สิ่งที่ทำให้ลูกค้าของเรากังวลมากที่สุดไม่ใช่แค่แรนซัมแวร์เองแต่เป็นการตระหนักว่าพวกเขายังคงใช้งานเวิร์กโหลดที่สำคัญบนเวอร์ชัน VMware เก่าๆ ที่ไม่สามารถอัปเดตแพตช์ได้ตามปกติอีกต่อไป เมื่อช่องโหว่นี้เกิดขึ้น ทุกวันก็กลายเป็นความเสี่ยงด้านความปลอดภัย
พาร์ทเนอร์ของ Sangfor ในฟิลิปปินส์ให้ความเห็นเกี่ยวกับเหตุการณ์ที่เกิดขึ้นกับลูกค้าเมื่อเร็วๆ นี้
สำหรับทีมไอทีหลายทีม แรนซัมแวร์ไม่ใช่เรื่องไกลตัวอีกต่อไปแล้ว มันคือความเป็นจริงในการปฏิบัติงานที่สามารถทำให้ธุรกิจหยุดชะงักได้ภายในไม่กี่ชั่วโมง ไม่ใช่หลายสัปดาห์ ความเสี่ยงนั้นจะยิ่งเกิดขึ้นทันทีเมื่อโครงสร้างพื้นฐานที่รองรับภาระงานหลักขึ้นอยู่กับซอฟต์แวร์เวอร์ชันเก่า เสี่ยงต่อการถูกโจมตี หรือยากต่อการอัปเดตให้ทันสมัยอยู่เสมอ
นั่นคือเหตุผลที่คำเตือนล่าสุดเกี่ยวกับการโจมตี VMware มีความสำคัญ ในเดือนกุมภาพันธ์ 2026 BleepingComputer รายงาน ว่า CISA ยืนยันแล้วว่ากลุ่มแรนซัมแวร์กำลังใช้ช่องโหว่การหลุดออกจากแซนด์บ็อกซ์ VMware ESXi ที่มีความรุนแรงสูง CVE-2025-22225 ซึ่งเคยถูกใช้ในการโจมตีแบบ Zero-day มาก่อน ช่องโหว่นี้ได้รับการแก้ไขโดย Broadcom ในเดือนมีนาคม 2025 แต่เหตุการณ์นี้เน้นย้ำถึงความเป็นจริงที่ยากลำบากในภาคสนาม: เมื่อองค์กรยังคงใช้โครงสร้างพื้นฐานที่ล้าสมัยหรือไม่ได้รับการสนับสนุน ช่องว่างระหว่างการแก้ไขที่เผยแพร่กับความเสี่ยงในทางปฏิบัติอาจกว้างขึ้นอย่างอันตราย
ปัญหานี้เกิดขึ้นในช่วงเวลาที่หลายองค์กรกำลังเผชิญกับความท้าทายมากกว่าแค่การจัดการช่องโหว่ พวกเขายังต้องรับมือกับกำหนดเวลาของวงจรชีวิตผลิตภัณฑ์ การเปลี่ยนแปลงนโยบายการสนับสนุน แรงกดดันด้านงบประมาณ และความซับซ้อนในการดำเนินงานเพื่อรักษาความปลอดภัยของสภาพแวดล้อมเวอร์ชวลไลเซชันแบบเดิมโดยไม่กระทบต่อธุรกิจ
ปัญหาเชิงนโยบาย: เมื่อการแก้ไขช่องโหว่ไม่ใช่ทางเลือกอีกต่อไป
สำหรับหลายองค์กร อุปสรรคในการอัปเดตแพทช์ไม่ได้อยู่ที่เวลาหยุดทำงานหรือค่าใช้จ่ายในการดำเนินงานเพียงอย่างเดียวอีกต่อไป แต่เป็นเรื่องการปฏิบัติตามข้อกำหนดด้านลิขสิทธิ์
หลังจากการเข้าซื้อกิจการ VMware ของ Broadcom ภูมิทัศน์การสนับสนุนสำหรับใบอนุญาตแบบถาวร (ซื้อขาด) ได้เปลี่ยนแปลงไปอย่างสิ้นเชิง ประเด็นหลักคือ หากเวอร์ชัน VMware ของคุณหมดระยะเวลาการสนับสนุนแล้ว และคุณยังไม่ได้เปลี่ยนไปใช้โมเดลการสมัครสมาชิก คุณจะถูกห้ามไม่ให้รับแพตช์อย่างเป็นทางการทั้งทางกฎหมายและทางเทคนิค
