“ช่องโหว่ CVE-2025-10035 ใน GoAnywhere MFT ถูกใช้โจมตีจริง — Medusa Ransomware ลุยองค์กรทั่วโลก”
Microsoft และนักวิจัยด้านความปลอดภัยออกคำเตือนด่วนหลังพบการโจมตีจริงจากช่องโหว่ร้ายแรง CVE-2025-10035 ในซอฟต์แวร์ GoAnywhere Managed File Transfer (MFT) ของบริษัท Fortra โดยช่องโหว่นี้มีคะแนน CVSS เต็ม 10.0 และเปิดทางให้แฮกเกอร์สามารถรันโค้ดจากระยะไกลได้ทันที โดยไม่ต้องยืนยันตัวตน หากสามารถปลอมลายเซ็นตอบกลับของ license ได้สำเร็จ
ช่องโหว่นี้เกิดจากการจัดการข้อมูลแบบ deserialization ที่ไม่ปลอดภัยใน License Servlet ของ GoAnywhere MFT ซึ่งเปิดให้ผู้โจมตีส่งข้อมูลที่ควบคุมเองเข้าไปในระบบ และนำไปสู่การรันคำสั่งอันตรายบนเซิร์ฟเวอร์ที่ยังไม่ได้อัปเดต
กลุ่มแฮกเกอร์ Storm-1175 ซึ่งเป็นพันธมิตรของ Medusa ransomware ได้เริ่มใช้ช่องโหว่นี้ตั้งแต่วันที่ 11 กันยายน 2025 ก่อนที่ Fortra จะออกประกาศอย่างเป็นทางการในวันที่ 18 กันยายน โดยการโจมตีมีลักษณะเป็นขั้นตอน ได้แก่:
Initial Access: เจาะระบบผ่านช่องโหว่ CVE-2025-10035
Persistence: ติดตั้งเครื่องมือ RMM เช่น SimpleHelp และ MeshAgent
Post-Exploitation: สร้าง web shell (.jsp), สแกนระบบด้วย netscan
Lateral Movement: ใช้ mstsc.exe เพื่อเคลื่อนย้ายภายในเครือข่าย
Command & Control: ตั้งค่า Cloudflare tunnel เพื่อสื่อสารแบบเข้ารหัส
Exfiltration & Impact: ใช้ Rclone ขโมยข้อมูล และปล่อย Medusa ransomware
Microsoft ระบุว่าการโจมตีเกิดขึ้นในหลายองค์กร และแนะนำให้ผู้ดูแลระบบอัปเดต GoAnywhere MFT เป็นเวอร์ชันล่าสุดทันที พร้อมตรวจสอบ log ว่ามีการเรียกใช้ SignedObject.getObject หรือไม่ ซึ่งอาจเป็นสัญญาณของการเจาะระบบ
ข้อมูลสำคัญจากข่าว
ช่องโหว่ CVE-2025-10035 เป็นช่องโหว่ deserialization ใน GoAnywhere MFT
คะแนน CVSS เต็ม 10.0 ถือเป็นระดับวิกฤต
เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
เกิดจากการปลอม license response signature เพื่อหลอกระบบ
ส่งผลกระทบต่อเวอร์ชัน Admin Console สูงสุดถึง 7.8.3
กลุ่ม Storm-1175 ใช้ช่องโหว่นี้ในการโจมตีจริง
ขั้นตอนการโจมตีมีทั้งการติดตั้ง RMM, สร้าง web shell, และขโมยข้อมูล
Microsoft แนะนำให้อัปเดตและตรวจสอบ log สำหรับ SignedObject.getObject
Fortra ออกแพตช์แก้ไขแล้ว และแนะนำให้ล็อกการเข้าถึง Admin Console จากอินเทอร์เน็ต
ข้อมูลเสริมจากภายนอก
Medusa ransomware เคยโจมตีองค์กรโครงสร้างพื้นฐานกว่า 300 แห่งในสหรัฐฯ
Deserialization flaws เป็นช่องโหว่ที่พบได้บ่อยใน Java-based applications
RMM tools เช่น MeshAgent มักถูกใช้ในเทคนิค “living off the land” เพื่อหลบการตรวจจับ
Rclone เป็นเครื่องมือยอดนิยมในการขโมยข้อมูลจากระบบที่ถูกเจาะ
การใช้ Cloudflare tunnel ทำให้การสื่อสารของแฮกเกอร์ไม่สามารถตรวจสอบได้ง่าย
https://securityonline.info/critical-rce-cve-2025-10035-in-goanywhere-mft-used-by-medusa-ransomware-group/
