16/09/2026
***ใช้ AI Generate Info Graphic นะครับ จึงถูกระบุว่าเป็น AI Content***
3BB โดนโจมตี ข่าวใหญ่ สะเทือนวงการผู้ให้บริการโครงข่าย Internet ไทย 😳😳😳 ยาวหน่อย แต่คิดว่ามีประโยชน์อย่างยิ่ง ในการนำไปวิเคราะห์และประยุกต์ด้าน Cyber Security ในองค์กรของท่าน
ก่อนอื่น ผู้เขียนขออ้างอิงข้อมูลที่เผยแพร่อย่างเป็นทางการจาก The Hackers News โดยจะแปะ Link อ้างอิงไว้ที่ด้านท้าย Post นะครับ โดยจะไม่ใช้แหล่งข้อมูลอ้างอิงจากแหล่งอื่นครับ
🔴สรุปเหตุการณ์แบบสั้น
จากข้อมูลของ Hunt.io ที่ The Hacker News รายงาน นักวิจัยพบ Attacker-controlled server ที่เปิดทิ้งไว้บน Internet เมื่อวันที่ 3 มิถุนายน 2569 ภายในมีประมาณ 298 Files ใน 30 directories ซึ่งประกอบด้วย Exploit Tools, Credential Harvesting Tools, รายชื่อเครื่องที่ถูก Compromise และ Configuration ของ Mesh Central ที่ใช้ในการเข้าถึงเครื่องภายในของ 3BB
🔴กระบวนการของ Attacker ทำอะไรบ้าง
- ได้ Root Access บนเครื่องภายในของ 3BB
- ติดตั้ง Mesh Central เพื่อควบคุมจัดการเครื่อง
- มีรายชื่อเครื่องหลายเครื่องที่ถูกลงทะเบียนเข้า Mesh Central
- พยายามเคลื่อนย้ายตัวเองไปยังเครื่องอื่นมากกว่า 55 เครื่องผ่าน SSH
- ค้นหา Password, SSH keys และ Database Credentials
- ติดตั้ง Web Shell
- เพิ่ม SSH keys เพื่อสร้างช่องทางกลับเข้ามาในระบบ
- พยายามเข้าถึง RADIUS Authentication Data
- มีข้อมูล VPN Certificate และ Active Sessions ที่เกี่ยวข้องกับ Infrastructure ของบริษัท Jasmine ด้วย
แต่ยังไม่มีหลักฐานยืนยันว่า RADIUS Database ถูกลักลอบนำออกไปสำเร็จ เพราะ Hunt.io รายงานว่า พบ scripts ที่เตรียมสำหรับ Copy RADIUS databases แต่ไม่ได้ยืนยันว่าข้อมูลถูกนำออกไปจริง
🔴แล้ว Attacker เข้ามาได้อย่างไร?
รายงานแจ้งว่า พบ Toolkit สำหรับโจมตี FortiGate SSL-VPN ของ 3BB โดยมี Exploit Code ที่อ้างอิงช่องโหว่ CVE-2024-21762 และเครื่อง FortiGate ที่เป็นเป้าหมายถูกระบุว่าเป็น Firmware ที่ได้รับผลกระทบนี้
แต่ Hunt.io ยังไม่พบหลักฐานว่า Exploit Code นี้ประสบความสำเร็จ หรือเป็น Initial Access จริง
ขณะเดียวกันมีรายงานอีกมุมหนึ่ง โดยสรุปจาก Hunt.io ว่า Initial Access มีความเกี่ยวข้องกับการ Fingerprint FortiGate และการ Deploy Exploit Code CVE-2024-21762
😎ความเห็นของผู้เขียนที่มีต่อการค้นหาสาเหตุที่แท้จริง
ผมจะไม่รีบสรุปว่า สาเหตุคือ FortiGate ไม่ได้ Patch Firmware แต่ผมจะตั้งสมมติฐานว่า 🛑Root Cause ที่แท้จริงอาจซับซ้อนมากกว่านั้น🛑
กล่าวคือ CVE อาจเป็นเพียงประตู แต่ความเสียหายเกิดจากสิ่งที่เกิดหลังจากผ่านประตูเข้ามาได้ (เรื่องนี้มีความเกี่ยวโยงกับแนวคิด ZTA ซึ่งผู้เขียนแนะนำให้ย้อนไปอ่าน Post เรื่อง ZTA ก่อนหน้านี้)
