แฮกเกอร์ฝังเว็บเชลล์บนเซิร์ฟเวอร์ Nextcloud ผ่านช่องโหว่แอป Collabora

แฮกเกอร์ใช้ช่องโหว่ในแอปเสริมของ Nextcloud ที่ชื่อว่า Collabora Online หรือ Built-in CODE Server เพื่อฝังเว็บเชลล์ลงบนเซิร์ฟเวอร์ ทำให้ผู้โจมตีสามารถควบคุมระบบจากระยะไกลได้ โดยมีผู้ดูแลระบบสามรายแจ้งปัญหาผ่าน GitHub และเหตุการณ์โจมตีครั้งแรกถูกบันทึกไว้เมื่อวันที่ 10 กันยายน

ช่องโหว่ดังกล่าวส่งผลกระทบต่อเซิร์ฟเวอร์ Nextcloud ที่ติดตั้งแอป Collabora ไว้ ทำให้ผู้ไม่หวังดีสามารถเข้าถึงระบบและรันคำสั่งต่าง ๆ ด้วยสิทธิ์ของบัญชีเว็บเซิร์ฟเวอร์ได้ทันที

ลักษณะของการโจมตี

ผู้โจมตีอาศัยช่องโหว่ในแอป Collabora Online ซึ่งเป็นแอปเสริมที่ช่วยให้ผู้ใช้งานสามารถแก้ไขเอกสารออนไลน์ผ่านเซิร์ฟเวอร์ Nextcloud ได้ เมื่อเซิร์ฟเวอร์มีช่องโหว่นี้ ผู้ไม่หวังดีสามารถอัปโหลดเว็บเชลล์ซึ่งเป็นไฟล์ขนาดเล็กที่ทำหน้าที่รับคำสั่งจากผู้โจมตีผ่านเว็บรีเควส และรันคำสั่งเหล่านั้นบนเซิร์ฟเวอร์ได้

เมื่อฝังเว็บเชลล์สำเร็จ ผู้โจมตีจะได้รับสิทธิ์เทียบเท่ากับบัญชีเว็บเซิร์ฟเวอร์ สามารถอ่านไฟล์ แก้ไขการตั้งค่า หรือแม้แต่ใช้เซิร์ฟเวอร์เป็นฐานในการโจมตีระบบอื่นต่อได้

เว็บเชลล์คืออะไร

เว็บเชลล์เป็นเครื่องมือที่ผู้โจมตีใช้แทนที่ไฟล์ปกติบนเว็บเซิร์ฟเวอร์ ไฟล์ดังกล่าวทำหน้าที่รับคำสั่งจากเว็บรีเควสและส่งต่อไปยังระบบปฏิบัติการเพื่อรัน ผลลัพธ์ที่ได้จะถูกส่งกลับมายังผู้โจมตี ทำให้สามารถควบคุมเซิร์ฟเวอร์ได้ราวกับนั่งอยู่หน้าเครื่อง

เว็บเชลล์ถือเป็นภัยคุกคามร้ายแรง เพราะสามารถซ่อนตัวอยู่ในระบบได้นาน และตรวจจับได้ยากหากไม่มีการตรวจสอบไฟล์อย่างสม่ำเสมอ

ไทม์ไลน์และการค้นพบ

ผู้ดูแลระบบสามรายแจ้งปัญหาผ่านหน้า GitHub ของโครงการ โดยเหตุการณ์โจมตีแรกถูกบันทึกไว้เมื่อวันที่ 10 กันยายน หลังจากนั้นมีรายงานเพิ่มเติมอีก ทำให้ทีมพัฒนา Nextcloud เร่งตรวจสอบและเตรียมออกแพตช์เพื่ออุดช่องโหว่

ผู้ดูแลระบบที่ใช้ Nextcloud ควรติดตามอัปเดตจากทางผู้พัฒนาอย่างใกล้ชิด และตรวจสอบไฟล์บนเซิร์ฟเวอร์ว่ามีไฟล์แปลกปลอมหรือไม่

ผลกระทบที่อาจเกิดขึ้น

เซิร์ฟเวอร์ Nextcloud ที่ติดตั้งแอป Collabora ไว้และยังไม่ได้อัปเดต อาจตกเป็นเป้าหมายของการโจมตี ข้อมูลของผู้ใช้งาน ไฟล์เอกสาร และข้อมูลส่วนบุคคลที่จัดเก็บบนเซิร์ฟเวอร์อาจถูกเข้าถึงหรือถูกขโมยได้

นอกจากนี้ผู้โจมตีอาจใช้เซิร์ฟเวอร์ที่ถูกแฮกเป็นฐานในการโจมตีขั้นต่อไป ทั้งการขุดคริปโต การแพร่กระจายมัลแวร์ หรือการโจมตีระบบภายในองค์กร

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th