ហេគឃ័រវាយប្រហារចន្លោះប្រហោង AhsayCBS បង្កប់ Webshell និងកម្មវិធីលួចជីកលុយគ្រីបតូ XMRig
ក្រុមស្រាវជ្រាវសន្តិសុខសាយប័រ Huntress បានរកឃើញ និងព្រមានអំពីយុទ្ធនាការវាយប្រហារយ៉ាងសកម្មពីសំណាក់ក្រុមហេគឃ័រ (Threat Actors) ដែលកំពុងកេងប្រវ័ញ្ចលើចន្លោះប្រហោងកម្រិតធ្ងន់ធ្ងរចំនួនពីរនៅលើប្រព័ន្ធគ្រប់គ្រងការបម្រុងទុកទិន្នន័យ AhsayCBS (Cloud Backup Server)។ ការវាយប្រហារនេះអនុញ្ញាតឱ្យជនអនាមិកអាចដំណើរការកូដពីចម្ងាយ (Remote Code Execution – RCE) ដោយមិនបាច់មានគណនីផ្ទៀងផ្ទាត់ រួចទម្លាក់ Webshell និងកម្មវិធីលួចជីកលុយគ្រីបតូ XMRig លើម៉ាស៊ីនរងគ្រោះ។
“AhsayCBS គឺជាប្រព័ន្ធគ្រប់គ្រងទិន្នន័យបម្រុងទុកដែលនិយមប្រើប្រាស់ខ្លាំងដោយបណ្តាក្រុមហ៊ុនផ្ដល់សេវាគ្រប់គ្រងប្រព័ន្ធ IT (MSPs) និង System Integrators ដូច្នេះផលប៉ះពាល់អាចរីករាលដាលដល់ម៉ាស៊ីន Server ជាច្រើនទៀត ប្រសិនបើគ្មានការទប់ស្កាត់ទាន់ពេល។”
ក. សេចក្តីសង្ខេបអំពីការវាយប្រហារ និងផលប៉ះពាល់
ហេតុផលនៃផ្នែកនេះ៖ ផ្ដល់ព័ត៌មានទូទៅអំពីកម្រិតគ្រោះថ្នាក់ ចំនួនស្ថាប័នរងគ្រោះ និងជំនាន់កម្មវិធីដែលងាយរងគ្រោះ ដើម្បីឱ្យអ្នកគ្រប់គ្រងប្រព័ន្ធអាចផ្ទៀងផ្ទាត់បានភ្លាមៗថាតើស្ថាប័នរបស់ខ្លួនស្ថិតក្នុងហានិភ័យដែរឬទេ។
១. ប្រភពចន្លោះប្រហោង៖ ស្ថាប័ន NVD បានប្រកាសជាផ្លូវការនូវភាពងាយរងគ្រោះពីរគឺ CVE-2026-105133 (Authentication Bypass) និង CVE-2026-105134 (Critical RCE)។
២. កំណែរងផលប៉ះពាល់៖ ប្រព័ន្ធ AhsayCBS រហូតដល់ជំនាន់ 10.3.4 សុទ្ធតែរងគ្រោះដោយបញ្ហានេះ។
៣. ទំហំនៃការវាយប្រហារជាក់ស្ដែង៖ ស្ថាប័នយ៉ាងហោចណាស់ចំនួន ៥ ត្រូវបានរកឃើញថាបានរងការវាយប្រហារដោយជោគជ័យ។
៤. គោលដៅរបស់ហេគឃ័រ៖ បង្កប់ Webshell សម្រាប់គ្រប់គ្រងម៉ាស៊ីនពីចម្ងាយ និងដំឡើងកម្មវិធី XMRig ដើម្បីលួចកម្លាំងម៉ាស៊ីន (CPU) ជីកកាក់គ្រីបតូ Monero (XMR)។
ខ. ដំណើរការជ្រៀតចូល និងបច្ចេកទេសគេចវេះ (Attack Chain)
ហេតុផលនៃផ្នែកនេះ៖ ពន្យល់លម្អិតអំពីយុទ្ធវិធីបច្ចេកទេស (TTPs) របស់ហេគឃ័រ ចាប់ពីជំហានចូលប្រព័ន្ធ រហូតដល់វិធីលាក់ខ្លួនពី Task Manager ដើម្បីឱ្យក្រុមបច្ចេកទេសយល់ពីទម្រង់វាយប្រហារ និងស៊ើបអង្កេតបានត្រឹមត្រូវ។
១. ការទម្លុះទ្វារចូល (Initial Access): ហេគឃ័រប្រើប្រាស់ CVE-2026-105133 ដើម្បីរំលងការផ្ទៀងផ្ទាត់សិទ្ធិ បន្ទាប់មកបញ្ជូនកូដវាយប្រហារទៅកាន់ Endpoint /rps/api/json/UpdateReceivers.do (CVE-2026-105134) ដើម្បីទទួលបានសិទ្ធិខ្ពស់បំផុតកម្រិត NT AUTHORITY/SYSTEM។