😎สิ่งทีู่้เขียนคิดว่าน่ากังวลกว่า CVE คือ Attacker สามารถทำให้ Traffic ดูเหมือน Administrator กำลัง Remote เครื่องแบบปกติซึ่งเป็นเทคนิคที่อันตรายมาก เพราะถ้าองค์กรมีเพียง Firewall, Antivirus, IPS อาจจะมองไม่เห็น Attack Chain
😎The Hacker News รายงานว่า Cleanup Script ตั้งใจลบ Logs และ Tools อื่น แต่ยังเก็บ Mesh Central Agent ไว้เพื่อให้ยังคง Access ได้
ในมุม Incident Response นี่ถือเป็น Evidence ที่มีน้ำหนักมากว่า Attacker ต้องการอยู่กับ 3BB แบบยาวๆ
😎RADIUS คือจุดทีู่้เขียนคิดว่าสำคัญที่สุดสำหรับ Attacker สิ่งที่พิสูจน์ได้จากข้อมูลคือ RADIUS ถูกกำหนดเป็น Target และมี Scripts เตรียมสำหรับการ Copy Database
❌❌แล้ว 3BB ควรป้องกันอย่างไร❌❌
ในทัศนของผู้เขียน ขอแบ่งเป็นสัดส่วน Perimeter ➡️ Identity ➡️ Server ➡️ Network ➡️ Detection
🔴Perimeter (ป้อมรปภ. รั้วหมู่บ้าน)
Fortinet ระบุแนวทางสำหรับ CVE นี้ว่าหากยังไม่สามารถ Patch ได้ ควรปิด SSL-VPN และการปิดเฉพาะ Web Mode ตามที่ The Hacker News อ้างถึงในคำแนะนำของ Fortinet
🔴Server ต้องมี EDR ต้องสามารถตอบได้ว่าเครื่องนี้ติดตั้ง Mesh Central เมื่อไหร่, ใครเป็นคนติดตั้ง, เปิด Connection ไปที่ไหนบ้าง, ใช้ credential อะไร
🔴Credential ต้อง Rotate หลังเกิด Incident อันนี้ตรงตัว
😎คำถามสำหรับผมคือ แล้วความรับผิดชอบของ 3BB อยู่ตรงไหน
ต้องแยก "ความผิด" กับ "ความรับผิดชอบ" ออกจากกันครับ การถูกโจมตีไม่ได้หมายความว่าผู้ให้บริการละเลยความปลอดภัย
แต่เมื่อมี Evidence ชัดเจนว่าเกิด Unauthorized Access แล้ว ผู้ให้บริการมีหน้าที่ในมุมของ Security Governance ที่ต้องตอบ Time Line และลกระทบให้ได้
🥹สรุปความเห็นของผู้เขียน
สิ่งที่มีหลักฐานชัดเจนคือ Attacker เข้าไปอยู่ใน Internal Network, ได้สิทธิ์ Root, ติดตั้ง Mesh Central, ทำ Persistence Lateral Movement และมุ่งเป้า RADIUS Server
สิ่งที่ยังต้องรอพิสูจน์ความชัดเจนคือ FortiGate CVE-2024-21762 เป็นช่องทาง Initial Access จริงหรือไม่ และ Customer Database ถูกนำออกไปจริงหรือไม่
ในมุมของผู้เขียน บทเรียนที่ใหญ่ที่สุดสำหรับ 3BB และ ISP รายอื่นไม่ใช่เพียง Patch FortiGate แต่คือ ☢️การป้องกันไม่ให้เกิดการ Compromise เครื่องหนึ่งกลายเป็น Compromise ทั้งระบบ☢️ ต้องแก้ไขไม่ให้ Attacker ที่เข้ามาได้แล้ว สามารถเดินต่อไปถึงส่วนอื่นๆ ในระบบได้ง่าย
ด้วยความรู้อันน้อยนิด และความหวังดีอันใหญ่หลวง
K.Pamornsiri
อ้างอิง:
https://thehackernews.com/2026/09/3bb-attacker-used-meshcentral-backdoor.html?m=1
