ทำความเข้าใจกับแบ็กดอร์เราเตอร์จีนและสปายแวร์ LightSpy
แบ็กดอร์เราเตอร์จีนและสปายแวร์ LightSpy คือชุดภัยคุกคามไซเบอร์ที่ซ่อนตัวอยู่ในอุปกรณ์เครือข่ายและอุปกรณ์พกพา ทำหน้าที่เป็นประตูหลังให้ผู้ไม่หวังดีเข้าถึงข้อมูลส่วนตัว ควบคุมอุปกรณ์จากระยะไกล และสอดแนมพฤติกรรมผู้ใช้ โดยมักแฝงมากับเฟิร์มแวร์หรือซอฟต์แวร์ที่ผู้ใช้ไม่เคยเห็นหน้าตา ทำให้บ้านอัจฉริยะและเครือข่ายสำนักงานขนาดเล็กเสี่ยงถูกยึดครองโดยที่เจ้าของไม่รู้ตัว
ประเด็นคือภัยเหล่านี้ไม่ได้เป็นแค่ “บั๊ก” ทางเทคนิค แต่เป็น “ช่องทางลับ” ที่เจตนาใส่มาในเฟิร์มแวร์ของเราเตอร์และอุปกรณ์เครือข่ายบางรุ่น โดยงานวิจัยล่าสุดพบว่า เราเตอร์ที่ผลิตในจีนมากกว่า 20 รุ่นซึ่งวางขายทั่วโลกถูกติดตั้งแบ็กดอร์ที่เปิดทางให้บุคคลภายนอกเข้าถึงอุปกรณ์และเชื่อมต่อไปยังอุปกรณ์อื่นในเครือข่ายได้ ขณะเดียวกัน สปายแวร์ LightSpy ก็พัฒนาจากเครื่องมือสอดแนมทั่วไปกลายเป็นแพลตฟอร์มเฝ้าระวังครบวงจรที่ถูกใช้งานแล้วในกว่า 13 ประเทศ ภาพรวมทั้งหมดชี้ว่าปัญหานี้ไม่ใช่เหตุการณ์โดดเดี่ยว แต่เป็นโครงสร้างความเสี่ยงใหม่ของโลกอุปกรณ์อัจฉริยะ
ENDLESSDOORS: แบ็กดอร์เราเตอร์ที่โทรกลับเองจากข้างในบ้าน
หัวใจของปัญหาแบ็กดอร์เราเตอร์จีนชุดล่าสุดคือการค้นพบช่องทางลับที่นักวิจัยตั้งชื่อว่า ENDLESSDOORS ในเราเตอร์หลายรุ่นที่ผลิตโดยบริษัทในเมืองเซินเจิ้น และจำหน่ายภายใต้แบรนด์ Zbtlink และ Wiflyer ในหลายประเทศทั่วโลก แบ็กดอร์นี้ฝังอยู่ในเฟิร์มแวร์รูปแบบ implant ที่จะ “โทรกลับ” ไปยังเซิร์ฟเวอร์คลาวด์ในจีนเพื่อขอคำสั่ง และเปิดทางให้ผู้ควบคุมสามารถสั่งงานเราเตอร์จากระยะไกลได้ ต่างจากมัลแวร์ทั่วไปที่ต้องเจาะเข้าจากภายนอก ENDLESSDOORS เริ่มติดต่อจากภายในเครือข่ายเอง ทำให้ไฟร์วอลล์และระบบกรองทราฟฟิกขาออกทั่วไปแทบไม่ช่วยอะไร
งานวิจัยย้ำว่า “นี่คือแบ็กดอร์ที่โจมตีรุนแรงที่สุดที่เคยพบในเราเตอร์” เพราะไม่มีพอร์ตบริการรอรับการเชื่อมต่อจากภายนอกให้สแกนหา แต่ใช้การเปิดเซสชันจากในบ้านวิ่งออกไปหาคำสั่งควบคุมแทน เราเตอร์ที่เสี่ยงถูกระบุเป็นรุ่น CPE2801, WE1026-5G-WD, WE1326, WE2007, WE2008-DSIM, WE2416, WE3326, WE5927, WE5931, WE5931AC, WE826-T3-DSIM, WG108, WG1602, WG1608-DSIM, WG209, WG2105, WG2107, WG259, WG3526 และ Z8102AX-2DSIM นักวิจัยประเมินว่ามีเราเตอร์ลักษณะนี้ถูกติดตั้งใช้งานทั่วโลกอย่างน้อย 100,000 เครื่อง นั่นหมายความว่าบ้าน สำนักงานขนาดเล็ก หรือแม้แต่โรงแรมที่ใช้เราเตอร์เหล่านี้อาจถูกควบคุมจากอีกซีกโลกได้ทุกเมื่อ