២. ការទម្លាក់ Webshell និងបង្កើត Service ក្លែងបន្លំ: ពួកគេទម្លាក់ឯកសារ .jsp Webshell ទៅក្នុង Folder របស់ Web Application ហើយបង្កើត Service ឈ្មោះ MicrosoftEdgeUpdateSvc ដោយប្តូរឈ្មោះកម្មវិធីជីកកាក់ទៅជា edge.exe និងប្រើប្រាស់ឧបករណ៍ NSSM (ប្តូរឈ្មោះជា msedge.exe) ដើម្បីឱ្យកម្មវិធីរត់ស្វ័យប្រវត្តិទោះបីម៉ាស៊ីន Reboot ក៏ដោយ។
៣. ការប្រើប្រាស់ស្គ្រីប PowerShell គេចវេះ Task Manager (Taskgmr.ps1): ស្គ្រីបនេះតាមដាន Task Manager រហូត បើ Admin បើក Task Manager មើល វានឹងផ្អាក (Stop) Service ជីកកាក់ភ្លាមៗដើម្បីបំបាំងកុំឱ្យឃើញស៊ី CPU ខ្លាំង ហើយបើកឡើងវិញពេល Task Manager បិទ។ លើសពីនេះ វានឹងបង្ខំបិទ (Kill) Task Manager ចោលនៅម៉ោង ១៨:០០ ឬបើគេបើកចោលលើសពី ១ ម៉ោងពេលយប់។
៤. ការទាញយក Driver របស់ Kernel (WinRing0x64.sys): ហេគឃ័រប្រើ certutil.exe ទាញយក Driver នេះដើម្បីឱ្យកម្មវិធីជីកកាក់អាចគ្រប់គ្រង Hardware ក្នុងកម្រិត Kernel-level ជួយបង្កើនសមត្ថភាពទាញ CPU ឱ្យដល់កម្រិតអតិបរមា។
គ. សញ្ញាសម្គាល់ការរងគ្រោះ (Indicators of Compromise – IOCs)
ហេតុផលនៃផ្នែកនេះ៖ ផ្ដល់អាសយដ្ឋាន IP, Hash ឯកសារមេរោគ និង Mining Pool ជាក់លាក់ ដើម្បីឱ្យអ្នកគ្រប់គ្រងបណ្ដាញ (Network Admin / SOC) អាចយកទៅ Query ក្នុង SIEM, Firewall ឬ EDR ដើម្បីស្រាវជ្រាវរកវត្តមានមេរោគក្នុងប្រព័ន្ធ។
១. អាសយដ្ឋាន IP សង្ស័យ (Attacker & C2 IPs):
177.4.12[.]11(Hong Kong)38.60.252[.]110(Vietnam)107.191.47[.]199(France)185.220.236[.]49(Taiwan)104.234.26[.]10(United States)123.202.208[.]37(Hong Kong)
២. ឈ្មោះឯកសារ និង SHA256 Hashes សម្រាប់ផ្ទៀងផ្ទាត់:
msedge.exe(NSSM ក្លែងបន្លំ):05f69ae6b2b89c1c4dcf836bff032232f11bf0109f2b498e2345045d06139034edge.exe(XMRig Miner):4dcb0202fe8b2d4d7b183764e38184cd6ed50132786cc7e7d1f7f4bce1dd6f3dTaskgmr.ps1(PowerShell Script):481728a7c9c4c02be07051d9c1958d902ea6397ebb8952ab83944818e3d25d21
៣. ព័ត៌មាន Mining Pool:
- អាសយដ្ឋាន៖
xmr.kryptex[.]network:8029(IP:51.195.127[.]124) - គណនីជីកកាក់៖
krxYMRN97D/creativejs
ឃ. វិធានការការពារ និងដំណោះស្រាយបន្ទាន់ (Mitigation Steps)
