Chainstack ถูกเจาะผ่านเซิร์ฟเวอร์ MCP ภายในที่ไม่มีการยืนยันตัวตน

ผู้โจมตีจากภายนอกเจาะเข้าสู่สภาพแวดล้อมการปฏิบัติงานบางส่วนของบริษัทโครงสร้างพื้นฐานบล็อกเชน เชนสแต็ก (Chainstack) เมื่อวันที่ 29 ตุลาคม การบุกรุกเริ่มจากเซิร์ฟเวอร์สำหรับพัฒนาที่ใช้รหัสผ่านผู้ดูแลระบบเริ่มต้น ก่อนลามผ่านเซิร์ฟเวอร์เครื่องมือ Model Context Protocol (MCP) ภายในที่ไม่ต้องยืนยันตัวตน ไปยังฐานข้อมูลที่มีข้อมูลบัญชีลูกค้า

เชนสแต็กระบุในรายงานเหตุการณ์ที่เผยแพร่เมื่อวันที่ 10 พฤศจิกายนว่า ผู้โจมตีเข้าถึงสภาพแวดล้อมสำหรับพัฒนาเมื่อวันที่ 26 ตุลาคม บริษัทปิดกั้นเส้นทางการบุกรุกเมื่อวันที่ 31 ตุลาคม และสอบสวนเสร็จสิ้นเมื่อวันที่ 2 พฤศจิกายน

จุดเริ่มต้นคือเซิร์ฟเวอร์ทดสอบ Grafana ที่ติดตั้งในคลัสเตอร์ Kubernetes สำหรับพัฒนาเมื่อเดือนกรกฎาคม เซิร์ฟเวอร์เปิดให้เข้าถึงจากอินเทอร์เน็ตและยังใช้ข้อมูลบัญชีผู้ดูแลระบบเริ่มต้น โดยไม่มีมาตรการเข้าสู่ระบบเพิ่มเติม เช่น single sign-on (SSO) หรือ basic authentication

เมื่อวันที่ 26 ตุลาคม ผู้โจมตีเข้าสู่ระบบด้วยบัญชีผู้ดูแลระบบเริ่มต้น แล้วใช้พร็อกซีแหล่งข้อมูลของ Grafana เพื่อเข้าถึงบริการภายใน พร็อกซีไม่มีรายการอนุญาตปลายทาง และนโยบายเครือข่ายก็ไม่ได้จำกัดปลายทางที่ Grafana เชื่อมต่อได้ เชนสแต็กระบุว่าผู้โจมตีเชื่อมต่อบริการภายในหลายสิบแห่งที่เกี่ยวข้องกับการยืนยันตัวตน ฐานข้อมูล ระบบอัตโนมัติ และการมอนิเตอร์

วันเดียวกัน ผู้โจมตีเข้าถึงเซิร์ฟเวอร์เครื่องมือ MCP ภายใน ซึ่งให้ AI agent สั่งงาน Kubernetes ได้ เซิร์ฟเวอร์ไม่ต้องยืนยันตัวตน และบัญชีของเซิร์ฟเวอร์มีสิทธิ์ผู้ดูแลระบบในคลัสเตอร์สำหรับพัฒนา เชนสแต็กประเมินจากการไหลของเครือข่าย สิทธิ์ และการเปลี่ยนแปลงที่เกิดขึ้นภายหลังว่าเซิร์ฟเวอร์นี้ถูกใช้รันคำสั่งของผู้โจมตี แต่ไม่สามารถกู้บันทึกการเรียกใช้เครื่องมือแต่ละครั้งได้

ในช่วงหนึ่งชั่วโมงครึ่งถัดมา ผู้โจมตีทดสอบสิทธิ์เขียนข้อมูลในระบบเวิร์กโฟลว์ภายใน และสร้างผู้ใช้ผู้ดูแลระบบในระบบยืนยันตัวตนสำหรับพัฒนา จากนั้นเผยแพร่หน้าเว็บทดสอบและนำไฟล์ของผู้โจมตีไปเมานต์เป็นวอลุ่ม ConfigMap ใน Kubernetes เพื่อแทนที่ JavaScript ที่เว็บแอปสำหรับพัฒนาให้บริการ เมื่อวันที่ 27 ตุลาคม ผู้โจมตีเปลี่ยนเว็บแอปสำหรับ staging และ Grafana สำหรับพัฒนาด้วยวิธีเดียวกัน เชนสแต็กกู้สคริปต์ขั้นที่สองซึ่งตัวโหลดอ้างถึงไม่ได้

เมื่อวันที่ 29 ตุลาคม ผู้โจมตีแก้ไขเวิร์กโฟลว์ที่เก็บไว้ในฐานข้อมูลของแพลตฟอร์มอัตโนมัติโดยตรง เพื่อให้มีการรันคำสั่ง shell หลังเรียกใช้เวิร์กโฟลว์ด้วยโทเคน webhook ที่ยังใช้งานได้ ผู้โจมตีก็คืนค่าเวิร์กโฟลว์เป็นสถานะเดิม การแก้ฐานข้อมูลของแพลตฟอร์มโดยตรงทำให้ข้ามบันทึกการเปลี่ยนแปลงของระบบได้

