TechTalkThai ศูนย์รวมข่าว Enterprise IT ออนไลน์แห่งแรกในประเทศไทย
SonicWall เผยแพร่ firmware update สำหรับอุปกรณ์ SMA 100 series เพื่อลบ rootkit malware ที่ถูกติดตั้งจากการโจมตี พร้อมเพิ่มระบบตรวจสอบไฟล์ให้สามารถตรวจจับและกำจัดมัลแวร์ได้อัตโนมัติ
SonicWall ได้ปล่อย firmware version 10.2.2.2-92sv สำหรับอุปกรณ์ SMA 100 series ซึ่งมาพร้อมกับคุณสมบัติการตรวจสอบไฟล์เพิ่มเติม ทำให้สามารถระบุและกำจัด rootkit malware ที่ซ่อนอยู่ในอุปกรณ์ได้ โดยบริษัทแนะนำอย่างยิ่งให้ผู้ดูแลระบบที่ใช้งานผลิตภัณฑ์ SMA 100 series ทั้ง SMA 210, SMA 410 และ SMA 500v รีบอัปเกรดเป็น version 10.2.2.2-92sv โดยเร็วที่สุด
การอัปเดตครั้งนี้มีขึ้นหลังจาก Google Threat Intelligence Group (GTIG) รายงานในเดือนกรกฎาคมว่าพบกลุ่มผู้โจมตี UNC6148 ใช้ OVERSTEP malware โจมตีอุปกรณ์ SonicWall SMA 100 ที่หมดอายุการสนับสนุน (End-of-Life) ซึ่งจะสิ้นสุดการสนับสนุนอย่างเป็นทางการในวันที่ 1 ตุลาคม 2025 OVERSTEP เป็น user-mode rootkit ที่ช่วยให้ผู้โจมตีเข้าถึงระบบได้อย่างถาวรผ่านการซ่อนส่วนประกอบที่เป็นอันตรายและสร้าง reverse shell บนอุปกรณ์ที่ถูกบุกรุก มัลแวร์นี้สามารถขโมยไฟล์สำคัญ รวมถึงฐานข้อมูล persist_._ และไฟล์ certificate ทำให้แฮกเกอร์เข้าถึง credentials, OTP seeds และ certificate ที่ช่วยรักษาการเข้าถึงระบบไว้ได้
แม้นักวิจัยยังไม่สามารถระบุเป้าหมายที่แน่ชัดของการโจมตีโดย UNC6148 แต่พบความเชื่อมโยงที่น่าสนใจกับเหตุการณ์ Abyss ransomware ตัวอย่างเช่น ในปลายปี 2023 Truesec ตรวจสอบเหตุการณ์ Abyss ransomware ที่แฮกเกอร์ติดตั้ง web shell บนอุปกรณ์ SMA เพื่อรักษาการเข้าถึงแม้หลังอัปเดต firmware และในเดือนมีนาคม 2024 Stephan Berger จาก InfoGuard AG รายงานการบุกรุกอุปกรณ์ SMA ในลักษณะคล้ายกันที่ส่งผลให้มีการติดตั้ง Abyss malware เช่นกัน
สัปดาห์ที่ผ่านมา SonicWall เตือนลูกค้าให้รีเซ็ต credentials หลังไฟล์สำรองข้อมูลการตั้งค่า firewall ถูกเข้าถึงจากการโจมตี brute-force ที่มีต่อ API service สำหรับ cloud backup นอกจากนี้ในเดือนสิงหาคม บริษัทยังปฏิเสธข้อกล่าวหาว่ากลุ่ม Akira ransomware ใช้ zero-day exploit โจมตี Gen 7 firewall โดยชี้แจงว่าปัญหาเกี่ยวข้องกับช่องโหว่ Critical (CVE-2024-40766) ที่ได้รับการแก้ไขตั้งแต่เดือนพฤศจิกายน 2024 ต่อมา Australian Cyber Security Center (ACSC) และ Rapid7 ยืนยันว่ากลุ่ม Akira กำลังใช้ช่องโหว่นี้โจมตีอุปกรณ์ SonicWall ที่ยังไม่ได้อัปเดต
