สรุปสั้น

บริษัท Shenzhen Zhibotong Electronics Co. Ltd. หรือ ZBT ผู้ผลิตเราเตอร์จากจีนที่ขายสินค้าให้บริษัทอื่นนำไปติดยี่ห้อตัวเอง (ไวท์เลเบล) กำลังถูกเปิดโปงเพิ่มเติมว่าฝังแบ็กดอร์ไว้ในเฟิร์มแวร์มากกว่าที่เคยรู้กัน หลังนาย Jacob Baines ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของบริษัท VulnCheck เปิดเผยเมื่อวันที่ 6 สิงหาคม 2569 ว่าเฟิร์มแวร์รุ่นล่าสุดของ ZBT มีแบ็กดอร์ระดับ root ซึ่งเว็บไซต์นี้เคยรายงานไว้ใน 035 การสืบสวนต่ออีกไม่กี่สัปดาห์พบว่าเราเตอร์ของ ZBT มีแบ็กดอร์หลายตัวย้อนหลังไปหลายปี

แบ็กดอร์ตัวแรกที่พบชื่อ EndlessDoors เป็นเครื่องมือควบคุมระยะไกลบนลินุกซ์แบบโอเพนซอร์สอายุกว่าสิบปีที่ถูกปลอมตัวเป็นเธรดของเคอร์เนล เมื่อเปิดเครื่อง เราเตอร์จะส่งสัญญาณออกไปหาโดเมนแปลกหน้า และเพราะเป็นการเชื่อมต่อจากภายในออกไปข้างนอก มันจึงผ่านไฟร์วอลล์ได้โดยไม่ถูกขวาง ใครก็ตามที่ควบคุมโดเมนปลายทางย่อมสั่งงานเราเตอร์ด้วยสิทธิ์ root ได้ ไม่ว่าจะเป็นการดักดูกิจกรรมบนอินเทอร์เน็ต ขโมยข้อมูลรับรอง หรือใช้เป็นทางเข้าสู่เครือข่ายส่วนที่เหลือ

หลังพบ EndlessDoors ในเราเตอร์ที่บ้านตัวเอง Baines ไปซื้อเราเตอร์อีกตัวจาก Amazon ภายใต้ยี่ห้อ DeepOrange ซึ่งเป็นบริษัทในนิวยอร์กที่ขายเทคโนโลยีของ ZBT ในชื่อตัวเอง เครื่องนั้นไม่มี EndlessDoors แต่กลับมีแบ็กดอร์อีกสองตัวที่เขาตั้งชื่อว่า SpeakingStone และ DarkLantern ซึ่งดูเหมือนเป็นรุ่นก่อนหน้าของ EndlessDoors ที่ถูกใส่ไว้ในเฟิร์มแวร์ของ ZBT ราวปี 2562 และแม้ ZBT จะปล่อยเฟิร์มแวร์ที่ถอดตัวฝังออกแล้ว Baines ระบุว่าเมื่อสัปดาห์ก่อนเขาซื้ออุปกรณ์ของบริษัทภายใต้ยี่ห้อ WiFlyer มาอีกเครื่อง และมันมาพร้อมตัวฝังโดยไม่ได้แพตช์เลย

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 27 สิงหาคม พ.ศ. 2569 ว่า ZBT ซึ่งเป็นบริษัทอายุ 15 ปี เป็นผู้ผลิตเราเตอร์ที่ขายดีที่สุดบน Alibaba.com แพลตฟอร์มอีคอมเมิร์ซรายใหญ่ของจีน โดยหน้าข้อมูลบริษัทระบุกำลังการผลิตต่อปีไว้ที่ 3.57 ล้านเครื่อง สินค้าเหล่านั้นตามปกติจะถูกขายต่อโดยบริษัทอื่นที่ไม่ใช่ ZBT ไปยังลูกค้าในประเทศต่าง ๆ เช่น ฟิลิปปินส์ อินเดีย แคนาดา ออสเตรเลีย เยอรมนี บัลแกเรีย ออสเตรีย รัสเซีย และสหรัฐฯ ขณะที่เอกสารการตลาดของบริษัทระบุว่าส่งออกไปแล้วมากกว่า 50 ประเทศและภูมิภาค

