Internet Storm Center (ISC/SANS) เปิดเผยแคมเปญ Botnet ที่สแกนหา Router ซึ่งเปิดใช้งานฟีเจอร์ Diagnostic เช่น Ping และ Traceroute อย่างเป็นระบบ โดยมุ่งค้นหาช่องโหว่ OS Command Injection ที่อาจเปิดทางให้ผู้โจมตีส่งคำสั่ง Shell และเข้าควบคุมอุปกรณ์ได้แบบไม่ต้องยืนยันตัวตน
กลไกการโจมตี: จาก Diagnostic Tool สู่ Shell Command
ทีม ISC พบรูปแบบทราฟฟิกที่ส่ง Request ไปยัง URL ของเครื่องมือ Diagnostic บน Router จำนวนมากอย่างต่อเนื่อง โดยกลไกช่องโหว่มีดังนี้:
- Router หลายรุ่นนำค่าที่ผู้ใช้กรอก (เช่น Hostname หรือ IP ปลายทางสำหรับ Ping) ไปต่อกับคำสั่ง Shell โดยตรง โดยไม่ผ่านการตรวจสอบหรือกรองอักขระพิเศษที่เพียงพอ
- ผู้โจมตีแทรกอักขระพิเศษ เช่น เครื่องหมาย Semicolon (;) ต่อท้ายค่า Hostname เพื่อ "ปิด" คำสั่ง Ping เดิม แล้วเปิดคำสั่งใหม่ต่อท้าย เช่น ตัวอย่าง Payload
127.0.0.1>/dev/null; ls -lash /etcที่ทำให้ Router รันคำสั่งเพิ่มเติมนอกเหนือจาก Ping ปกติ - คำสั่งที่แทรกเข้าไปจะถูกรันด้วยสิทธิ์ของ Process Diagnostic Tool ซึ่งบน Router จำนวนมากมักรันด้วยสิทธิ์ระดับสูง เปิดทางสู่การเข้าควบคุมอุปกรณ์ได้แบบสมบูรณ์
Botnet นี้สแกนหา URL ของเครื่องมือ Diagnostic ที่หลากหลายอย่างเป็นระบบ ได้แก่ /apply.cgi, /cgi-bin/diagnostic.cgi, /cgi-bin/adv_ping.cgi, /DiagnosticsMsg.cgi, /ping.cgi, /traceroute.cgi, /goform/diagTool, /goform/ping, /ping_test.cgi, /sys_diag.html และ Path อื่นที่เกี่ยวข้อง ครอบคลุม Router หลายยี่ห้อและหลายช่องโหว่ CVE พร้อมกัน
ระบบที่ได้รับผลกระทบ
- Router และอุปกรณ์เครือข่ายที่เปิดใช้งานฟีเจอร์ Diagnostic (Ping/Traceroute) ผ่าน Web Interface และเปิดให้เข้าถึงได้จากอินเทอร์เน็ตภายนอก
- อุปกรณ์ที่นำ Input ของผู้ใช้ไปต่อกับคำสั่ง Shell โดยตรง (String Concatenation) แทนที่จะใช้วิธี Argument-Vector Execution ที่ปลอดภัยกว่า
ผลกระทบที่อาจเกิดขึ้น
- ผู้โจมตีเข้าควบคุม Router ได้แบบไม่ต้องยืนยันตัวตน ผ่านฟีเจอร์ Diagnostic ที่เปิดให้ใช้งานสาธารณะ
- Router ที่ถูกเข้าควบคุมอาจถูกดึงเข้าร่วมเป็นส่วนหนึ่งของ Botnet สำหรับโจมตี DDoS หรือใช้เป็นฐานในการโจมตีเป้าหมายอื่นต่อไป
- เปิดทางให้เข้าถึงเครือข่ายภายในที่ Router เชื่อมต่ออยู่ อาจใช้เป็นจุดเริ่มต้นขยายผลเข้าสู่ระบบภายในองค์กรหรือบ้านพักอาศัย
- ตรวจจับได้ยากในระดับผู้ใช้ทั่วไป เนื่องจาก Router จำนวนมากไม่มีระบบ Logging หรือ Monitoring ที่ผู้ใช้เข้าถึงได้ง่าย
สิ่งที่องค์กรควรทำ
- ตรวจสอบว่า Router หรืออุปกรณ์เครือข่ายในองค์กรเปิดฟีเจอร์ Diagnostic (Ping/Traceroute) ให้เข้าถึงได้จากอินเทอร์เน็ตภายนอกหรือไม่ หากไม่จำเป็นควรปิดการเข้าถึงจากภายนอกทันที
