บริษัทวิจัยด้านภัยคุกคามทางไซเบอร์ Hunt.io เปิดเผยว่า มีแฮกเกอร์แอบแฝงปฏิบัติการอยู่ภายในเครือข่ายของ 3BB ซึ่งเป็นหนึ่งในผู้ให้บริการบรอดแบนด์รายใหญ่ที่สุดของไทย โดยควบคุมเครื่องภายในผ่านซอฟต์แวร์บริหารจัดการทั่วไปอย่าง MeshCentral Remote Management
Hunt.io ค้นพบการบุกรุกนี้จากการตรวจพบเซิร์ฟเวอร์ของแฮกเกอร์ที่เปิดทิ้งไว้บนอินเทอร์เน็ต ซึ่งภายในมีทั้งเครื่องมือการโจมตีและรายชื่อเครื่องคอมพิวเตอร์ที่ถูกยึดไว้เรียบร้อยแล้ว
นักวิจัยสามารถเข้าถึงเซิร์ฟเวอร์ที่เปิดแง้มไว้นี้ได้เมื่อวันที่ 3 มิถุนายน 2026 ขณะที่การโจมตียังดำเนินอยู่ โดยพบว่าเครื่องมือบนเซิร์ฟเวอร์ถูกสั่งประมวลผลมาจากคอมพิวเตอร์ภายในเครือข่ายของ 3BB เอง และไฟล์ที่กู้คืนมาได้ไฟล์หนึ่งแสดงให้เห็นว่า แฮกเกอร์สามารถยึดสิทธิ์ผู้ดูแลระบบสูงสุด (root) บนเซิร์ฟเวอร์ภายในได้สำเร็จ
เพื่อรักษาช่องทางเชื่อมต่อเอาไว้ แฮกเกอร์ได้ติดตั้ง MeshCentral ซึ่งเป็นเครื่องมือฟรีที่ฝ่าย IT มักใช้จัดการคอมพิวเตอร์จากระยะไกล การตั้งค่าที่กู้คืนมาแสดงให้เห็นว่ามันถูกกำหนดให้ทำงานเป็นแบคโดร์ (Backdoor) ซ่อนเร้น โดยส่งสัญญาณกลับไปหาเครื่องควบคุมของแฮกเกอร์ที่ www.ayuthayatech[.]com ภายใต้กลุ่มอุปกรณ์ชื่อ TH-3BB
ปัจจุบันผู้ไม่หวังดีนิยมหันมาใช้โปรแกรมบริหารจัดการจากระยะไกลลักษณะนี้มากขึ้น เนื่องจากเป็นโปรแกรมที่ได้รับความไว้วางใจ และการทำงานของมันยังเนียนไปกับการใช้งานของเจ้าหน้าที่ IT ตามปกติ
รายชื่ออุปกรณ์ที่กู้คืนมาได้ระบุเครื่องที่ถูกลงทะเบียนไว้ในระบบ MeshCentral ของแฮกเกอร์ ซึ่งขณะจัดทำรายชื่อนั้น มีหลายเครื่องที่กำลังเชื่อมต่อและทำงานด้วยสิทธิ์ root ซึ่งนักวิจัยระบุว่านั่นเป็นหลักฐานว่าแฮกเกอร์ยังคงควบคุมระบบในสิทธิ์ผู้ดูแลระบบอยู่ ณ ขณะนั้น
นอกจากนี้ ยังพบสคริปต์สำหรับลบร่องรอยซึ่งถูกเขียนขึ้นเพื่อลบไฟล์ล็อก (Logs) และเครื่องมืออื่นๆ ของแฮกเกอร์ออกไป โดยตั้งใจเหลือตัว MeshCentral ไว้เพื่อให้ยังคงแอบเข้าถึงระบบต่อไปได้
เมื่อเข้ามาในเครือข่ายได้แล้ว แฮกเกอร์พยายามขยายการเข้าถึงไปยังส่วนอื่นๆ โดยสคริปต์ที่พบมีการใช้วิธีสุ่มเดารหัสผ่าน (Password Spraying) ผ่าน SSH ไปยังคอมพิวเตอร์ภายในมากกว่า 55 เครื่อง มีการสแกนพอร์ตการขายภายในของ 3BB ที่ agent.3bb.co[.]th รวมถึงค้นหาการเก็บรักษารหัสผ่าน ข้อมูลเข้าสู่ระบบฐานข้อมูล และกุญแจ SSH ที่บันทึกไว้ในเครื่องที่ตกเป็นเหยื่อ ส่วนสคริปต์อื่นๆ สามารถฝัง Web Shell (หน้าเว็บซ่อนเร้นสำหรับรันคำสั่งแฮกเกอร์) และเพิ่มกุญแจ SSH สำรองเอาไว้เป็นทางเข้าหลัก