ลองพิจารณาสถานการณ์ที่ลูกค้าหลายรายกำลังเผชิญอยู่ในขณะนี้:
- ผู้ใช้งาน vSphere 7.x: การสนับสนุนทั่วไปสิ้นสุดลงในเดือนตุลาคม 2025 ขณะนี้อยู่ในช่วง "คำแนะนำทางเทคนิค" (จนถึงเดือนตุลาคม 2027) ซึ่งไม่มีการออกแพทช์รักษาความปลอดภัยใหม่ใดๆ
- vSphere 6.x และเวอร์ชันก่อนหน้า: เวอร์ชันเหล่านี้หมดระยะเวลาการสนับสนุนทั่วไป (EoGS) ไปนานแล้ว
- ลูกค้าที่มีสัญญาบำรุงรักษาหมดอายุ: แม้แต่ในเวอร์ชันที่ได้รับการสนับสนุน เช่น vSphere 8.x หากสัญญาบำรุงรักษาของคุณหมดอายุ คุณจะไม่ได้รับการอัปเดต ดังเช่นกรณีที่เกิดขึ้นกับ ร้านค้าปลีกชื่อดังอย่าง Tesco ลูกค้าได้รับแจ้งว่าไม่สามารถติดตั้งการอัปเดตได้เว้นแต่จะเปลี่ยนไปใช้การสมัครสมาชิก
นี่จึงสร้างความขัดแย้งที่น่ากลัว: ระบบที่เปราะบางที่สุดคือระบบที่ยังคงใช้เวอร์ชันที่ไม่ได้รับการสนับสนุนและไม่มีแพตช์แก้ไขในอนาคต ผู้โจมตีรู้เรื่องนี้ พวกเขาจึงสแกนหาระบบที่ใช้เวอร์ชันที่ล้าสมัยและแก้ไขไม่ได้เหล่านี้ โดยรู้ว่าช่องโหว่ CVE-2021-21974 (และช่องโหว่อื่นๆ ที่คล้ายกัน) เป็นช่องทางเปิดถาวร
กายวิภาคของการโจมตีระบบที่ยังไม่ได้อัปเดตแพตช์
การโจมตีด้วยแรนซัมแวร์ ESXiArgs เป็นตัวอย่างที่ชัดเจนของการโจมตีแบบ "ค่อยเป็นค่อยไป" ซึ่งจะสร้างความเสียหายร้ายแรงหากปล่อยทิ้งไว้โดยไม่แก้ไข ดังที่การวิเคราะห์ของเราแสดงให้เห็น การโจมตีจะเกิดขึ้นเป็นขั้นตอนอย่างชัดเจนเมื่อสามารถเข้าถึงฐานที่มั่นเริ่มต้นได้ผ่านช่องโหว่ CVE-2021-21974:
- การเข้าถึงครั้งแรก (CVE-2021-21974): ผู้โจมตีใช้ช่องโหว่ heap overflow ในบริการ OpenSLP ผ่านพอร์ต UDP 427 เพื่อเรียกใช้โค้ดจากระยะไกล
- วิธีการติดตั้ง: ไฟล์ที่เป็นอันตราย (encrypt, encrypt.sh, public.pem) จะถูกวางไว้ในไดเร็กทอรี /tmp/
- การค้นหาและการเข้ารหัส: มัลแวร์เรียกค่าไถ่จะตรวจสอบไดรฟ์จัดเก็บข้อมูลทั้งหมด โดยกำหนดเป้าหมายไปที่ไฟล์สำคัญของเครื่องเสมือน เช่น .vmdk (ดิสก์เสมือน), .vmx (การกำหนดค่าเครื่องเสมือน) และ .vswp (ไฟล์สวอป) มันใช้การผสมผสานระหว่างอัลกอริทึม Sosemanuk และการเข้ารหัส RSA เพื่อล็อกไฟล์
- การหลีกเลี่ยงการตรวจจับ: เพื่อป้องกันการกู้คืน ระบบจะลบไฟล์บันทึกระบบ งานที่กำหนดไว้ และไฟล์สำรองข้อมูล
- ข้อความเรียกค่าไถ่: มันจะทิ้งไฟล์ How to Restore Your Files.html ไว้ในระบบ พร้อมเรียกร้องให้ชำระเงิน
