ช่องโหว่ React2Shell ถูกใช้ปล่อยมัลแวร์ EtherRAT เชื่อมโยงเทคนิคเกาหลีเหนือ
ช่องโหว่ React2Shell (CVE-2025-55182) ถูกใช้ปล่อยมัลแวร์ EtherRAT คล้ายเครื่องมือเกาหลีเหนือ วิเคราะห์การโจมตีและวิธีป้องกันด้วย SIEM และ log management
ช่องโหว่ร้ายแรงใน React Server Components — รู้จักกันในชื่อ React2Shell (CVE-2025-55182, คะแนน CVSS 10.0) — กำลังถูกใช้เพื่อติดตั้งโทรจันเข้าถึงระบบระยะไกล (RAT) ตัวใหม่ที่ยังไม่เคยมีการรายงานมาก่อน ชื่อว่า EtherRAT นักวิจัยที่ค้นพบ EtherRAT ระบุว่ากิจกรรมนี้มีความคล้ายคลึงกับเครื่องมือของแคมเปญ "Contagious Interview" ที่เชื่อมโยงกับเกาหลีเหนือ แต่ยืนยันไม่ได้ว่าเป็นกลุ่มเดียวกันจริง บทความนี้จะอธิบายว่าช่องโหว่นี้ทำงานอย่างไร มัลแวร์มีพฤติกรรมอย่างไร และองค์กรควรรับมืออย่างไร
React2Shell คืออะไร
React2Shell คือช่องโหว่ด้านความปลอดภัยใน React Server Components (RSC) ซึ่งเป็นฟีเจอร์ของเฟรมเวิร์กที่เว็บแอปพลิเคชันสมัยใหม่จำนวนมากใช้สำหรับเรนเดอร์คอมโพเนนต์ฝั่งเซิร์ฟเวอร์ ช่องโหว่นี้เปิดโอกาสให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถรันโค้ดจากระยะไกล (remote code execution) บนเซิร์ฟเวอร์ที่รันแอปพลิเคชันที่ได้รับผลกระทบ ช่องโหว่นี้ส่งผลต่อ react-server-dom-webpack, -parcel และ -turbopack เวอร์ชัน 19.0-19.2.0 แก้ไขแล้วใน 19.0.1/19.1.2/19.2.1 และมีการพบว่าผู้โจมตีใช้ช่องโหว่นี้เป็นจุดเริ่มต้นในการเจาะระบบก่อนติดตั้งมัลแวร์เพิ่มเติม
EtherRAT คืออะไร
EtherRAT คือ Remote Access Trojan (RAT) หรือมัลแวร์ที่เปิดทางให้ผู้โจมตีควบคุมระบบที่ติดมัลแวร์จากระยะไกลได้ เมื่อติดตั้งสำเร็จ ผู้ควบคุมมัลแวร์สามารถสั่งรันคำสั่ง เคลื่อนที่ไปยังระบบอื่นในเครือข่าย (lateral movement) และคงการเข้าถึงระบบที่ถูกเจาะไว้ได้ในระยะยาว
รายละเอียดทางเทคนิค
การออกแบบของ EtherRAT บ่งชี้ว่าผู้พัฒนามีความเชี่ยวชาญในระดับหนึ่ง
- ใช้ Ethereum smart contract เป็นช่องทาง command and control (C2): แทนที่จะพึ่งพาเซิร์ฟเวอร์ C2 แบบดั้งเดิม EtherRAT รับคำสั่งผ่าน Ethereum smart contract ทำให้การบล็อกด้วยรายชื่อโดเมนหรือ IP ต้องห้ามแบบทั่วไปทำได้ยากขึ้น
- ติดตั้งกลไก persistence บน Linux ถึง 5 รูปแบบ: มัลแวร์ฝังตัวไว้หลายวิธีพร้อมกันและเป็นอิสระต่อกัน ทำให้ต่อให้ลบวิธีใดวิธีหนึ่งออก ระบบก็ยังคงติดมัลแวร์อยู่
- ดาวน์โหลด Node.js runtime มาใช้เอง: EtherRAT ดึง Node.js เวอร์ชันของตัวเองมาจาก nodejs.org โดยตรง ทำให้มันมีทุกอย่างที่ต้องใช้ในการรันเพย์โหลดโดยไม่ต้องพึ่งซอฟต์แวร์ที่มีอยู่แล้วในเครื่องเป้าหมาย
ความเชื่อมโยงกับแคมเปญ Contagious Interview
นักวิจัยจาก Sysdig เชื่อมโยงกิจกรรมนี้เข้ากับ Contagious Interview ซึ่งเป็นแคมเปญที่เชื่อมโยงกับเกาหลีเหนือและเคลื่อนไหวมาตั้งแต่เดือนกุมภาพันธ์ 2025 โดยก่อนหน้านี้แคมเปญดังกล่าวใช้เทคนิคที่เรียกว่า EtherHiding ซึ่งเก็บและดึงเพย์โหลดอันตรายผ่านบล็อกเชน การที่ EtherRAT ใช้ Ethereum smart contract เป็นช่องทาง C2 นั้นสอดคล้องกับรูปแบบการโจมตีเดิมของแคมเปญนี้ ซึ่งนักวิจัยระบุว่าอาจหมายถึงกลุ่มเดิมที่เปลี่ยนวิธีการ หรือมีการแบ่งปันเครื่องมือกันระหว่างกลุ่มที่เชื่อมโยงกับเกาหลีเหนือ — แต่ระบุชัดเจนว่าหากไม่มีหลักฐานโค้ดที่ตรงกันโดยตรง ก็ไม่สามารถยืนยันได้ว่า EtherRAT ดำเนินการโดยกลุ่มเดียวกับ Contagious Interview