- อัปเดต Firmware ของ Router เป็นเวอร์ชันล่าสุดที่ผู้ผลิตแก้ไขช่องโหว่ Command Injection แล้ว โดยเฉพาะรุ่นที่มีการรายงานช่องโหว่ CVE ที่เกี่ยวข้องกับ Diagnostic Tool
- จำกัดการเข้าถึง Management Interface ของ Router ให้เหลือเฉพาะเครือข่ายภายในหรือผ่าน VPN เท่านั้น ไม่ควรเปิด Web Interface ของ Router สู่อินเทอร์เน็ตโดยตรง
- ตรวจสอบ Log ทราฟฟิกเครือข่ายหาการเชื่อมต่อไปยัง URL ของ Diagnostic Tool ที่ผิดปกติ โดยเฉพาะ Pattern การส่ง Request ต่อเนื่องไปยัง Path ที่ระบุข้างต้น
แนวทางลดความเสี่ยงระยะยาว
1. เลือกใช้ Router ที่มีประวัติการพัฒนา Firmware อย่างสม่ำเสมอและตอบสนองต่อช่องโหว่ Command Injection อย่างรวดเร็ว
โดยเฉพาะองค์กรที่ใช้ Router รุ่นเดียวกันจำนวนมาก ควรมีกระบวนการติดตาม Security Advisory จากผู้ผลิตอย่างต่อเนื่อง
2. ปิดฟีเจอร์ Diagnostic Tool ที่ไม่จำเป็นต่อการใช้งานจริง
ฟีเจอร์อย่าง Ping/Traceroute ผ่าน Web Interface มักไม่จำเป็นสำหรับผู้ใช้ทั่วไป ควรปิดใช้งานหากไม่ได้ใช้ประโยชน์จริง
3. ใช้หลักการ Network Segmentation แยก Router/IoT Device ออกจากเครือข่ายหลักขององค์กร
เพื่อจำกัดผลกระทบหาก Router ถูกเข้าควบคุมได้สำเร็จ ไม่ให้ลุกลามเข้าสู่ระบบสำคัญ
4. ติดตามรายงานจาก Internet Storm Center และแหล่งข่าว Threat Intelligence อื่นอย่างสม่ำเสมอ
เนื่องจากแคมเปญ Botnet ลักษณะนี้มักปรับเปลี่ยน Target และ Payload อย่างต่อเนื่อง
วิเคราะห์ในมุมมองจาก TXEC
เหตุการณ์นี้เป็นตัวอย่างคลาสสิกของช่องโหว่ Command Injection ที่เกิดจากการนำ Input ของผู้ใช้ไปต่อกับคำสั่ง Shell โดยตรง โดยไม่ผ่านการกรองอักขระพิเศษอย่างเพียงพอ ซึ่งเป็นปัญหาที่พบได้บ่อยในอุปกรณ์ IoT และ Router ราคาประหยัดที่ไม่ได้ออกแบบด้าน Security ตั้งแต่ต้น การที่ Botnet สแกนหา URL ของ Diagnostic Tool อย่างเป็นระบบครอบคลุมหลายยี่ห้อพร้อมกัน สะท้อนว่านี่เป็นการโจมตีแบบเหวี่ยงแหกว้าง (Mass Scanning) ไม่ได้เจาะจงเป้าหมายใดเป้าหมายหนึ่ง
TXEC มองว่าองค์กรและผู้ใช้งานทั่วไปมักมองข้าม Router ว่าเป็นเพียงอุปกรณ์เชื่อมต่ออินเทอร์เน็ตธรรมดา ไม่ได้ให้ความสำคัญด้าน Security เท่ากับ Server หรือ Endpoint อื่น ทั้งที่ Router ที่ถูกเข้าควบคุมสามารถกลายเป็นทั้งฐานโจมตี Botnet และจุดเริ่มต้นเข้าสู่เครือข่ายภายในได้พร้อมกัน การตรวจสอบว่า Management Interface และฟีเจอร์ Diagnostic ของ Router ไม่ถูกเปิดเผยสู่อินเทอร์เน็ตโดยไม่จำเป็น จึงเป็นมาตรการพื้นฐานที่มักถูกมองข้ามแต่ส่งผลกระทบสูงหากละเลย
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Internet Storm Center (SANS), CyberSecurityNews, GBHackers, Cyberpress ]