เมื่อการอัปเดตไม่ใช่จุดสิ้นสุด: เจาะลึกภัยคุกคาม SharePoint Server ที่ยังคงอยู่
โลกไซเบอร์เต็มไปด้วยความท้าทายที่คาดไม่ถึง บางครั้งการอัปเดตระบบป้องกันภัยไปแล้ว ก็ไม่ได้หมายความว่าเราจะปลอดภัยร้อยเปอร์เซ็นต์เสมอไป
โดยเฉพาะอย่างยิ่งกับระบบสำคัญอย่าง Microsoft SharePoint Server ซึ่งเป็นหัวใจของการทำงานในหลายองค์กร ที่มักตกเป็นเป้าหมายหลักของกลุ่มผู้ไม่หวังดีอยู่เสมอ
เหตุการณ์ช่วงระหว่างเดือนเมษายนถึงกลางเดือนกรกฎาคม 2026 ถือเป็นบทเรียนสำคัญ ที่แสดงให้เห็นว่าแม้แพตช์จะถูกปล่อยออกมาแล้ว แต่การโจมตีก็ยังคงเกิดขึ้นได้จริง
ช่องโหว่ที่ถูกใช้เป็นอาวุธร้าย
ในช่วงเวลาดังกล่าว มีการยืนยันการโจมตีที่ใช้ช่องโหว่ถึง 4 จุดใน Microsoft SharePoint Server ที่ติดตั้งภายในองค์กร (on-premises) อย่างแพร่หลาย
ช่องโหว่เหล่านี้ได้แก่ CVE-2023-29357, CVE-2023-24955, CVE-2023-32031 และ CVE-2023-32030 ซึ่งล้วนแต่เป็นประตูสู่ภัยร้ายแรง
ช่องโหว่เหล่านี้เปิดโอกาสให้ผู้โจมตีสามารถ เรียกใช้โค้ดจากระยะไกล (Remote Code Execution – RCE) และ ยกระดับสิทธิ์การเข้าถึง (Privilege Escalation) ได้
ที่น่ากังวลคือ ผู้โจมตีมักไม่ใช้ช่องโหว่เพียงจุดเดียว แต่ใช้วิธี “chained exploits” หรือการเชื่อมโยงช่องโหว่หลายจุดเข้าด้วยกันเป็นลูกโซ่ เพื่อให้การโจมตีมีประสิทธิภาพและบรรลุเป้าหมายที่ต้องการ
เบื้องหลังการโจมตี: แผนการอันแยบยล
แผนการโจมตีที่ตรวจพบมีความซับซ้อนและเป็นขั้นเป็นตอน
โดยมักเริ่มต้นจากการใช้ช่องโหว่ CVE-2023-29357 ซึ่งเป็นช่องโหว่ในการยกระดับสิทธิ์ เพื่อเข้าถึงระบบในเบื้องต้น
เมื่อได้สิทธิ์ระดับหนึ่งแล้ว ผู้โจมตีจะทำการติดตั้ง เว็บเชลล์ (web shell) บนเซิร์ฟเวอร์ ตัวอย่างเช่น ไฟล์ที่มีชื่อว่า “Loader.aspx”
เว็บเชลล์เหล่านี้ทำหน้าที่เหมือนประตูหลังลับๆ ที่เปิดทางให้ผู้โจมตีสามารถควบคุมเซิร์ฟเวอร์จากระยะไกลได้
เพื่อรักษาสิทธิ์ในการเข้าถึงและไม่ให้ถูกตรวจจับได้ง่าย ผู้โจมตีจะสร้าง Scheduled Tasks หรือปรับแต่งค่าใน Registry เพื่อให้สามารถกลับเข้ามาในระบบได้ทุกเมื่อที่ต้องการ สร้างความ คงอยู่ (persistence) ในเครือข่าย
และเป้าหมายสูงสุดของการโจมตีเหล่านี้คือการ ขโมยข้อมูลสำคัญ และข้อมูลที่มีมูลค่าออกจากองค์กร
ใครอยู่เบื้องหลัง?
จากการสืบสวนและวิเคราะห์ มีการระบุว่ากลุ่มผู้โจมตีที่ชื่อว่า “Storm-0978” หรือที่รู้จักในชื่อ “Forest Blizzard” มีบทบาทสำคัญอย่างมากในคลื่นการโจมตีครั้งนี้
กลุ่มนี้ถูกเชื่อมโยงกับหน่วยข่าวกรองทหารของรัสเซีย (GRU) ซึ่งบ่งชี้ว่าภัยคุกคามที่องค์กรต้องเผชิญนั้นมีความซับซ้อน และอาจมีเป้าหมายเชิงกลยุทธ์ที่ลึกซึ้งกว่าแค่การแสวงหาผลประโยชน์ทางการเงิน
บทเรียนสำคัญสำหรับองค์กร
เหตุการณ์การโจมตี SharePoint Server ครั้งนี้ตอกย้ำความจริงที่ว่า การอัปเดตแพตช์ (patching) อย่างเดียวอาจไม่เพียงพอที่จะรับประกันความปลอดภัยของระบบ
องค์กรต้องให้ความสำคัญกับการ อัปเดตแพตช์ให้ทันท่วงที ทันทีที่ผู้ผลิตซอฟต์แวร์ปล่อยออกมา เพื่อปิดช่องโหว่ที่ทราบ
ควบคู่ไปกับการอัปเดต ระบบควรมี การเฝ้าระวังอย่างต่อเนื่อง (continuous monitoring) เพื่อตรวจจับความผิดปกติและสัญญาณการบุกรุก
นอกจากนี้ การมี แผนรับมือเหตุการณ์ (incident response plan) ที่ชัดเจนและพร้อมใช้งาน ก็เป็นสิ่งสำคัญอย่างยิ่งในการลดผลกระทบหากเกิดการโจมตีขึ้น
ควรพิจารณาใช้ การแบ่งแยกเครือข่าย (network segmentation) เพื่อจำกัดขอบเขตความเสียหายหากส่วนใดส่วนหนึ่งถูกโจมตี และใช้ การยืนยันตัวตนที่แข็งแกร่ง (strong authentication) ทุกจุดเข้าถึง
การเฝ้าระวังพฤติกรรมที่ผิดปกติ เช่น การสร้างเว็บเชลล์, การรันโปรเซสแปลกๆ หรือการเชื่อมต่อขาออกไปยังปลายทางที่ไม่คุ้นเคย ก็เป็นกุญแจสำคัญในการป้องกันและตอบสนองต่อภัยคุกคาม
การป้องกันภัยไซเบอร์ต้องเป็นกระบวนการที่ต่อเนื่อง ไม่ใช่แค่การดำเนินการครั้งเดียวแล้วจบไป