ហេតុផលនៃផ្នែកនេះ៖ ណែនាំនូវជំហានជាក់ស្ដែងដែលត្រូវធ្វើជាបន្ទាន់ ដើម្បីទប់ស្កាត់ការជ្រៀតចូល និងរបៀបសម្អាតប្រព័ន្ធដែលរងគ្រោះរួចហើយឱ្យមានសុវត្ថិភាពឡើងវិញ។
ដំឡើង Patch / Hotfix ជាបន្ទាន់បំផុត:
- សម្រាប់ AhsayCBS v10 (រួមទាំង v10.3.4.0)៖ ត្រូវដំឡើង Hotfix 10.3.4.45 ជាបន្ទាន់។
- សម្រាប់ជំនាន់ v7, v8, និង v9៖ ត្រូវដំឡើង Hotfix 9.15.2.70 (មាននៅលើវេបសាយផ្លូវការ Ahsay)។២. កម្រិតច្រកចូល Web Management Interface: មិនត្រូវបើក Interface គ្រប់គ្រងឱ្យរត់ជាសាធារណៈលើ Public Internet ឡើយ។ ត្រូវអនុញ្ញាតឱ្យចូលប្រើប្រាស់បានតែតាមរយៈ VPN ផ្ទៃក្នុង ឬកំណត់ IP Allowlist ដែលទុកចិត្តបានប៉ុណ្ណោះ។៣. ការសម្អាតប្រព័ន្ធករណីសង្ស័យថាត្រូវហេគ (Host Re-imaging): ប្រសិនបើពិនិត្យឃើញមានស្លាកស្នាម ឬឯកសារ IOCs ខាងលើ ត្រូវធ្វើការ Re-image ម៉ាស៊ីន Server ឡើងវិញទាំងស្រុង ដោយប្រើ Backup ស្អាតដែលទុកចិត្តបាន ពីព្រោះហេគឃ័រអាចបានបង្កប់ Backdoor បន្ទាប់បន្សំទុកសម្រាប់លួចចូលលើកក្រោយទៀត។
សេចក្ដីសន្និដ្ឋាន
ការវាយប្រហារតាមរយៈចន្លោះប្រហោង RCE លើប្រព័ន្ធ Backup ដូចជា AhsayCBS គឺជាការគំរាមកំហែងធ្ងន់ធ្ងរដល់ទិន្នន័យ និងធនធានរបស់ស្ថាប័ន។ ការដំឡើង Patch ទាន់ពេលវេលា និងការបិទច្រកគ្រប់គ្រងពីក្រៅ គឺជាខែលការពារដ៏មានប្រសិទ្ធភាពបំផុតនៅពេលនេះ។
“តើប្រព័ន្ធម៉ាស៊ីនមេរបស់អ្នកធ្លាប់ជួបប្រទះការស៊ីកម្លាំង CPU ខុសប្រក្រតីបែបនេះដែរឬទេ? សូមបញ្ចេញមតិ ឬចែករំលែកបទពិសោធន៍របស់អ្នកនៅខាងក្រោម!”
ប្រភព៖ https://www.huntress.com/blog/ahsaycbs-flaws-exploit
អត្ថបទនេះផ្តល់ជូនដោយ Bitdefender Total Security
Bitdefender Total Security គឺជាកញ្ចប់កម្មវិធីការពារឧបករណ៍របស់អ្នកដែលអាចតំឡើងនៅលើប្រព័ន្ធប្រតិបត្តិការ (Windows, macOS, iOS, Android) ដែលប្រមូលផ្តុំនូវមុខងារជាច្រើន មានដូចជា មុខការទប់ស្កាត់និងកម្ចាត់មេរោគ មុខងារឯកជនភាព និងមុខងារសុវត្ថិភាពសំខាន់ៗផ្សេងទៀត ទៅក្នុងកញ្ចប់កម្មវិធីតែមួយ។ Bitdefender អាចបញ្ឈប់មេរោគកុំព្យូទ័រមិនឱ្យឆ្លង ទប់ស្កាត់មោរោគចាប់ជំរិតទារប្រាក់ (ransomware) ការវាយប្រហារតាមភាពងាយរងគ្រោះ/ចន្លោះប្រហោងទើបប្រទះឃើញ (zero-day exploits) និងមេរោគស៊ើបការណ៍ (spyware) មុនពេលដែលវាបង្កការខូចខាតដល់កុំព្យូទ័រ/ប្រព័ន្ធរបស់យើង។ លើសពីនេះ វាក៏មានការការពារនៅកម្រិតបណ្តាញ ដើម្បីរារាំងគេហទំព័រឆបោក (phishing) និងតំណភ្ជាប់ដែលមានមេរោគផងដែរ៕