สำหรับองค์กรที่ใช้งาน VMware เวอร์ชันที่ไม่ได้รับการสนับสนุน คำแนะนำในการแก้ไขปัญหาจากคำแนะนำแบบดั้งเดิม เช่น การอัปเกรดเป็นเวอร์ชันที่ได้รับการแก้ไขแล้ว จึงไม่ใช่ทางเลือก พวกเขาเหลือเพียงสองทางเลือก คือ จ่ายค่าไถ่ (ซึ่งไม่แนะนำอย่างยิ่ง) หรือสูญเสียข้อมูลของตน
สร้างอนาคตที่ยั่งยืน: ความปลอดภัยที่เหนือกว่าการอัปเดตแพทช์
เหตุการณ์นี้เน้นให้เห็นถึงการเปลี่ยนแปลงที่สำคัญในกลยุทธ์ด้านไอที: คุณไม่สามารถปล่อยให้โครงสร้างพื้นฐานไม่สามารถรับการอัปเดตด้านความปลอดภัยได้อีกต่อไป การพึ่งพารอบการอัปเดตของผู้จำหน่าย โดยเฉพาะอย่างยิ่งเมื่อรอบนั้นผูกติดอยู่กับรูปแบบการสมัครสมาชิกที่มีเงื่อนไขการอนุญาตใช้งานที่เข้มงวด จะสร้างจุดอ่อนเพียงจุดเดียวสำหรับระบบรักษาความปลอดภัยทั้งหมดของคุณ
สำหรับลูกค้าของพันธมิตรของเรา และสำหรับองค์กรใดๆ ที่เผชิญกับความท้าทายนี้ ถึงเวลาแล้วที่จะต้องมองหาทางเลือกที่ผสานรวมระบบรักษาความปลอดภัยตั้งแต่เริ่มต้น แทนที่จะมองว่าเป็นเพียงส่วนเสริมที่ไม่จำเป็น
Sangfor Virtualization นำเสนอแนวทางที่น่าสนใจอย่างยิ่ง สร้างขึ้นบนหลักการของ การบูรณาการด้านความปลอดภัย Sangfor Hypervisor จึงไม่ใช่แค่แพลตฟอร์มสำหรับรัน VM ของคุณเท่านั้น แต่เป็นโซลูชันศูนย์ข้อมูลที่สมบูรณ์แบบซึ่งมีระบบรักษาความปลอดภัยเป็นหัวใจหลัก
ต่อไปนี้คือวิธีที่ Sangfor แก้ไขต้นเหตุของปัญหา ESXiArgs:
- ระบบรักษาความปลอดภัยและโครงสร้างพื้นฐานแบบครบวง: แตกต่างจากโมเดลแบบแยกส่วนของไฮเปอร์ไวเซอร์จากผู้ให้บริการภายนอกที่ต้องใช้เครื่องมือรักษาความปลอดภัยแยกต่างหาก Sangfor HCI ได้รวมความสามารถในการป้องกันแรนซัมแวร์ คุณสมบัติไฟร์วอลล์รุ่นใหม่ และไมโครเซกเมนต์ไว้ในตัว แนวทาง "สร้างมาในตัว ไม่ใช่ติดตั้งเพิ่มเติม" นี้หมายความว่านโยบายความปลอดภัยเป็นส่วนหนึ่งของโครงสร้างพื้นฐานเอง
- การตรวจจับภัยคุกคามเชิงรุก: แพลตฟอร์มของเราใช้ AI และการวิเคราะห์พฤติกรรมเพื่อตรวจจับพฤติกรรมของแรนซัมแวร์ เช่น การเข้ารหัสไฟล์จำนวนมากหรือการลบข้อมูลสำรองแบบเรียลไทม์ หยุดการโจมตีได้ก่อนที่จะก่อให้เกิดความเสียหาย
- ขจัดกับดักการพึ่งพาแพตช์: ด้วย Sangfor คุณจะไม่ต้องพึ่งพานโยบายแพตช์ของผู้จำหน่ายภายนอกสำหรับไฮเปอร์ไวเซอร์หลัก การอัปเดตความปลอดภัยของคุณเป็นส่วนหนึ่งของชุดซอฟต์แวร์ที่รวมเป็นหนึ่งเดียวและจัดการได้ ทำให้มั่นใจได้ว่าโครงสร้างพื้นฐานของคุณจะยังคงมีความยืดหยุ่นโดยไม่ต้องเผชิญกับอุปสรรคด้านลิценส์ที่ซับซ้อน
