พบแคมเปญ Cryptomining บน Linux ใช้ PAM ซ่อนตัวจากการตรวจจับ

นักวิจัยจาก Group-IB เปิดเผยแคมเปญขุด Monero บนระบบ Linux ที่ใช้เทคนิคหลบเลี่ยงการตรวจจับซับซ้อนเป็นพิเศษ โดยอาศัยกลไกของ Linux Pluggable Authentication Modules (PAM) เพื่อกระจายตัวและซ่อนตัวในหลายบัญชีผู้ใช้งาน ทำให้แม้ทีม Security จะเคลียร์การบุกรุกที่บัญชี Root ได้แล้ว มัลแวร์ก็ยังสามารถงอกกลับมาทำงานต่อจากบัญชีอื่นที่ไม่มีใครเฝ้าระวังได้

จุดเริ่มต้นของการโจมตี

แคมเปญนี้ถูกระบุครั้งแรกในเดือนพฤษภาคม 2026 โดยผู้โจมตีเข้าถึงเครือข่ายเป้าหมายผ่านการเชื่อมต่อของบุคคลที่สาม (Trusted Third-Party Connection) ซึ่งเป็นช่องทางที่มักได้รับความไว้วางใจและมีการเฝ้าระวังน้อยกว่าช่องทางการเข้าถึงโดยตรง

เทคนิคการใช้ PAM หลบเลี่ยงการตรวจจับ

หลังจากยกระดับสิทธิ์เป็น Root สำเร็จ ผู้โจมตีใช้ประโยชน์จาก Policy pam_rootok ใน Linux PAM ซึ่งปกติออกแบบมาเพื่อให้ผู้ใช้ Root สามารถสลับไปยังบัญชีอื่นได้โดยไม่ต้องใช้รหัสผ่านในบางสถานการณ์ ผู้โจมตีนำกลไกนี้มาใช้ สลับไปใช้งานบัญชีผู้ใช้สิทธิ์ต่ำหลายบัญชีโดยไม่ต้องมีรหัสผ่านของบัญชีนั้นๆ เลย

จากนั้นกระจาย Cron Job Persistence ไว้ในหลายบัญชีที่ปกติไม่มีใครเฝ้าระวัง แทนที่จะฝังไว้เฉพาะบัญชี Root เพียงจุดเดียว กลยุทธ์นี้ทำให้แม้ทีม Security จะตรวจพบและเคลียร์การบุกรุกที่บัญชี Root ได้สำเร็จ มัลแวร์ยังสามารถงอกกลับมาทำงานใหม่จากบัญชีอื่นที่ถูกฝัง Cron Job ไว้เช่นกัน

รายละเอียดมัลแวร์

Payload ที่ใช้ในแคมเปญนี้เป็นเวอร์ชันดัดแปลงของ XMRig 6.25.0 ซึ่งถูก Cross-compile ด้วย musl libc และมี Banner ฝังไว้ระบุว่าเป็น Private Botnet Version โดยเฉพาะ เมื่อรันแล้ว มัลแวร์จะลบไฟล์ Binary ของตัวเองออกจากดิสก์ ในขณะที่ยังคงทำงานต่อเนื่อง ทำให้เปลี่ยนสถานะเป็น Fileless อยู่ในหน่วยความจำล้วนๆ เพิ่มความยากในการตรวจจับด้วยเครื่องมือสแกนไฟล์แบบดั้งเดิม

Indicators of Compromise (IOC)

Mining Pool Host: unable.download
Campaign Tracking Marker: Username My-V25-GEN-26 และ Password V25-GEN-26 ซึ่งบ่งชี้ว่าเชื่อมโยงกับปฏิบัติการ Botnet รุ่นที่กว้างกว่าในชื่อ "V25 (Generation 26)"
Mutex File: /tmp/.lock ใช้เป็นตัวล็อกป้องกันการรันมัลแวร์ซ้ำซ้อนในเครื่องเดียวกัน

ผลกระทบที่อาจเกิดขึ้น

ทรัพยากรระบบถูกใช้ขุด Cryptocurrency โดยไม่ได้รับอนุญาต ส่งผลต่อประสิทธิภาพและอายุการใช้งานของ Hardware รวมถึงค่าไฟฟ้าที่เพิ่มขึ้น
การกำจัดมัลแวร์ทำได้ยากกว่าปกติมาก เนื่องจากกระจายตัวอยู่ในหลายบัญชีผู้ใช้งานพร้อมกัน ไม่ใช่เฉพาะบัญชี Root
ความเสี่ยงต่อการถูกใช้เป็นฐานสำหรับโจมตีขั้นต่อไป เนื่องจากผู้โจมตีมีสิทธิ์ Root และควบคุมหลายบัญชีในระบบแล้ว อาจขยายผลไปสู่การขโมยข้อมูลหรือโจมตีระบบอื่นต่อได้
ตรวจจับได้ยากด้วยเครื่องมือสแกนไฟล์แบบดั้งเดิม เนื่องจากมัลแวร์ทำงานแบบ Fileless หลังจากลบ Binary ตัวเองออกจากดิสก์