LightSpy: สปายแวร์เชิงพาณิชย์ที่ปลอมตัวเป็นบริการ
ขณะที่แบ็กดอร์เราเตอร์เปิดประตูหลังให้ผ่านเครือข่าย สปายแวร์ LightSpy คือแขนขาที่คอยขโมยทุกอย่างจากอุปกรณ์ปลายทาง LightSpy เป็นสปายแวร์สัญชาติจีนซึ่งเริ่มจากเครื่องมือสอดแนมทั่วไป แต่ถูกพัฒนาเป็นแพลตฟอร์มเฝ้าระวังแบบครบวงจรที่ถูกใช้งานแล้วในกว่า 13 ประเทศ ความน่ากังวลคือมันถูกเปลี่ยนให้กลายเป็น “สินค้า” ที่ใครมีเงินก็เช่าใช้ได้ โดยมีระบบกำหนดระดับราคาบริการ ระบบเรียกเก็บเงิน และระบบเดโมให้ลองใช้งานก่อนซื้อ ทำให้เทคโนโลยีจารกรรมระดับที่เคยมีแค่หน่วยข่าวกรอง สามารถเข้าถึงได้ทั้งกลุ่มอาชญากรไซเบอร์ องค์กรเอกชน และหน่วยงานรัฐต่าง ๆ
ความสามารถของ LightSpy นั้นลึกกว่าที่ผู้ใช้ส่วนใหญ่คาดคิด: มันเข้าถึงข้อมูลส่วนตัว ตำแหน่งที่ตั้งแบบละเอียด บันทึกเสียง ประวัติการสนทนา ภาพจากกล้อง วิดีโอ การบันทึกหน้าจอ และยังลบข้อมูลทั้งหมดบนอุปกรณ์เหยื่อจากระยะไกลได้ นักวิจัยด้านความปลอดภัยไซเบอร์รายงานว่าโครงสร้างพื้นฐานของ LightSpy ได้ขยายจากจีนไปยังหลายประเทศ และมีเซิร์ฟเวอร์อย่างน้อย 117 แห่งถูกใช้ติดตั้งมัลแวร์บนเราเตอร์ในยุโรปและแอฟริกา เพื่อดักจับและส่งต่อข้อมูลของเหยื่อ รายงานเดียวกันระบุว่า LightSpy มีความเชื่อมโยงกับกลุ่มผู้ปฏิบัติการที่ได้รับการสนับสนุนจากรัฐจีน เมื่อแพลตฟอร์มสอดแนมระดับนี้กลายเป็นบริการเชิงพาณิชย์ โลกไซเบอร์จึงกำลังเข้าสู่ยุคที่การจารกรรมเป็น “บริการตามสั่ง”
จากช่องโหว่เดี่ยวสู่ความเสี่ยงเชิงระบบของบ้านอัจฉริยะ
สิ่งที่ทำให้แบ็กดอร์เราเตอร์อย่าง ENDLESSDOORS และสปายแวร์ LightSpy น่ากลัวไม่ใช่แค่ความสามารถเฉพาะตัว แต่คือผลรวมทางโครงสร้างต่อความปลอดภัยอุปกรณ์อัจฉริยะในบ้าน เมื่อเราเตอร์จำนวนมากที่ผลิตในจีนถูกขายภายใต้หลายแบรนด์ และบางครั้งแปะฉลากว่ามาจากประเทศอื่น ผู้ใช้ทั่วไปแทบไม่มีทางรู้ว่าเราเตอร์ที่วางอยู่ในบ้านเชื่อมโยงกลับไปหาใคร ปัญหานี้ยิ่งหนักขึ้นเมื่อเราเตอร์จำนวนหนึ่งถูกรีแบรนด์แล้วแถมมากับการติดตั้งบริการอินเทอร์เน็ต ทำให้ผู้ใช้ “ไม่มีโอกาสเลือก” ตั้งแต่แรก
