ช่องโหว่ CVE-2025-31324
นักวิจัยด้านความปลอดภัยได้เชื่อมโยงผู้ก่อภัยคุกคามที่เกี่ยวข้องกับจีนที่มีชื่อว่า Chaya_004 เข้ากับการใช้ประโยชน์จากช่องโหว่ SAP NetWeaver ที่สำคัญซึ่งระบุได้ว่าเป็น CVE-2025-31324 ช่องโหว่นี้ซึ่งมีคะแนน CVSS สูงสุดคือ 10.0 อนุญาตให้ผู้โจมตีสามารถดำเนินการโค้ดจากระยะไกล (RCE) ได้โดยการอัปโหลดเว็บเชลล์ที่คุกคามผ่านจุดสิ้นสุด /developmentserver/metadatauploader ที่มีช่องโหว่
ช่องโหว่นี้ได้รับความสนใจเป็นครั้งแรกในช่วงปลายเดือนเมษายน 2025 เมื่อทีมงาน infosec ค้นพบว่าช่องโหว่นี้ถูกใช้ประโยชน์อย่างแข็งขันในธรรมชาติ ผู้โจมตีใช้ช่องโหว่นี้เพื่อติดตั้งเว็บเชลล์และเครื่องมือหลังการใช้ประโยชน์ เช่น Brute Ratel C4
สารบัญ
Fallout: อุตสาหกรรมในจุดเล็ง
ตั้งแต่เดือนมีนาคม 2025 เป็นต้นมา ช่องโหว่นี้ถูกนำไปใช้ในทางที่ผิดอย่างแพร่หลายในอุตสาหกรรมและภูมิศาสตร์ต่างๆ การโจมตีเบื้องต้นเชื่อว่าเกิดขึ้นเร็วที่สุดในวันที่ 12 มีนาคม โดยมีการยืนยันการบุกรุกที่ประสบความสำเร็จระหว่างวันที่ 14 มีนาคมถึง 31 มีนาคม
ภาคส่วนที่ได้รับผลกระทบ ได้แก่:
- พลังงานและสาธารณูปโภค
- การผลิต
- สื่อและความบันเทิง
- น้ำมันและก๊าซ
- ยา
- องค์กรค้าปลีกและภาครัฐ
การโจมตีที่แพร่หลายเหล่านี้ชี้ไปที่แคมเปญทั่วโลกซึ่งอาจส่งผลกระทบต่อระบบ SAP หลายร้อยระบบ
ภายในโครงสร้างพื้นฐานที่เป็นอันตราย
ผู้ก่อภัยคุกคาม Chaya_004 อยู่แถวหน้าของแคมเปญเหล่านี้ โดยโฮสต์เชลล์ย้อนกลับบนเว็บที่เรียกว่า SuperShell บนที่อยู่ IP 47.97.42[.]177 โครงสร้างพื้นฐานนี้ยังเปิดเผยองค์ประกอบที่น่าสงสัยอื่น ๆ อีกด้วย:
- พอร์ต 3232/HTTP ให้บริการใบรับรองที่ลงนามเองเลียนแบบ Cloudflare
- เครื่องมือและบริการภาษาจีนหลากหลายที่โฮสต์ผ่านผู้ให้บริการคลาวด์ของจีน
เครื่องมือป้องกันมัลแวร์ที่เกี่ยวข้องกับกลุ่มนี้ได้แก่:
- NPS (Network Policy Server) : เครื่องมือนี้มักใช้ในการจัดการนโยบายการเข้าถึงเครือข่าย ผู้โจมตีสามารถใช้ประโยชน์จากเครื่องมือนี้เพื่อควบคุมปริมาณการรับส่งข้อมูลบนเครือข่าย ซึ่งอาจทำให้เข้าถึงโดยไม่ได้รับอนุญาตหรือขัดขวางการสื่อสารได้
ชุดเครื่องมือที่ซับซ้อนนี้ เมื่อผนวกรวมกับการใช้โครงสร้างพื้นฐานของจีน แสดงให้เห็นอย่างชัดเจนว่ามีผู้ก่อภัยคุกคามปฏิบัติการจากจีน
ก้าวไปข้างหน้า: กลยุทธ์การป้องกันการแสวงหาผลประโยชน์อย่างต่อเนื่อง
แม้ว่าจะมีการออกแพตช์ด้านความปลอดภัยแล้ว แต่กิจกรรมที่สร้างความเสียหายยังคงดำเนินต่อไปในภูมิทัศน์หลังการแพตช์ ซึ่งบ่งชี้ว่าเว็บเชลล์ที่ติดตั้งไว้ก่อนหน้านี้กำลังถูกนำไปใช้ซ้ำและขยายขอบเขตโดยผู้ฉ้อโกงในวงกว้าง ตั้งแต่ผู้ฉวยโอกาสไปจนถึงผู้ต่อต้านที่มีทักษะสูง ในสภาพแวดล้อมภัยคุกคามที่เปลี่ยนแปลงไปนี้ องค์กรต่างๆ ต้องใช้มาตรการแก้ไขที่ครอบคลุม ซึ่งรวมถึงการใช้การอัปเดต SAP อย่างเป็นทางการอย่างรวดเร็ว การจำกัดการเข้าถึงจุดสิ้นสุดที่เสี่ยงภัยอย่างระมัดระวัง และการปิดใช้งานบริการที่ไม่จำเป็น เช่น Visual Composer
นอกจากนี้ การรักษาระดับการเฝ้าระวังที่เพิ่มมากขึ้นผ่านการตรวจสอบระบบและบันทึกอย่างต่อเนื่องสำหรับพฤติกรรมที่ผิดปกติยังคงมีความจำเป็น ความพยายามในการป้องกันเหล่านี้มีความสำคัญต่อการลดโอกาสที่อาจเกิดการบุกรุกเพิ่มเติมและปกป้องความสมบูรณ์ของการทำงานของโครงสร้างพื้นฐาน SAP