- การดำเนินงานที่คล่องตัวยิ่งขึ้น: การย้ายจากสภาพแวดล้อม VMware เดิมไปยัง Sangfor HCI ช่วยลดความซับซ้อนของศูนย์ข้อมูลของคุณ คุณจะลดความซับซ้อนของใบอนุญาต ลดต้นทุนรวมในการเป็นเจ้าของ และได้รับหน้าจอเดียวสำหรับการจัดการทั้งการประมวลผลและความปลอดภัย
- การผสานรวมเทคโนโลยีและบริการ: ใช้ประโยชน์จากความเชี่ยวชาญด้านความปลอดภัยจาก บริการ MDR ของเราเพื่อตรวจสอบโครงสร้างพื้นฐานเสมือนของคุณเพื่อหาสัญญาณของการโจมตีด้วยแรนซัมแวร์ที่อาจเกิดขึ้น เซ็นเซอร์ปลายทางและเครือข่ายของเราผสานรวมเข้ากับ HCI อย่างลงตัว และมอบความสามารถในการมองเห็นที่จำเป็นให้กับบริการ MDR ของเรา ซึ่งช่วยให้เราตรวจจับและตอบสนองต่อเหตุการณ์ด้านความปลอดภัยใดๆ ได้ สิ่งนี้ช่วยเปลี่ยนโซลูชันของเราจากโซลูชันเวอร์ชวลไลเซชันแบบธรรมดาไปสู่ประสบการณ์การประมวลผลที่ปลอดภัยอย่างครอบคลุม
สิ่งที่คุณสามารถทำได้ต่อไป
| การกระทำ | เส้นทาง VMware | เส้นทางแซงฟอร์ |
| 1. เริ่มต้นก้าวแรก | โปรดติดต่อพันธมิตรหรือตัวแทนฝ่ายขายของ VMware เพื่อสอบถามเกี่ยวกับตัวเลือกการอนุญาตใช้งานซอฟต์แวร์ | ติดต่อ Sangfor วันนี้ เพื่อประเมินสภาพแวดล้อม VMware ปัจจุบันของคุณและระบุความเสี่ยง |
| 2. ประเมินแผนการอัปเกรดของคุณ | โปรดอัปเกรดการสมัครสมาชิกและรูปแบบใบอนุญาตของคุณก่อนที่จะได้รับแพทช์ใดๆ | รับแผนการย้ายข้อมูลที่ปรับแต่งเฉพาะบุคคล พร้อมสภาพแวดล้อมสาธิตที่ใช้งานได้อย่างเต็มรูปแบบ |
| 3. ดำเนินการแก้ไขปัญหาในระยะสั้น | ดาวน์โหลดแพทช์หากใบอนุญาตของคุณยังอนุญาตอยู่ | เปลี่ยนมาใช้ Sangfor Virtualization ซึ่งมีระบบรักษาความปลอดภัยในตัวที่ไม่ต้องพึ่งพาการอัปเดตแพทช์แบบกระจัดกระจาย |
| 4. กู้คืนการทำงาน | แก้ไขเหตุการณ์แบบเชิงรับ ซึ่งมักเกิดขึ้นหลังจากเกิดความเสียหายแล้ว | เปิดใช้งานการป้องกันเชิงรุกด้วยระบบป้องกันแรนซัมแวร์แบบบูรณาการ การตรวจจับด้วย AI และการแบ่งส่วนย่อยระดับไมโคร |
การระบาดของ ESXiArgs ไม่ใช่แค่เพียงแคมเปญเรียกค่าไถ่ธรรมดาๆ เท่านั้น แต่เป็นอาการของแบบจำลองการดำเนินงานที่ล้มเหลว องค์กรที่ยังคงยึดติดกับระบบเก่าที่ไม่ได้รับการสนับสนุนและ "แก้ไขไม่ได้" ไม่ได้แค่ยอมรับความเสี่ยง แต่กำลังเชื้อเชิญหายนะเข้ามา
ด้วยการเปลี่ยนไปใช้แพลตฟอร์มอย่าง Sangfor Virtualization ซึ่งความปลอดภัยเป็นส่วนประกอบสำคัญที่ได้รับการอัปเดตอยู่เสมอในโครงสร้างพื้นฐาน คุณจะสามารถหลุดพ้นจากวงจรของช่องโหว่และการเปิดเผยข้อมูลโดยไม่ได้รับอนุญาตได้ในที่สุด อย่ารอให้เกิดการโจมตีครั้งต่อไปที่หลีกเลี่ยงไม่ได้จากช่องโหว่เก่าๆ เพื่อบีบให้คุณต้องลงมือทำ