ความหมายต่อองค์กรของคุณ
หากองค์กรของคุณใช้ React Server Components หรือใช้ซอฟต์แวร์ที่พัฒนาอยู่บนพื้นฐานนี้ แคมเปญนี้ถือเป็นความเสี่ยงที่เกี่ยวข้องโดยตรง
- อัปเดตแพตช์ React2Shell ทันที: ตรวจสอบว่าแอปพลิเคชันใดในองค์กรใช้ RSC ยืนยันว่าได้รับผลกระทบหรือไม่ แล้วติดตั้งแพตช์จากผู้พัฒนาโดยเร็ว ให้ความสำคัญเป็นพิเศษกับระบบ RSC ที่เปิดให้เข้าถึงจากอินเทอร์เน็ต
- ตรวจหาสัญญาณเฉพาะของ EtherRAT: สังเกตการเชื่อมต่อขาออกที่ผิดปกติไปยัง Ethereum RPC endpoint, โปรเซสหรือไฟล์ไบนารีของ Node.js ที่ไม่รู้จักหรืออยู่นอกพาธที่ใช้งานตามปกติ และรายการ persistence ที่ถูกสร้างขึ้นใหม่บนเครื่อง Linux เช่น cron job, systemd unit หรือสคริปต์ที่รันตอนบูตเครื่อง
- ทบทวนการควบคุมทราฟฟิกขาออก (egress): C2 ที่ใช้บล็อกเชนถูกออกแบบมาให้หลบเลี่ยงการบล็อกด้วยโดเมนหรือ IP การมอนิเตอร์เครือข่ายที่จับรูปแบบทราฟฟิกขาออกที่ผิดปกติได้ แทนที่จะพึ่งพารายชื่อบล็อกอย่างเดียว จะมีโอกาสตรวจจับโครงสร้างพื้นฐานลักษณะนี้ได้ดีกว่า
ทำไมเรื่องนี้สำคัญกว่าช่องโหว่เดียว
ในที่สุด React2Shell ก็จะได้รับการแพตช์ แต่ปัญหาที่ฝังลึกกว่านั้นคือเทคนิคเบื้องหลัง EtherRAT เอง การใช้บล็อกเชนเป็นช่องทาง C2 ทำให้เครื่องมือที่ฝ่ายป้องกันเคยพึ่งพาได้ผลที่สุดอย่างหนึ่ง คือการบล็อกหรือปิดเซิร์ฟเวอร์ที่รู้ว่าเป็นอันตราย ใช้ไม่ได้ผลอีกต่อไป เมื่อผู้โจมตีหันมาใช้แนวทางนี้มากขึ้น การตรวจจับภัยคุกคามจึงต้องเปลี่ยนจาก "IP นี้อยู่ในบล็อกลิสต์หรือไม่" ไปเป็น "พฤติกรรมนี้มีลักษณะเหมือนทราฟฟิก C2 หรือไม่" ซึ่งหมายความว่าการมองเห็นและเชื่อมโยงข้อมูลจาก log มีความสำคัญมากกว่าที่เคย
นี่คือช่องว่างที่ SIEM ถูกออกแบบมาเพื่ออุดพอดี SIEM รวบรวม log จากทั่วทั้งเครือข่าย เอ็นด์พอยต์ และบริการคลาวด์ แล้วเชื่อมโยงข้อมูลเหล่านั้นเข้าด้วยกัน เพื่อชี้ให้เห็นพฤติกรรมผิดปกติ เช่น โปรเซส Node.js ที่พยายามเชื่อมต่อไปยัง Ethereum RPC endpoint ที่ไม่คุ้นเคย ซึ่งเป็นสิ่งที่ log แหล่งเดียวมักตรวจจับไม่ได้ เมื่อผนวกกับการจัดเก็บ log อย่างเป็นระบบ ก็จะช่วยให้องค์กรมีข้อมูลย้อนหลังเพียงพอสำหรับสืบสวนว่าการบุกรุกเกิดขึ้นมานานแค่ไหนเมื่อตรวจพบเหตุการณ์
หากต้องการดูว่าแพลตฟอร์ม SIEM ของ zcr ช่วยสนับสนุนการตรวจจับและสืบสวนลักษณะนี้ได้อย่างไร สามารถดูรายละเอียดได้ที่หน้า zcrSIEM หรือหากต้องการปรึกษาความเสี่ยงเฉพาะขององค์กรคุณ ติดต่อทีมงาน zcr ได้เลย
ถ้าอยากคุยเรื่องระบบขององค์กรตัวเอง ทักมาได้ตามช่องทางนี้
แหล่งที่มา
บทความที่เกี่ยวข้อง
อ่านต่อเพื่อเปรียบเทียบแนวทางและลงรายละเอียดที่เกี่ยวข้อง:
ผลิตภัณฑ์ที่เกี่ยวข้อง
ดูขอบเขตและสิ่งที่ต้องเตรียมก่อนคุยกับพาร์ทเนอร์ได้ที่ zcrCTEM และดูราคาที่เผยแพร่ได้ที่หน้าราคา