ตัวฝัง DarkLantern ต่างจากอีกสองตัวตรงที่มันเป็นฝ่ายเปิดพอร์ตรอรับการเชื่อมต่อ ไม่ใช่ฝ่ายโทรออก นั่นแปลว่า ZBT หรือผู้โจมตีที่ครอบครองโครงสร้างพื้นฐานสั่งการของบริษัทได้ สามารถเปิดการเชื่อมต่อเข้าไปยังเราเตอร์ที่ติด DarkLantern ได้โดยตรง และอุปกรณ์ของ ZBT ถูกออกแบบมาให้ยอมให้ทราฟฟิกวิ่งไปยังพอร์ต UDP ที่มัลแวร์เฝ้าฟังอยู่ ทำให้งานนี้ง่ายมาก เว้นแต่อุปกรณ์จะถูกป้องกันด้วยไฟร์วอลล์จากผู้ผลิตรายอื่น

ในช่วงเวลา 3 วัน VulnCheck ตรวจพบ DarkLantern ที่เปิดสู่อินเทอร์เน็ตเพียง 203 เครื่อง โดย Baines ระบุว่า 103 การเชื่อมต่อมาจากสหรัฐฯ ส่วนที่เหลือส่วนใหญ่มาจากรัสเซีย ไต้หวัน จีน ยูเครน และอิสราเอล ขณะที่ SpeakingStone มีประโยชน์มากกว่าในมุมของผู้ควบคุม เพราะเช่นเดียวกับ EndlessDoors มันเป็นฝ่ายเปิดการเชื่อมต่อออกไปหาโดเมนที่ควบคุมมัน โดยส่งข้อมูลระบบหลายอย่างออกไปก่อน รวมถึงพิกัด GPS แล้วจึงรับคำสั่งระดับระบบตามอำเภอใจ พร้อมคำสั่งเฉพาะที่เป็นอันตราย เช่น ความสามารถในการปลอมแปลงการแปลงชื่อโดเมน (DNS hijacking)

จุดที่ทำให้ VulnCheck เห็นตัวเลขได้คือผู้ออกแบบ SpeakingStone ยังไม่ได้จดทะเบียนโดเมนสั่งการหนึ่งโดเมน ณ เวลาที่ทำวิจัย Baines จึงจดโดเมนนั้นมาทำ sinkhole และเก็บการเชื่อมต่อของ SpeakingStone ได้ 392 ครั้งจนถึงปัจจุบัน โดยแทบทั้งหมดมาจากประเทศจีน ทั้งนี้ตัวเลขการติดเชื้อของ DarkLantern และ SpeakingStone น่าจะอยู่ในหลักร้อยเท่านั้น เพราะเป็นตัวฝังรุ่นเก่าที่ผูกอยู่กับอุปกรณ์ที่หมดอายุการสนับสนุนแล้ว ต่างจาก EndlessDoors ที่กระทบไฟล์เฟิร์มแวร์ปัจจุบันทั้งหมดของ ZBT

เมื่อถูกถามถึงขนาดความเสียหายรวมของ EndlessDoors Baines ยอมรับว่า “การขายแบบไวท์เลเบลและความยากในการสาวกลับ ทำให้บอกได้ยากมากจริง ๆ” โดยเขาคาดเดาว่าจำนวนอุปกรณ์ที่ติดน่าจะอยู่ในระดับหลักแสน ส่วนการตอบสนองของผู้ผลิต เขาเล่าว่า “ZBT ตอบสนองด้วยการหยุดการขายทั้งหมดบน Amazon และบนเว็บไซต์ของตัวเอง แล้วบอกว่า เราจะแก้ไขมัน และพวกเขาก็ปล่อยเฟิร์มแวร์บางตัวที่ถอดตัวฝังออก จากนั้นก็เปิดให้ซื้อของบน Amazon ได้อีกครั้ง ดังนั้นสัปดาห์ที่แล้วผมจึงซื้ออุปกรณ์ของพวกเขาภายใต้ยี่ห้อ WiFlyer และมันมาแบบไม่แพตช์เลย มีตัวฝังติดอยู่” ทั้งนี้ Dark Reading ได้ติดต่อทั้ง ZBT และ DeepOrange เพื่อขอความเห็น แต่ยังไม่ได้รับคำตอบจากทั้งสองบริษัทจนถึงเวลาที่เผยแพร่รายงาน