ระหว่างการโจมตี ผู้โจมตีได้ตัวแปรสภาพแวดล้อมของพ็อดระบบอัตโนมัติ โทเคนบัญชีบริการ Kubernetes และข้อมูลยืนยันตัวตนของเครื่องที่ใช้กับเกตเวย์เข้าถึงโครงสร้างพื้นฐาน ในวันเดียวกัน ผู้โจมตีใช้เกตเวย์ที่ถูกเจาะและบัญชีระบบอัตโนมัติสำหรับการปรับใช้ เพื่อไล่ดูข้อมูลลับในคลัสเตอร์ Kubernetes สำหรับระบบจริง และอ่านข้อมูลรับรองการเข้าถึงคลาวด์กับโครงสร้างพื้นฐาน

เมื่อวันที่ 31 ตุลาคม ผู้โจมตีค้นข้อมูลจำนวนมากจากคลังเก็บข้อมูลลับบนคลาวด์ของสภาพแวดล้อมจริง อีกทั้งสร้างคีย์เพิ่มให้บัญชีระบบอัตโนมัติของโครงสร้างพื้นฐาน และสร้างบัญชี Kubernetes ที่มีโทเคนระยะยาว เพื่อเตรียมช่องทางกลับเข้าระบบ ผู้โจมตียังใช้คีย์ VPN ที่ได้มาเชื่อมต่อกับเครือข่ายฐานข้อมูล

ไคลเอนต์สองเครื่องแสดงตัวตนของ VPN peer เดียวกัน ทำให้จุดเชื่อมต่อของอุโมงค์ VPN สลับไปมาและเกิดข้อผิดพลาดในกระบวนการจำลองฐานข้อมูล เชนสแต็กระบุว่าเหตุขัดข้องนี้ทำให้บริษัทเริ่มสอบสวนการบุกรุก

ผู้โจมตีเข้าสู่ระบบฐานข้อมูลจริงด้วยบัญชีผู้ดูแลระบบและนำผลการค้นข้อมูลออกไป เชนสแต็กอธิบายว่า ในหนึ่งอินสแตนซ์มีการเรียกดูวิว pg_shadow ของ PostgreSQL ซึ่งมีแฮชรหัสผ่านของบทบาทฐานข้อมูล

ฐานข้อมูลที่ถูกเข้าถึงมีชื่อองค์กร ชื่อเจ้าของบัญชี อีเมลของสมาชิกในองค์กร และแฮชรหัสผ่าน ผู้โจมตียังเข้าถึงระบบที่เก็บข้อมูลสำหรับเชื่อมต่อโหนดของลูกค้า แต่เชนสแต็กระบุว่าไม่มีหลักฐานยืนยันว่าข้อมูลดังกล่าวถูกอ่านจริง บริษัทจึงถือว่าข้อมูลการเชื่อมต่อโหนดอาจถูกเปิดเผยไว้ก่อนเพื่อป้องกันความเสี่ยง

เชนสแต็กประเมินว่าผู้โจมตีมีแนวโน้มใช้ ARTEX ซึ่งเป็นเฟรมเวิร์กโจมตี AI แบบโอเพนซอร์ส โดยพิจารณาจากรูปแบบการตั้งชื่อในไฟล์และบัญชีที่ผู้โจมตีสร้าง ตลอดจนเครื่องมือและวิธีการที่ใช้ อย่างไรก็ตาม เฟรมเวิร์กเดียวกันอาจถูกใช้โดยหลายกลุ่ม บริษัทจึงไม่ได้ระบุตัวผู้โจมตี และระบุว่าไม่พบหลักฐานว่ามีการใช้ช่องโหว่ซอฟต์แวร์

เชนสแต็กระบุว่าโหนดลูกค้า คอนโซล และ API ทำงานตามปกติระหว่างเหตุการณ์ และไม่ได้ถูกผู้โจมตีเปลี่ยนแปลง ผลการตรวจสอบนี้เป็นคนละส่วนกับการเข้าถึงฐานข้อมูลบัญชีลูกค้าและระบบเก็บข้อมูลรับรองสำหรับโหนด

MCP เป็นข้อกำหนดที่เชื่อมเครื่องมือ AI เข้ากับข้อมูลและฟังก์ชันของระบบภายนอก ปัญหาที่พบในเหตุการณ์นี้คือเซิร์ฟเวอร์เครื่องมือภายในไม่มีระบบยืนยันตัวตน และมีสิทธิ์ผู้ดูแลระบบในวงกว้าง ก่อนหน้านี้ TokenPost รายงานว่า ราดแวร์ (Radware) เปิดตัวผลิตภัณฑ์รักษาความปลอดภัยสำหรับตรวจสอบกิจกรรมของเซิร์ฟเวอร์ MCP และ AI agent ภายในองค์กร

เชนสแต็กขอให้ลูกค้าเปลี่ยนรหัสผ่าน เปลี่ยนข้อมูลสำหรับเชื่อมต่อโหนด และออก API key ของแพลตฟอร์มใหม่ บริษัทระบุว่ากำลังเพิ่มการยืนยันตัวตนและจำกัดสิทธิ์ของเครื่องมือ MCP ภายใน พร้อมแยกบัญชีและข้อมูลลับระหว่างสภาพแวดล้อมสำหรับพัฒนากับระบบจริง