การโจมตี Supply Chain ของ React2Shell: การใช้ประโยชน์ยกระดับไปสู่การขโมยข้อมูลและควบคุมระยะไกล

ข่าวนี้เปิดเผยถึงแคมเปญการโจมตีซัพพลายเชนที่ซับซ้อน โดยใช้ช่องโหว่ในแพ็คเกจ React npm ชื่อ “react2shell” แฮกเกอร์ได้แพร่กระจายมัลแวร์ขโมยข้อมูลและ Backdoor ไปยังนักพัฒนา React ซึ่งอาจส่งผลกระทบต่อโครงการที่พึ่งพาแพ็คเกจที่ถูกโจมตีนี้ การโจมตีนี้แสดงให้เห็นถึงความเสี่ยงที่เพิ่มขึ้นในระบบนิเวศการพัฒนาซอฟต์แวร์แบบโอเพนซอร์ส

Severity: วิกฤต (Critical)

System Impact:

• นักพัฒนา React และโครงการที่ใช้แพ็คเกจ react2shell (หรือแพ็คเกจที่ถูกฉีดโค้ดที่เป็นอันตราย)
• ระบบพัฒนาซอฟต์แวร์ (เช่น เครื่องมือ build, repository โค้ด)
• ข้อมูลที่ละเอียดอ่อน (เช่น ข้อมูลประจำตัว, กุญแจ API, ข้อมูลส่วนบุคคล) ที่จัดเก็บอยู่ในระบบที่ถูกบุกรุก

Malware/Threat Actor:

• Malware: ตัวขโมยข้อมูล (Information Stealer) และ Backdoor สำหรับควบคุมระยะไกล
• Threat Actor: ไม่ได้ระบุชื่อกลุ่มเจาะจง แต่เป็นการดำเนินการที่มีความเป็นมืออาชีพและมุ่งเป้าไปที่ซัพพลายเชน

ขั้นตอนการโจมตีทางเทคนิค (Step by Step):

1. การฉีดโค้ด (Code Injection): ผู้โจมตีได้ฉีดโค้ดที่เป็นอันตรายเข้าไปในแพ็คเกจ react2shell บน npm โดยใช้ช่องโหว่หรือการเข้าถึงโดยไม่ได้รับอนุญาต
2. การแพร่กระจาย (Distribution): นักพัฒนาที่ติดตั้งหรืออัปเดตแพ็คเกจ react2shell จะดาวน์โหลดและเรียกใช้โค้ดที่เป็นอันตรายโดยไม่รู้ตัว
3. การติดตั้งมัลแวร์ (Malware Installation): โค้ดที่เป็นอันตรายจะติดตั้งตัวขโมยข้อมูลและ Backdoor บนระบบของนักพัฒนา
4. การขโมยข้อมูล (Data Exfiltration): ตัวขโมยข้อมูลจะรวบรวมข้อมูลที่ละเอียดอ่อน เช่น ข้อมูลประจำตัว, โทเค็น, กุญแจ API และข้อมูลอื่นๆ จากระบบที่ถูกบุกรุก
5. การควบคุมระยะไกล (Remote Control): Backdoor ช่วยให้ผู้โจมตีสามารถเข้าถึงและควบคุมระบบที่ติดมัลแวร์ได้จากระยะไกล ซึ่งอาจนำไปสู่การโจมตีเพิ่มเติม

คำแนะนำ:

Short Term (คำแนะนำเร่งด่วน):

• ตรวจสอบแพ็คเกจ: ตรวจสอบโครงการทั้งหมดเพื่อดูการพึ่งพาแพ็คเกจ react2shell หากพบ ให้พิจารณาถอนการติดตั้งและลบออกจากไฟล์ package.json
• ตรวจสอบไฟล์ล็อก: ตรวจสอบไฟล์ล็อกของระบบและเครือข่ายเพื่อหากิจกรรมที่น่าสงสัยที่เกี่ยวข้องกับการติดตั้งหรือการทำงานของแพ็คเกจที่ถูกโจมตี
• เปลี่ยนข้อมูลประจำตัว: เปลี่ยนรหัสผ่านและข้อมูลประจำตัวทั้งหมดที่ใช้บนระบบที่อาจได้รับผลกระทบ รวมถึงกุญแจ API และโทเค็น
• สแกนระบบ: ใช้ซอฟต์แวร์ป้องกันมัลแวร์เพื่อสแกนระบบของนักพัฒนาเพื่อหามัลแวร์ที่อาจถูกติดตั้ง
• จำกัดสิทธิ์: ตรวจสอบและจำกัดสิทธิ์ของผู้ใช้และแอปพลิเคชันเพื่อลดพื้นที่การโจมตี

Long Term (คำแนะนำระยะยาว):

• การตรวจสอบแพ็คเกจอย่างเข้มงวด: ใช้เครื่องมือวิเคราะห์ช่องโหว่ซัพพลายเชนซอฟต์แวร์ (SCA) เพื่อตรวจสอบแพ็คเกจโอเพนซอร์สที่ใช้ในโครงการอย่างสม่ำเสมอ
• การตรวจสอบความถูกต้องของลายเซ็นดิจิทัล: ตรวจสอบให้แน่ใจว่าได้ตรวจสอบลายเซ็นดิจิทัลของแพ็คเกจก่อนนำไปใช้ในการผลิต
• หลักการ Zero Trust: นำหลักการ Zero Trust มาใช้ในสภาพแวดล้อมการพัฒนา โดยไม่ไว้วางใจผู้ใช้หรือแอปพลิเคชันใดๆ โดยปริยาย
• การแบ่งส่วนเครือข่าย: แบ่งส่วนเครือข่ายการพัฒนาออกจากเครือข่ายการผลิตเพื่อจำกัดการแพร่กระจายของการโจมตี
• การสำรองข้อมูลอย่างสม่ำเสมอ: สร้างการสำรองข้อมูลที่ปลอดภัยและทดสอบได้ของโค้ดและข้อมูลสำคัญ
• การอบรมด้านความปลอดภัย: อบรมทีมนักพัฒนาเกี่ยวกับภัยคุกคามของซัพพลายเชนและแนวปฏิบัติที่ดีที่สุดด้านความปลอดภัย

แหล่งที่มาของข่าว: https://thehackernews.com/2025/12/react2shell-exploitation-escalates-into.html