แฮกเกอร์ชาวจีนใช้ประโยชน์จากเซิร์ฟเวอร์ ArcGIS เป็น Backdoor มานานกว่าหนึ่งปี
https://thehackernews.com/2025/10/chinese-hackers-exploit-arcgis-server.html
https://reliaquest.com/blog/threat-spotlight-inside-flax-typhoons-arcgis-compromise/
#ติดเทรนด์ #Lemon8ฮาวทู #ป้ายยากับlemon8 #lemon8ไดอารี่ #freedomhack
ช่วงนี้เห็นคำว่า “แฮกเกอร์” โผล่มาบ่อย โดยเฉพาะเคสที่เกี่ยวกับ ArcGIS Server ที่ถูกใช้เป็น Backdoor ยาว ๆ สิ่งที่ทำให้เคสนี้น่ากังวลคือผู้โจมตีไม่ได้แค่ “เจาะแล้วจบ” แต่พยายามฝังกลไกให้สั่งงานจากระยะไกลได้ต่อเนื่อง (เหมือนมีประตูหลังอยู่ในระบบ) จากมุมคนดูข่าวสายความปลอดภัย สิ่งที่ผมจะโฟกัสเวลามีประเด็น ArcGIS/เซิร์ฟเวอร์ถูกฝัง backdoor คือ “รูปแบบการสั่งงาน” และ “ร่องรอยที่ทิ้งไว้” โดยในภาพ OCR ที่แนบมาพูดถึงโค้ด Java ที่ถูกดีคอมไพล์ ซึ่งมีพฤติกรรมคล้าย SOE อันตราย: ถอดรหัสคำสั่งที่ถูกเข้ารหัส Base64 → รันคำสั่งบนระบบ → เก็บ stdout/stderr → ส่งกลับเป็น JSON แล้วเข้ารหัส Base64 อีกครั้ง ลักษณะนี้มักเป็นสัญญาณของช่องทางควบคุม (command execution) ที่คนร้ายทำให้ดูเนียนและขนข้อมูลกลับได้ง่าย ถ้าคุณดูแลระบบ/เป็นองค์กรที่ใช้ ArcGIS Server ผมแนะนำเช็กแบบ “ทำได้ทันที” ตามนี้ (เน้นลดความเสี่ยงก่อน แล้วค่อยสืบเชิงลึก): 1) อัปเดตและแพตช์ ArcGIS Server ให้เป็นเวอร์ชันที่ผู้ผลิตแนะนำ พร้อมตรวจว่า component ที่เกี่ยวข้องถูกอัปเดตครบ (อย่าปล่อยเวอร์ชันค้างเป็นปี) 2) ไล่ดู log ของเว็บ/แอปเซิร์ฟเวอร์ หา request แปลก ๆ ที่พุ่งเข้ามาที่ endpoint ของ ArcGIS บ่อยผิดปกติ โดยเฉพาะช่วงเวลาที่ไม่มีคนใช้งาน 3) ตรวจ process และ command execution ที่ไม่ควรเกิดบนเครื่อง ArcGIS: เช่นมีการเรียก shell/คำสั่งระบบจาก service account ของ ArcGIS หรือมี stdout/stderr ปรากฏในไฟล์/บันทึกแบบผิดธรรมชาติ 4) มองหาร่องรอย “Base64” ในไฟล์ที่ไม่ควรมี: ค่า Base64 ยาว ๆ ในไฟล์คอนฟิก, สคริปต์, หรือไฟล์ .class/.jar ที่เพิ่งถูกแก้ไข รวมถึงพฤติกรรมส่งข้อมูลกลับเป็น JSON แบบถูกเข้ารหัส 5) ตรวจความเปลี่ยนแปลงของไฟล์ (file integrity): ไฟล์ Java, เว็บเชลล์, หรือไฟล์ที่ถูกเพิ่มเข้ามาใหม่ในโฟลเดอร์แอป โดยดู timestamp ที่สัมพันธ์กับเหตุการณ์ใน log 6) เฝ้าดู outbound traffic: backdoor มักต้อง “โทรกลับบ้าน” ถ้ามีการเชื่อมต่อออกไปยังโดเมน/IP แปลก ๆ หรือพอร์ตที่ไม่เคยใช้ ให้ทำรายการไว้และบล็อก/จำกัดก่อน ถ้าเจอความผิดปกติ ผมจะทำ 3 อย่างคู่กัน: แยกเครื่องออกจากเครือข่ายชั่วคราว (containment), เก็บหลักฐาน (log/ไฟล์ที่น่าสงสัย/รายการ process), แล้วค่อยกวาดและอุดช่องโหว่ด้วยการแพตช์+รีเซ็ต credential ที่เกี่ยวข้อง (โดยเฉพาะบัญชี service และ key/token) สุดท้าย แม้คำค้นจะกว้างอย่าง “แฮกเกอร์” แต่บทเรียนจากเคสนี้คือ ระบบที่เป็นโครงสร้างสำคัญอย่าง GIS/แผนที่/ข้อมูลพื้นที่ หากถูกฝัง backdoor นาน ๆ ผลกระทบจะลามไปทั้งองค์กรได้เร็วมาก ใครใช้ ArcGIS Server อยู่ แนะนำอย่ารอให้มีอาการค่อยตรวจ—เริ่มจากเช็กแพตช์, log, และสัญญาณ Base64/JSON ที่ผิดปกติก่อนเลย