สิ่งที่องค์กรควรทำ

ตรวจสอบการตั้งค่า PAM โดยเฉพาะ Policy pam_rootok ว่าถูกเปิดใช้งานโดยไม่จำเป็นหรือถูกใช้งานในทางที่ผิดหรือไม่
ตรวจสอบ Cron Job ในทุกบัญชีผู้ใช้งาน ไม่ใช่แค่บัญชี Root หรือบัญชีสิทธิ์สูง เนื่องจากแคมเปญนี้จงใจกระจาย Persistence ไปยังบัญชีที่มักถูกมองข้าม
ค้นหา IOC ที่ระบุ (unable.download, My-V25-GEN-26, /tmp/.lock) ในระบบ Linux ทั้งหมดที่มีความเสี่ยง
เฝ้าระวังการเข้าถึงเครือข่ายผ่านช่องทาง Third-Party Connection อย่างใกล้ชิด เนื่องจากเป็นจุดเริ่มต้นของแคมเปญนี้

แนวทางลดความเสี่ยงระยะยาว

1. ทบทวนการตั้งค่า PAM ให้เป็นไปตามแนวทาง Hardening ที่แนะนำ

โดยเฉพาะ Policy ที่เกี่ยวข้องกับการยืนยันตัวตนแบบไม่ใช้รหัสผ่าน ควรจำกัดให้ใช้งานเท่าที่จำเป็นจริงๆ เท่านั้น

2. ติดตั้งเครื่องมือ Runtime Security หรือ EDR ที่รองรับการตรวจจับพฤติกรรมแบบ Fileless บน Linux

เนื่องจากมัลแวร์ในแคมเปญนี้ลบไฟล์ตัวเองออกจากดิสก์ การพึ่งพาการสแกนไฟล์แบบดั้งเดิมจึงไม่เพียงพอ

3. ตรวจสอบความปลอดภัยของการเชื่อมต่อกับบุคคลที่สาม (Third-Party Risk Management) อย่างสม่ำเสมอ

เนื่องจากเป็นช่องทางเข้าถึงเบื้องต้นของแคมเปญนี้ และมักได้รับการเฝ้าระวังน้อยกว่าช่องทางเข้าถึงโดยตรง

4. ตั้ง Baseline การใช้ทรัพยากร CPU ของระบบ Linux เพื่อตรวจจับความผิดปกติจาก Cryptomining

การใช้ CPU สูงผิดปกติอย่างต่อเนื่องมักเป็นสัญญาณเริ่มต้นที่สังเกตได้ง่ายที่สุดของการขุด Cryptocurrency โดยไม่ได้รับอนุญาต

วิเคราะห์ในมุมมองจาก TXEC

แคมเปญนี้สะท้อนวิวัฒนาการของเทคนิคการหลบเลี่ยงการตรวจจับที่น่าสนใจ คือการใช้ประโยชน์จากกลไกที่มีอยู่แล้วในระบบปฏิบัติการ (PAM) แทนการพัฒนาเครื่องมือใหม่ทั้งหมด ทำให้พฤติกรรมของมัลแวร์ดูกลมกลืนกับการทำงานปกติของระบบมากขึ้น และยากต่อการแยกแยะด้วยเครื่องมือตรวจจับที่มองหาเฉพาะไฟล์หรือ Process ที่ผิดปกติอย่างชัดเจน

จุดที่ TXEC อยากเน้นย้ำเป็นพิเศษคือกลยุทธ์การกระจาย Persistence ไปยังหลายบัญชีผู้ใช้งานที่ไม่มีใครเฝ้าระวัง แทนที่จะฝังตัวอยู่เฉพาะบัญชี Root เพียงจุดเดียว สะท้อนความเข้าใจอย่างลึกซึ้งของผู้โจมตีต่อกระบวนการตอบสนองเหตุการณ์ทั่วไปที่มักมุ่งเน้นตรวจสอบบัญชีสิทธิ์สูงเป็นหลัก องค์กรที่มีระบบ Linux Server จำนวนมาก โดยเฉพาะที่เชื่อมต่อกับบุคคลที่สาม ควรขยายขอบเขตการตรวจสอบให้ครอบคลุมบัญชีผู้ใช้งานทั่วไปด้วย ไม่ใช่จำกัดอยู่แค่บัญชีที่มีสิทธิ์สูงเท่านั้น

รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า

[ แหล่งอ้างอิง: Group-IB, CyberSecurityNews, GBHackers, Infosecurity Magazine ]