Microsoft และนักวิจัยด้านความปลอดภัยออกคำเตือนด่วนหลังพบการโจมตีจริงจากช่องโหว่ร้ายแรง CVE-2025-10035 ในซอฟต์แวร์ GoAnywhere Managed File Transfer (MFT) ของบริษัท Fortra โดยช่องโหว่นี้มีคะแนน CVSS เต็ม 10.0 และเปิดทางให้แฮกเกอร์สามารถรันโค้ดจากระยะไกลได้ทันที โดยไม่ต้องยืนยันตัวตน หากสามารถปลอมลายเซ็นตอบกลับของ license ได้สำเร็จ
ช่องโหว่นี้เกิดจากการจัดการข้อมูลแบบ deserialization ที่ไม่ปลอดภัยใน License Servlet ของ GoAnywhere MFT ซึ่งเปิดให้ผู้โจมตีส่งข้อมูลที่ควบคุมเองเข้าไปในระบบ และนำไปสู่การรันคำสั่งอันตรายบนเซิร์ฟเวอร์ที่ยังไม่ได้อัปเดต
กลุ่มแฮกเกอร์ Storm-1175 ซึ่งเป็นพันธมิตรของ Medusa ransomware ได้เริ่มใช้ช่องโหว่นี้ตั้งแต่วันที่ 11 กันยายน 2025 ก่อนที่ Fortra จะออกประกาศอย่างเป็นทางการในวันที่ 18 กันยายน โดยการโจมตีมีลักษณะเป็นขั้นตอน ได้แก่:
Initial Access: เจาะระบบผ่านช่องโหว่ CVE-2025-10035
Persistence: ติดตั้งเครื่องมือ RMM เช่น SimpleHelp และ MeshAgent
Post-Exploitation: สร้าง web shell (.jsp), สแกนระบบด้วย netscan
Lateral Movement: ใช้ mstsc.exe เพื่อเคลื่อนย้ายภายในเครือข่าย
Command & Control: ตั้งค่า Cloudflare tunnel เพื่อสื่อสารแบบเข้ารหัส
Exfiltration & Impact: ใช้ Rclone ขโมยข้อมูล และปล่อย Medusa ransomware
Microsoft ระบุว่าการโจมตีเกิดขึ้นในหลายองค์กร และแนะนำให้ผู้ดูแลระบบอัปเดต GoAnywhere MFT เป็นเวอร์ชันล่าสุดทันที พร้อมตรวจสอบ log ว่ามีการเรียกใช้ SignedObject.getObject หรือไม่ ซึ่งอาจเป็นสัญญาณของการเจาะระบบ
ข้อมูลสำคัญจากข่าว
ช่องโหว่ CVE-2025-10035 เป็นช่องโหว่ deserialization ใน GoAnywhere MFT
คะแนน CVSS เต็ม 10.0 ถือเป็นระดับวิกฤต
เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
เกิดจากการปลอม license response signature เพื่อหลอกระบบ
ส่งผลกระทบต่อเวอร์ชัน Admin Console สูงสุดถึง 7.8.3
กลุ่ม Storm-1175 ใช้ช่องโหว่นี้ในการโจมตีจริง
ขั้นตอนการโจมตีมีทั้งการติดตั้ง RMM, สร้าง web shell, และขโมยข้อมูล
Microsoft แนะนำให้อัปเดตและตรวจสอบ log สำหรับ SignedObject.getObject
Fortra ออกแพตช์แก้ไขแล้ว และแนะนำให้ล็อกการเข้าถึง Admin Console จากอินเทอร์เน็ต
ข้อมูลเสริมจากภายนอก
Medusa ransomware เคยโจมตีองค์กรโครงสร้างพื้นฐานกว่า 300 แห่งในสหรัฐฯ
Deserialization flaws เป็นช่องโหว่ที่พบได้บ่อยใน Java-based applications
RMM tools เช่น MeshAgent มักถูกใช้ในเทคนิค “living off the land” เพื่อหลบการตรวจจับ
Rclone เป็นเครื่องมือยอดนิยมในการขโมยข้อมูลจากระบบที่ถูกเจาะ
การใช้ Cloudflare tunnel ทำให้การสื่อสารของแฮกเกอร์ไม่สามารถตรวจสอบได้ง่าย
https://securityonline.info/critical-rce-cve-2025-10035-in-goanywhere-mft-used-by-medusa-ransomware-group/
🚨 “ช่องโหว่ CVE-2025-10035 ใน GoAnywhere MFT ถูกใช้โจมตีจริง — Medusa Ransomware ลุยองค์กรทั่วโลก”
