แฮ็กเกอร์โจมตีเซิร์ฟเวอร์ Qlik Sense ด้วย reverse shell เตรียมช่องโหว่

ผู้ก่อการร้ายถูกพบกำลังโจมตีเซิร์ฟเวอร์ Qlik Sense ด้วยคำสั่ง PowerShell reverse shell ที่ส่งเข้าไปยังหลายสภาพแวดล้อมขององค์กร กิจกรรมดังกล่าวเกิดขึ้นในเดือนตุลาคม 2026 และยังไม่ประสบความสำเร็จในการบุกรุกระบบเป้าหมาย เหตุการณ์ดังกล่าวถูกเปิดเผยโดยทีม CyOps และทีมวิจัยของ Cynet

ตามข้อมูลของทีมวิจัย กิจกรรมที่ผิดปกติถูกตรวจพบระหว่างเดือนตุลาคม 2026 ที่องค์กรลูกค้าหลายรายในสหภาพยุโรป ทั้งหมดเกิดขึ้นภายในช่วงเวลาที่แคบมาก นานเพียงเล็กน้อยเกินสามนาที ความน่าสนใจอยู่ที่การเลือกจังหวะการโจมตีที่สั้นและกระจายไปยังหลายเป้าหมาย ซึ่งต้องอาศัยการเตรียมการและการประสานงานอย่างชัดเจน

เป้าหมายของการโจมตีคือเซิร์ฟเวอร์ Qlik Sense

จุดสนใจหลักของการโจมตีอยู่ที่เซิร์ฟเวอร์ Qlik Sense ซึ่งเป็นแพลตฟอร์มที่องค์กรภาคธุรกิจนำข้อมูลมาวิเคราะห์และสร้างรายงาน ผู้โจมตีใช้ช่องทางดังกล่าวในการส่งคำสั่ง PowerShell reverse shell เข้าไปในหลายสภาพแวดล้อมขององค์กรเป้าหมาย เพื่อเปิดช่องทางสำหรับการส่งคำสั่งและรับผลลัพธ์จากเครื่องระบบภายในย้อนกลับมายังเครื่องควบคุมของตนเอง

สิ่งที่น่าสังเกตคือ ความพยายามเหล่านี้ยังไม่ประสบความสำเร็จ ผู้โจมตีจึงยังไม่สามารถใช้ช่องโหว่ดังกล่าวเข้าควบคุมระบบเป้าหมายได้ อย่างไรก็ตาม การที่คำสั่งถูกส่งถึงระบบจริงแสดงให้เห็นว่าเป็นการโจมตีที่มีความจริงจัง และมีโอกาสสูงที่จะถูกทำซ้ำกับเป้าหมายเดิมหรือเป้าหมายใหม่ในช่วงเวลาต่อมา

เซิร์ฟเวอร์ Qlik Sense มักเชื่อมต่อกับฐานข้อมูลสำคัญและเครื่องมือภายในหลายด้านขององค์กร การเข้าถึงระบบดังกล่าวจึงอาจนำไปสู่การเข้าถึงข้อมูลที่ไม่ควรเปิดเผย หรือการเคลื่อนไหย้อยหลังได้ เหตุนี้ทำให้ระบบประมวลผลข้อมูลภายในองค์กรกลายเป็นเป้าหมายที่น่าสนใจของผู้โจมตี แม้จะไม่ได้เป็นระบบที่เน้นการรับคำขอจากภายนอกโดยตรงก็ตาม

กิจกรรมทั้งหมดเกิดขึ้นในช่วงเวลาเพียงเกือกสามนาที

รายละเอียดที่ทำให้กรณีนี้น่าจับตา คือ กิจกรรมทั้งหมดที่ตรวจพบเกิดขึ้นภายในช่วงเวลาแคบมาก นานเพียงเล็กน้อยเกินสามนาที ผู้ตรวจสอบระบุว่า การกระทำในลักษณะนี้เกิดกับองค์กรลูกค้าหลายรายในสหภาพยุโรปในช่วงเดือนตุลาคม 2026 รูปแบบการทำงานเช่นนี้สะท้อนถึงการวางแผนและประสานงานระหว่างการโจมตีแต่ละครั้งเป็นอย่างดี มากกว่าการสุ่มเลือกเป้าหมาย

รูปแบบที่เกิดขึ้นในช่วงเวลาสั้นมากนี้ ทำให้การตรวจจับผ่านระบบเฝ้าระวังแบบเรียลไทม์เป็นเรื่องที่ท้าทายมาก องค์กรที่มีทีมตรวจจับเหตุการณ์เฉพาะกิจ หรือมีระบบแจ้งเตือนอัตโนมัติที่ทำงานต่อเนื่อง จึงมีโอกาสที่จะเก็บรายละเอียดของการโจมตีและระบุผู้ก่อการร้ายได้มากกว่าองค์กรที่พึ่งพาการตรวจสอบด้วยตนเองเป็นหลัก

ในทางปฏิบัติ ความยาวของช่วงเวลาที่สั้นเช่นนี้ยังบอกได้น้อยเกี่ยวกับจำนวนระบบที่ถูกโจมตี แต่ก็บ่งชี้ว่า การพยายามเข้าถึงระบบจำนวนมากพร้อมกันต้องอาศัยการเตรียมงานมากก่อน รวมถึงการทดสอบช่องทางการเข้าถึงล่วงหน้า ซึ่งเป็นจุดที่องค์กรควรให้ความสำคัญในการเฝ้าระวัง