วิธีการโจมตี

แบ็กดอร์ทั้งสามตัวใช้แนวคิดเดียวกันคือให้อุปกรณ์เป็นฝ่ายติดต่อออกไปหาเซิร์ฟเวอร์สั่งการเอง ซึ่งเป็นการออกแบบที่เอาชนะไฟร์วอลล์ตามบ้านและตามสำนักงานได้เกือบทั้งหมด เพราะกฎการกรองส่วนใหญ่ตั้งไว้ป้องกันการเชื่อมต่อขาเข้า ไม่ใช่ขาออก และเมื่อผู้ที่คุมโดเมนปลายทางเป็นใครก็ได้ที่จดทะเบียนโดเมนนั้นได้ก่อน ช่องทางนี้จึงไม่ได้จำกัดอยู่แค่ผู้ผลิตอีกต่อไป

DarkLantern เป็นข้อยกเว้นที่กลับด้าน มันเปิดพอร์ต UDP รอฟังคำสั่งจากภายนอก และอุปกรณ์ของ ZBT ถูกตั้งค่าให้ยอมให้ทราฟฟิกเข้าถึงพอร์ตนั้นได้ตั้งแต่แรก เท่ากับผู้ที่รู้ว่าเป้าหมายใช้เราเตอร์รุ่นไหนสามารถยิงตรงเข้ามาได้เลย ยกเว้นจะมีไฟร์วอลล์ของผู้ผลิตรายอื่นคั่นอยู่ ส่วน SpeakingStone อันตรายกว่าในเชิงความสามารถ เพราะนอกจากรับคำสั่งระดับระบบทั่วไปแล้ว ยังมีคำสั่งเฉพาะสำหรับปลอมแปลง DNS ซึ่งหมายถึงการเปลี่ยนเส้นทางผู้ใช้ทั้งเครือข่ายไปยังเซิร์ฟเวอร์ปลอมได้โดยที่ผู้ใช้ไม่รู้ตัว และการส่งพิกัด GPS ออกไปด้วยยังเปิดทางให้ผู้ควบคุมรู้ตำแหน่งทางกายภาพของอุปกรณ์แต่ละเครื่อง

ที่ต้องระวังในการตีความคือตัวเลขที่ VulnCheck เก็บได้เป็นตัวเลขจากมุมมองที่จำกัด DarkLantern 203 เครื่องคือจำนวนที่เปิดสู่อินเทอร์เน็ตและถูกสแกนเจอในสามวัน ไม่ใช่จำนวนเครื่องที่ติดทั้งหมด เช่นเดียวกับ SpeakingStone 392 การเชื่อมต่อที่มาจากโดเมนเดียวที่บังเอิญยังว่างให้จดได้ ส่วนตัวเลขหลักแสนของ EndlessDoors เป็นการคาดเดาของนักวิจัยเอง ซึ่งเขาระบุเงื่อนไขไว้ชัดว่าการขายแบบไวท์เลเบลทำให้ประเมินได้ยาก

ผลกระทบ

ประเด็นที่หนักที่สุดของรายงานนี้ไม่ใช่จำนวนแบ็กดอร์ แต่คือช่องว่างระหว่างการแก้ไขที่ประกาศกับสิ่งที่ผู้ซื้อได้รับจริง ผู้ผลิตหยุดขาย ออกเฟิร์มแวร์ใหม่ แล้วกลับมาขายอีกครั้ง แต่เครื่องที่นักวิจัยซื้อหลังจากนั้นภายใต้ยี่ห้ออื่นยังคงมาพร้อมตัวฝังแบบไม่แพตช์ นั่นแปลว่าผู้บริโภคไม่มีทางรู้จากกล่องสินค้าเลยว่าเครื่องที่ถืออยู่ได้รับการแก้ไขแล้วหรือยัง