Microsoft และนักวิจัยด้านความปลอดภัยออกคำเตือนด่วนหลังพบการโจมตีจริงจากช่องโหว่ร้ายแรง CVE-2025-10035 ในซอฟต์แวร์ GoAnywhere Managed File Transfer (MFT) ของบริษัท Fortra โดยช่องโหว่นี้มีคะแนน CVSS เต็ม 10.0 และเปิดทางให้แฮกเกอร์สามารถรันโค้ดจากระยะไกลได้ทันที โดยไม่ต้องยืนยันตัวตน หากสามารถปลอมลายเซ็นตอบกลับของ license ได้สำเร็จ
ช่องโหว่นี้เกิดจากการจัดการข้อมูลแบบ deserialization ที่ไม่ปลอดภัยใน License Servlet ของ GoAnywhere MFT ซึ่งเปิดให้ผู้โจมตีส่งข้อมูลที่ควบคุมเองเข้าไปในระบบ และนำไปสู่การรันคำสั่งอันตรายบนเซิร์ฟเวอร์ที่ยังไม่ได้อัปเดต
กลุ่มแฮกเกอร์ Storm-1175 ซึ่งเป็นพันธมิตรของ Medusa ransomware ได้เริ่มใช้ช่องโหว่นี้ตั้งแต่วันที่ 11 กันยายน 2025 ก่อนที่ Fortra จะออกประกาศอย่างเป็นทางการในวันที่ 18 กันยายน โดยการโจมตีมีลักษณะเป็นขั้นตอน ได้แก่:
🔰 Initial Access: เจาะระบบผ่านช่องโหว่ CVE-2025-10035
🔰 Persistence: ติดตั้งเครื่องมือ RMM เช่น SimpleHelp และ MeshAgent
🔰 Post-Exploitation: สร้าง web shell (.jsp), สแกนระบบด้วย netscan
🔰 Lateral Movement: ใช้ mstsc.exe เพื่อเคลื่อนย้ายภายในเครือข่าย
🔰 Command & Control: ตั้งค่า Cloudflare tunnel เพื่อสื่อสารแบบเข้ารหัส
🔰 Exfiltration & Impact: ใช้ Rclone ขโมยข้อมูล และปล่อย Medusa ransomware
Microsoft ระบุว่าการโจมตีเกิดขึ้นในหลายองค์กร และแนะนำให้ผู้ดูแลระบบอัปเดต GoAnywhere MFT เป็นเวอร์ชันล่าสุดทันที พร้อมตรวจสอบ log ว่ามีการเรียกใช้ SignedObject.getObject หรือไม่ ซึ่งอาจเป็นสัญญาณของการเจาะระบบ
✅ ข้อมูลสำคัญจากข่าว
➡️ ช่องโหว่ CVE-2025-10035 เป็นช่องโหว่ deserialization ใน GoAnywhere MFT
➡️ คะแนน CVSS เต็ม 10.0 ถือเป็นระดับวิกฤต
➡️ เปิดทางให้รันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตน
➡️ เกิดจากการปลอม license response signature เพื่อหลอกระบบ
➡️ ส่งผลกระทบต่อเวอร์ชัน Admin Console สูงสุดถึง 7.8.3
➡️ กลุ่ม Storm-1175 ใช้ช่องโหว่นี้ในการโจมตีจริง
➡️ ขั้นตอนการโจมตีมีทั้งการติดตั้ง RMM, สร้าง web shell, และขโมยข้อมูล
➡️ Microsoft แนะนำให้อัปเดตและตรวจสอบ log สำหรับ SignedObject.getObject
➡️ Fortra ออกแพตช์แก้ไขแล้ว และแนะนำให้ล็อกการเข้าถึง Admin Console จากอินเทอร์เน็ต
✅ ข้อมูลเสริมจากภายนอก
➡️ Medusa ransomware เคยโจมตีองค์กรโครงสร้างพื้นฐานกว่า 300 แห่งในสหรัฐฯ
➡️ Deserialization flaws เป็นช่องโหว่ที่พบได้บ่อยใน Java-based applications
➡️ RMM tools เช่น MeshAgent มักถูกใช้ในเทคนิค “living off the land” เพื่อหลบการตรวจจับ
➡️ Rclone เป็นเครื่องมือยอดนิยมในการขโมยข้อมูลจากระบบที่ถูกเจาะ
➡️ การใช้ Cloudflare tunnel ทำให้การสื่อสารของแฮกเกอร์ไม่สามารถตรวจสอบได้ง่าย
https://securityonline.info/critical-rce-cve-2025-10035-in-goanywhere-mft-used-by-medusa-ransomware-group/
0 Comments
0 Shares
33 Views
0 Reviews