Hunt.io ระบุว่าเป้าหมายหลักของแฮกเกอร์คือข้อมูลผู้ใช้บริการของ 3BB โดยพบสคริปต์บนเซิร์ฟเวอร์ที่ออกแบบมาเพื่อดึงข้อมูลจากฐานข้อมูล RADIUS ซึ่งเป็นระบบที่เก็บข้อมูลการเข้าสู่ระบบของลูกค้าบรอดแบนด์ อย่างไรก็ตาม หลักฐานชี้ชัดเพียงแค่ว่าฐานข้อมูลเหล่านี้ “ตกเป็นเป้าหมาย” แต่ยังไม่พบหลักฐานยืนยันว่าข้อมูลถูกดึงออกไปได้แล้วหรือไม่
เซิร์ฟเวอร์เดียวกันนี้ยังชี้ไปยังเป้าหมายแห่งที่สอง โดยพบไฟล์ใบรับรอง VPN (Certificate) ที่ถูกต้องจากระบบของ 3BB และพบการเชื่อมต่อ (Active Sessions) เข้าสู่บริการบนเครือข่ายของ Jasmine ซึ่งเป็นบริษัทที่ 3BB เคยสังกัดและยังคงใช้โครงสร้างพื้นฐานร่วมกันอยู่ Hunt.io กล่าวว่าสิ่งนี้ชี้ว่าแฮกเกอร์กำลังเล็งเป้าหมายไปที่ทั้งสองบริษัท แม้ว่าจะยังไม่ยืนยันว่าระบบของ Jasmine ถูกแฮกด้วยหรือไม่ก็ตาม
สำหรับจุดเริ่มต้นที่แฮกเกอร์ใช้เจาะเข้าสู่ 3BB นั้นยังไม่สามารถสรุปได้แน่ชัด บนเซิร์ฟเวอร์พบชุดเครื่องมือโจมตีที่มุ่งเป้าไปยัง FortiGate SSL-VPN Gateway (ระบบเชื่อมต่อจากระยะไกล) ที่ mail.3bb.co[.]th รวมถึงมีโค้ดโจมตี (Exploit) ที่สมบูรณ์สำหรับ CVE-2024-21762 ซึ่งเป็นช่องโหว่ร้ายแรงปี 2024 ของ Fortinet ที่ช่วยให้ผู้บุกรุกรันรหัสคำสั่งบนอุปกรณ์ได้โดยไม่ต้องล็อกอิน และพบว่า Gateway เป้าหมายใช้เฟิร์มแวร์เวอร์ชันที่มีช่องโหว่นี้จริง
ทว่าไม่มีหลักฐานใดที่ Hunt.io พบว่าโค้ดโจมตีดังกล่าวทำงานสำเร็จ หรือเป็นช่องทางที่แฮกเกอร์ใช้เข้ามาจริง ชุดเครื่องมือสำหรับ FortiGate แม้จะเป็นส่วนที่ถูกพัฒนามาสมบูรณ์ที่สุดในชุดเครื่องมือ แต่ก็สะท้อนให้เห็นเพียง “ศักยภาพและความตั้งใจ” ของแฮกเกอร์เท่านั้น ยังไม่ยืนยันการบุกรุกผ่านอุปกรณ์ดังกล่าว
ปัจจุบัน แฮกเกอร์ได้ปิดโฟลเดอร์ที่เคยเปิดทิ้งไว้แล้ว ส่วนแฮกเกอร์จะยังคงแอบเข้าถึงระบบภายในของ 3BB ได้อยู่หรือไม่นั้นยังไม่ทราบแน่ชัด เนื่องจากหลักฐานระบุถึงสภาพการบุกรุก ณ ช่วงต้นเดือนมิถุนายนเท่านั้น ไม่ใช่สภาพในปัจจุบัน
ที่มา : THN, GBHacker, Cyberpress
