อาชญากรที่ไม่ทราบที่มาได้ใช้ประโยชน์จากช่องโหว่ร้ายแรงระดับสูงสุดใน Node-RED ซึ่งเป็นเครื่องมือโปรแกรมแบบ Flow-based ที่ถูกใช้อย่างแพร่หลายในโครงสร้างพื้นฐานสำคัญ เพื่อติดตั้ง Flow ที่ดาวน์โหลดและรันบอท Linux
Node-RED นี้สร้างอยู่บน Node.js และถูกใช้ในผลิตภัณฑ์เชิงพาณิชย์ รวมถึง Siemens SIMATIC IoT2050 การโจมตีนี้เกิดขึ้นในช่วงที่อาชญากรพุ่งเป้าไปที่อุปกรณ์ OT และ ICS ที่เปิดสู่อินเทอร์เน็ตมากขึ้น ทำให้การโจมตีทางไซเบอร์สามารถส่งผลกระทบทางกายภาพและก่อให้เกิดอันตรายในโลกจริงได้
นักวิจัยพบว่าระหว่างวันที่ 30 ตุลาคม ถึง 1 พฤศจิกายน มีการเห็นที่อยู่ IP ดังกล่าวพุ่งเป้าไปที่ช่องโหว่ Node-RED นี้ถึง 16 ครั้ง และมีการบันทึกการโจมตี 125 ครั้งต่อ CVE แปดรายการในเครือข่าย Canary ของพวกเขา
หนึ่งในการโจมตีนั้นได้ส่ง Payload ที่แตกต่างกัน ซึ่งชี้ไปยังเซิร์ฟเวอร์อื่น (85.215.73[.]250) ซึ่ง VulnCheck ติดตามอยู่ แต่ไม่มีข้อมูลเพิ่มเติม นอกจาก URL
Garrity แนะนำว่าหากใช้งาน Node-RED ในที่ใดก็ตาม รวมถึงในสภาพแวดล้อม OT ควรตรวจสอบว่าสามารถเข้าถึงได้จากภายนอกเครือข่ายหรือไม่ อัปเดตเสมอ และใช้มาตรการตรวจจับเพื่อลดความเสี่ยงจากการถูกโจมตี
ถึงแม้ว่า VulnCheck จะเพิ่มช่องโหว่นี้ในแคตตาล็อก Known Exploited Vulnerabilities (KEV) แล้ว แต่ ณ เวลาที่รายงาน ยังไม่ปรากฏใน KEV ของหน่วยงานด้านความมั่นคงปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา
ศัพท์ที่ควรรู้
- Node-RED – เครื่องมือโปรแกรมแบบ Flow-based ที่ใช้ในการสร้างระบบอัตโนมัติและควบคุม
- OT (Operational Technology) – เทคโนโลยีที่ใช้ในระบบควบคุมทางกายภาพ เช่น โรงงานหรือโครงสร้างพื้นฐานสำคัญ
- ICS (Industrial Control Systems) – ระบบควบคุมอุตสาหกรรมที่ใช้ควบคุมกระบวนการทางกายภาพ
- CVE – Common Vulnerabilities and Exposures คือรหัสมาตรฐานที่ใช้ระบุช่องโหว่ด้านความปลอดภัยของซอฟต์แวร์
- Payload – ส่วนของโค้ดหรือข้อมูลที่เป็นอันตรายที่ถูกส่งผ่านการโจมตีเพื่อดำเนินการบางอย่าง
ที่มา: The Register