSA secrets ถูกดัมพ์; ข้อมูลประจำตัวที่เก็บไว้ในเบราว์เซอร์ถูกเก็บเกี่ยว
• การบุกรุก krbtgt และ Golden Ticket: ผู้โจมตีแยกแฮช krbtgt และปลอมแปลง Kerberos ticket ด้วยอายุการใช้งานนานถึงหนึ่งทศวรรษ ทำให้สามารถกลับเข้ามาใหม่ได้โดยไม่จำกัด โดยไม่ขึ้นอยู่กับการรีเซ็ตรหัสผ่านและการแก้ไขจุดสิ้นสุด
• การยืนยันผ่านเหตุการณ์จริง: Greater Pittsburgh Orthopaedic Associates (GPOA) ผู้ให้บริการด้านสาธารณสุขในสหรัฐฯ ปรากฏในไดเรกทอรีพร้อมหลักฐานการบุกรุกโดเมน (ข้อมูลประจำตัวผู้ดูแลระบบถูกขโมย, คีย์สำรอง DPAPI ถูกแยกออกจาก Domain Controller) ต่อมา GPOA ปรากฏบนเว็บไซต์รั่วไหลของ RansomHouse หลังจากเหตุการณ์ในปี 2025 ซึ่งระยะเวลาที่ล่าช้าสอดคล้องกับช่วงเวลาทั่วไปของโบรกเกอร์เจาะระบบไปจนถึงการเรียกค่าไถ่

วิธีการรวบรวมข่าวกรองต่อยูเครน

ในช่วงท้ายของเส้นเวลาปฏิบัติการ กิจกรรมได้แยกออกจากการเป็นนายหน้าขายช่องทางเชิงพาณิชย์ล้วนๆ :

• การติดตั้ง Sliver C2: ผู้ปฏิบัติการติดตั้งเฟรมเวิร์กควบคุมและสั่งการ (C2) Sliver ต่อเป้าหมายด้านการป้องกันประเทศและอวกาศของยูเครน
• การขโมยซอร์สโค้ด: โบรกเกอร์เข้าถึงและขโมยที่เก็บซอร์สโค้ดผ่านระบบควบคุมเวอร์ชันที่ถูกเปิดเผย ซึ่งเป็นของโครงการที่เกี่ยวข้องกับการป้องกันประเทศ
• การเฝ้าระวังด้วยกล้อง IP: ผู้ปฏิบัติการเก็บเกี่ยวภาพจากกล้อง IP ที่ถูกเปิดเผยนับพันตัว และจับภาพหน้าจอจากเซสชัน Remote Desktop (RDP) ที่ถูกเปิดเผย ซึ่งเป็นข่าวกรองที่เป็นประโยชน์สำหรับการระบุตำแหน่งทรัพย์สินทางทหารของยูเครน
• เป้าหมายรอง: สหรัฐฯ ยุโรป และเกาหลีใต้ ปรากฏเป็นเป้าหมายข่าวกรองรองภายในสิ่งประดิษฐ์

CloudSEK ระบุว่ารูปแบบการปฏิบัติการนี้สอดคล้องอย่างใกล้ชิดกับคำแนะนำของ AIVD/MIVD (หน่วยข่าวกรองดัตช์) เกี่ยวกับการเฝ้าระวังด้วยกล้องที่เชื่อมโยงกับรัฐรัสเซีย ซึ่งใช้ในการระบุตำแหน่งทางทหารของยูเครน

รูปแบบสองด้านนี้สอดคล้องกับแนวทางปฏิบัติของรัสเซียที่ได้รับการบันทึกไว้อย่างไร

CloudSEK ประเมินด้วยความมั่นใจสูงว่าผู้ปฏิบัติการเป็นโบรกเกอร์เจาะระบบที่พูดภาษารัสเซีย ซึ่งกิจกรรมที่เน้นยูเครนนั้นอธิบายได้ดีที่สุดว่าเป็นผู้รับเหมาทางอาชญากรรมที่ขายช่องทางเข้าถึง—รวมถึงข่าวกรองที่ได้จากกล้อง—ให้กับผู้ซื้อที่เป็นรัฐ

สิ่งนี้สอดคล้องกับรูปแบบข่าวกรองของรัสเซียที่ได้รับการบันทึกไว้เป็นอย่างดี: ตัวแสดงที่ได้รับการสนับสนุนจากรัฐ (เช่น SVR, GRU, FSB) มักจะจัดหาช่องทางเข้าถึงเครือข่ายเริ่มต้นจากระบบนิเวศอาชญากรรม แทนที่จะดำเนินการบุกรุกเริ่มต้นด้วยตนเอง โบรกเกอร์อาชญากรรมจะจัดการงานที่มีปริมาณมากและมีเสียงดังในการสแกนและใช้ประโยชน์จากอุปกรณ์ขอบเครือข่าย ในขณะที่ลูกค้าของรัฐจ่ายเงินสำหรับการเข้าถึงที่เตรียมไว้ล่วงหน้าไปยังเป้าหมายที่มีมูลค่าสูง (โดยเฉพาะหน่วยงานด้านการป้องกันประเทศ อวกาศ และรัฐบาล) โดยไม่ต้องเปิดเผยโครงสร้างพื้นฐานที่ควบคุมโดยรัฐในระหว่างการบุกรุกครั้งแรก

ช่องทางเดียวกันที่โบรกเกอร์ขายให้กับกลุ่มแรนซัมแวร์เพื่อผลกำไรต่อเป้าหมายเชิงพาณิชย์ ยังถูกขายเป็นท่อส่งข่าวกรองต่อเป้าหมายทางทหารของยูเครน—เป็นโมเดลการใช้งานสองทางที่ความสามารถทางเทคนิคเดียวกันสร้างทั้งรายได้ทางอาชญากรรมและมูลค่าข่าวกรองเชิงกลยุทธ์ให้กับรัฐรัสเซีย