ในภาพใหญ่ แบ็กดอร์เราเตอร์จีนและแพลตฟอร์มสปายแวร์ LightSpy จึงไม่ได้เป็นแค่ช่องโหว่ไซเบอร์บ้านแบบจุดต่อจุด แต่คือความเสี่ยงเชิงระบบของโครงสร้างพื้นฐานบ้านอัจฉริยะทั้งหมด แบ็กดอร์ในเราเตอร์หนึ่งตัวสามารถเป็นฐานให้เข้าไปยึดสมาร์ตโฟน โน้ตบุ๊ก หรือกล้องวงจรปิดทุกตัวในเครือข่าย ขณะที่สปายแวร์เชิงพาณิชย์เปิดโอกาสให้ผู้ไม่หวังดีจากหลากหลายกลุ่มเข้าถึงเครื่องมือสอดแนมระดับสูงได้ง่ายขึ้น ผลคือเส้นแบ่งระหว่าง “ฮาร์ดแวร์ราคาถูกจากต่างประเทศ” กับ “จุดสอดแนมถาวรในบ้าน” กำลังเลือนหาย และผู้ใช้ที่มองหาแค่ราคาถูกกำลังจ่ายด้วยความเป็นส่วนตัวของตัวเอง
สิ่งที่ผู้ใช้ควรทำตอนนี้เพื่อรับมือแบ็กดอร์เราเตอร์และ LightSpy
เมื่อภัยคุกคามไม่ได้อยู่แค่ในซอฟต์แวร์ที่เราดาวน์โหลด แต่ฝังมากับเราเตอร์และอุปกรณ์เครือข่ายที่ดูปกติ สิ่งสำคัญที่สุดคือไม่ควรมองข้ามคำเตือนจากชุมชนความปลอดภัยไซเบอร์ หากคุณใช้เราเตอร์ที่ผลิตในจีน หรือเราเตอร์ที่ได้มาพร้อมบริการอินเทอร์เน็ตโดยไม่รู้แบรนด์แท้จริง ควรเริ่มต้นด้วยการตรวจสอบรุ่นอุปกรณ์ของตัวเองทันที รายงานจากบริษัทด้านความปลอดภัยไซเบอร์ระบุชัดว่า หากเราเตอร์ของคุณอยู่ในรายชื่อรุ่น CPE และ WG ที่ได้รับผลกระทบ เช่น CPE2801, WE1326 หรือ WG3526 ควรตัดการเชื่อมต่อออกจากเครือข่ายและเปลี่ยนเครื่องใหม่ทันที นี่ไม่ใช่คำแนะนำแบบเผื่อไว้ แต่เป็นมาตรการฉุกเฉิน
ในมุมของความปลอดภัยอุปกรณ์อัจฉริยะ การป้องกันเครือข่าย IoT เริ่มต้นที่การไม่ยอมให้เราเตอร์ที่ไม่น่าเชื่อถือเป็นศูนย์กลางของบ้าน เพราะเมื่อประตูหลักถูกเจาะ ต่อให้สมาร์ตทีวี กล้อง หรือสมาร์ตโฟนแข็งแรงแค่ไหนก็ไม่ช่วยอะไร แบ็กดอร์เราเตอร์ชายที่โทรกลับไปหาดอมเมนในจีนทุก 35 วินาที ผนวกกับสปายแวร์ LightSpy ที่พร้อมขโมยข้อมูลและลบเครื่องจากระยะไกล แสดงให้เห็นว่าความเสี่ยงไม่ได้อยู่ที่การใช้งานที่ประมาทของผู้ใช้ แต่อยู่ที่ห่วงโซ่อุปทานของฮาร์ดแวร์เอง ถึงเวลาที่ผู้บริโภคต้องคิดแบบ “zero trust” กับอุปกรณ์ทุกชิ้นที่เชื่อมต่อเข้าบ้านตัวเอง และกล้าตัดสินใจเลิกใช้ฮาร์ดแวร์ที่ถูกตั้งคำถาม แม้จะยังไม่มีหลักฐานการโจมตีในกรณีของคุณก็ตาม