โครงสร้างการขายแบบไวท์เลเบลทำให้ปัญหานี้ตามรอยได้ยากเป็นพิเศษ ผู้ซื้อเห็นเพียงยี่ห้อปลายทางที่จดทะเบียนในประเทศตัวเอง เช่น DeepOrange ที่จดในนิวยอร์ก หรือ WiFlyer โดยไม่มีอะไรบอกว่าฮาร์ดแวร์และเฟิร์มแวร์มาจากผู้ผลิตรายเดียวกัน วิธีตรวจที่นักวิจัยแนะนำจึงย้อนกลับไปที่ระดับฮาร์ดแวร์ คือการไล่ดูหมายเลข MAC address สองชุดที่จัดสรรให้ ZBT โดยเฉพาะ

อีกมิติที่สำคัญคือสถานที่ติดตั้ง Baines ชี้ว่าจุดขายหลักอย่างหนึ่งของ ZBT คือการฝังการเชื่อมต่อ 4G และ 5G เข้าไปในตัวสินค้า ซึ่งทำให้อุปกรณ์เหล่านี้ถูกนำไปติดตั้งในพื้นที่ห่างไกลที่เข้าถึงยาก เขายกตัวอย่างท่อส่งน้ำมันที่ต้องการส่งข้อมูลการเฝ้าระวังกลับศูนย์ อุปกรณ์แบบนี้ตอบโจทย์เพราะแค่เสียบก็ต่อสัญญาณมือถือได้เอง แต่การส่งคนออกไประบุว่าเครื่องนั้นเป็นของ ZBT แล้วเปลี่ยนมันกลับไม่ใช่เรื่องง่ายเลย สำหรับองค์กรที่ใช้อุปกรณ์ลักษณะนี้ในงานเฝ้าระวังระยะไกล คำแนะนำที่ว่า “ถอดปลั๊กแล้วเปลี่ยนเครื่อง” จึงมีต้นทุนสูงกว่าที่ฟังดู

คำแนะนำ

  • ตรวจสอบ MAC address ของเราเตอร์ในองค์กรเทียบกับช่วงที่จัดสรรให้ ZBT ตามที่นักวิจัยแนะนำ เพื่อระบุว่ามีอุปกรณ์ไวท์เลเบลจากผู้ผลิตรายนี้ถูกนำมาใช้งานอยู่หรือไม่
  • อย่าเชื่อยี่ห้อบนกล่องเพียงอย่างเดียว โดยเฉพาะอุปกรณ์เครือข่ายราคาถูกที่ซื้อผ่านตลาดออนไลน์ เพราะสินค้าจากสายการผลิตเดียวกันถูกขายภายใต้หลายชื่อ
  • เฝ้าดูทราฟฟิกขาออกจากอุปกรณ์เครือข่ายไปยังโดเมนหรือไอพีที่ไม่คุ้นเคย โดยเฉพาะการส่งสัญญาณซ้ำเป็นจังหวะสม่ำเสมอ ซึ่งเป็นพฤติกรรมร่วมของตัวฝังทั้งสามตัว
  • วางไฟร์วอลล์ของผู้ผลิตรายอื่นคั่นหน้าอุปกรณ์เหล่านี้ และปิดกั้นทราฟฟิกขาเข้าไปยังพอร์ต UDP ที่ไม่จำเป็น เพื่อลดความเสี่ยงจากตัวฝังประเภทที่เปิดพอร์ตรอรับคำสั่ง
  • สำหรับอุปกรณ์ที่ใช้การเชื่อมต่อ 4G/5G ในพื้นที่ห่างไกล ให้ตรวจสอบว่ามีเส้นทางสื่อสารที่มองไม่เห็นจากศูนย์กลางหรือไม่ เนื่องจากอุปกรณ์เหล่านี้อาจไม่ผ่านการกรองของเครือข่ายองค์กรเลย
  • หากยืนยันได้ว่าเป็นอุปกรณ์ที่ได้รับผลกระทบ ให้ถอดออกและเปลี่ยนเครื่องตามคำแนะนำของนักวิจัย เพราะการอัปเดตเฟิร์มแวร์จากผู้ผลิตรายนี้ยังไม่มีหลักประกันว่าเครื่องใหม่ที่ซื้อมาจะปลอดตัวฝัง

แหล่งอ้างอิง