การตรวจพบโดยทีม CyOps และ Research ของ Cynet

การตรวจสอบครั้งนี้เกิดขึ้นโดยทีม CyOps และทีมวิจัยของ Cynet ซึ่งทำหน้าที่ติดตามการโจมตีที่มีแนวโน้มการทำงานใหม่และเตือนภัยลูกค้า ผลการวิเคราะห์ระบุว่า กิจกรรมที่ตรวจพบนั้นมีลักษณะบางส่วนที่สอดคล้องกับรูปแบบการโจมตีที่เคยพบมาก่อนหน้านี้ ซึ่งช่วยให้ผู้ตรวจสอบเชื่อมโยงกิจกรรมเข้ากับชุดเครื่องมือและกลวิธีที่ผู้โจมตีใช้อยู่ได้ง่ายขึ้น

ข้อมูลชุดนี้ยังช่วยยืนยันว่า การโจมตีเซิร์ฟเวอร์ Qlik Sense ไม่ได้เกิดขึ้นเฉพาะเจาะจงเป้าหมายรายองค์กร แต่เป็นกิจกรรมที่กระจายออกไปยังหลายสภาพแวดล้อมในเวลาเดียวกัน ลักษณะเช่นนี้ทำให้การระบุต้นตอของการโจมตีหรือการจำกัดขอบเขตความเสียหายทำได้ยากขึ้น และยังเป็นประเด็นที่องค์กรควรหารือร่วมกับผู้ให้บริการด้านความปลอดภัยอย่างเร่งด่วน

การเตรียมช่องโหว่ ActiveMQ และ Veeam ไว้ในชุดเครื่องมือ

จากรายงานการโจมตีครั้งนี้ ผู้โจมตียังเตรียมการใช้ช่องโหว่ของ ActiveMQ และ Veeam ไว้ในชุดเครื่องมือของตนด้วย การเตรียมการลักษณะนี้สะท้อนแนวทางที่ผู้โจมตีมักใช้ โดยเป้าหมายระบบจำนวนมากและกระจายตัวเลือกการเข้าถึงไว้ล่วงหน้า เพื่อเพิ่มโอกาสในการเข้าสู่ระบบและขยายผลไปยังเครื่องเป้าหมายอื่น

การที่ช่องโหว่ของทั้งสองผลิตภัณฑ์ถูกจัดเตรียมพร้อมกัน สะท้อนว่าผู้โจมตีมีความรู้เกี่ยวกับระบบเทคโนโลยีที่แตกต่างกันหลายชนิด รวมถึงเป้าหมายที่ใช้ระบบส่งข้อความและระบบสำรองข้อมูล องค์กรจึงควรทบทวนความเกี่ยวข้องของเทคโนโลยีเหล่านี้กับระบบงานจริง และตรวจสอบว่ามีการเปิดเผยต่อสาธารณะหรือไม่ รวมถึงตรวจสอบเวอร์ชันและแพตช์ความปลอดภัยของแต่ละระบบ

สิ่งที่องค์กรควรเตรียมรับมือ

เหตุการณ์นี้ส่งสัญญาณชัดว่า การมองข้ามความสำคัญของระบบวิเคราะห์ข้อมูลภายในองค์กรอาจเป็นความเสี่ยงที่ไม่ควรมองข้าม การเฝ้าระวังคำสั่ง PowerShell ที่ผิดปกติ การตรวจสอบล็อกของระบบอย่างต่อเนื่อง และการจำกัดการเชื่อมต่อจากภายนอก จะช่วยให้เห็นการโจมตีก่อนที่ผู้โจมตีจะได้ประโยชน์จากช่องทางที่เปิดอยู่

ในระยะสั้น องค์กรที่มีเซิร์ฟเวอร์ Qlik Sense ควรตรวจสอบแพตช์และการตั้งค่าความปลอดภัย พร้อมทบทวนสิทธิ์การเข้าใช้งาน และควรสำรวจการเปิดใช้งานบริการของ ActiveMQ และ Veeam ให้เห็นชัดเจนว่า มีการเข้าถึงจากภายนอกอยู่หรือไม่ เพราะการเตรียมการโจมตีที่หลายช่องทางในครั้งเดียว สะท้อนว่าผู้โจมตีมองหาเส้นทางที่หลากหลายและหวังจะให้ได้เข้าถึงระบบใดระบบหนึ่งสำเร็จ องค์กรที่ลดจำนวนช่องทางที่เปิดอยู่ก็จะลดความเสี่ยงลงได้ด้วย

ในภาพรวม กรณีนี้แสดงให้เห็นว่า การป้องกันไม่ได้จำกัดอยู่ที่การปิดช่องโหว่ของผลิตภัณฑ์ยอดนิยมเท่านั้น แต่ยังเกี่ยวข้องกับการเฝ้าระวังพฤติกรรมที่ผิดปกติและการจัดการสิทธิ์การเข้าใช้งานภายในองค์กรอีกด้วย

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th