สรุปสั้น

กล่องทีวี Android ราคาถูกที่ติดมัลแวร์มาจากโรงงานเป็นปัญหาที่วนกลับมาหลายรอบ ครั้งใหญ่ล่าสุดก่อนหน้านี้ คือ BadBox 2.0 ที่ Google ฟ้องร้องเมื่อเดือนกรกฎาคม 2568 ซึ่งเกี่ยวกับอุปกรณ์ที่ไม่ผ่านการรับรองกว่า 10 ล้านเครื่อง ล่าสุดบริษัท Google นำปฏิบัติการร่วมกับตำรวจแห่งชาติญี่ปุ่นและบริษัทความปลอดภัยอีก 5 ราย ยึดโดเมนและเซิร์ฟเวอร์สั่งการของบ็อตเน็ต XCPE ช่วงปลายเดือนตุลาคม 2569 บ็อตเน็ตนี้คุมอุปกรณ์ Android มากกว่า 1.3 ล้านเครื่อง ส่วนใหญ่เป็นกล่องรับสัญญาณทีวี (set-top box) และ Google ระบุด้วยความมั่นใจสูงว่าบริษัท Videostrong ผู้ผลิตอุปกรณ์ในเมืองเซินเจิ้นของจีน จงใจฝังแบ็กดอร์ชื่อ x.cpe ไว้ในเฟิร์มแวร์เอง แล้วขายสิทธิ์ใช้งานกล่องเหล่านี้ให้กลุ่มอาชญากร ซึ่งนำไปทำ residential proxy (ปล่อยให้คนอื่นส่งทราฟฟิกผ่านอินเทอร์เน็ตบ้านของเจ้าของกล่อง) และยิงยอดวิวโฆษณาปลอม

ความน่ากังวลอยู่ที่แบ็กดอร์ยังค้างอยู่ในกล่องแม้เซิร์ฟเวอร์สั่งการจะถูกยึดแล้ว เพราะมันเป็นแอประบบที่ติดตั้งตัวเองกลับทุกครั้งที่รีสตาร์ต เจ้าของกล่องจึงลบเองไม่ได้ ข้อมูลของบริษัท TrendAI พบว่ามาเลเซียเป็นประเทศที่มีเครื่องติดเชื้อมากที่สุด ตามด้วยบราซิล อิรัก เม็กซิโก และไต้หวัน Google ตัดความสัมพันธ์กับ Videostrong และห้ามบริษัทผลิตอุปกรณ์ Android ที่ผ่านการรับรองแล้ว ส่วนองค์กรควรค้นหากล่องยี่ห้อ MECOOL หรือรุ่นที่ถูกระบุในเครือข่าย ถอดทิ้ง และแยกอุปกรณ์ IoT ออกจากระบบสำคัญ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 2 พฤศจิกายน 2569 ว่า Google ใช้มาตรการทางกฎหมายยึดโดเมนและเซิร์ฟเวอร์ที่ใช้ควบคุมบ็อตเน็ต รวมถึงโดเมนสั่งการของมัลแวร์อีกกว่า 10 ตระกูลที่ถูกโหลดผ่านแบ็กดอร์ ผู้ร่วมปฏิบัติการ ได้แก่ ตำรวจแห่งชาติญี่ปุ่น บริษัท Lumen, HUMAN Security, Plume, Synthient และ TrendAI (หน่วยธุรกิจองค์กรของบริษัท Trend Micro) เนื่องจากอาชญากรที่ซื้อสิทธิ์จาก Videostrong ยังกระจายมัลแวร์ของตัวเองผ่านช่องทางอื่นด้วย Google จึงคาดว่าการยึดครั้งนี้จะตัดการเข้าถึงอุปกรณ์ติดเชื้อเพิ่มอีกอย่างน้อย 10 ล้านเครื่อง แต่ก็เตือนว่ากลุ่มเหล่านี้เปลี่ยนเครื่องมือได้เร็วเมื่อห่วงโซ่ส่วนใดส่วนหนึ่งถูกตัด TrendAI นับเครื่องติดเชื้อได้ 1,472,554 เครื่องใน 206 รุ่น ระหว่างวันที่ 3 มิถุนายนถึง 1 ตุลาคม 2569 และมองว่าตัวเลขจริงไม่น้อยกว่านี้ ส่วนสหรัฐฯ เยอรมนี สหราชอาณาจักร ออสเตรเลีย และแคนาดามีประเทศละราว 26,000-42,000 เครื่อง

เหตุที่ Google และ Synthient ชี้ไปที่ Videostrong มีหลายข้อ ข้อแรก x.cpe ส่งค่าตั้งจากเซิร์ฟเวอร์สั่งการไปให้แอปอื่นของ Videostrong เช่น แอปสตรีมมิง YokaTV Player ข้อสอง บัญชี GitHub ที่ใช้เก็บแพ็กเกจของบ็อตเน็ตบัญชีหนึ่งชื่อ yf-videostrong ข้อสาม Synthient พบเอกสารที่ลงนามโดยผู้อำนวยการฝ่ายวิจัยและพัฒนาของ Videostrong ในโฟลเดอร์เปิดบนเซิร์ฟเวอร์ของบ็อตเน็ต และพบโดเมนของ Videostrong ใช้ IP เดียวกับแผงควบคุมของผู้ปฏิบัติการ ด้าน Plume พบว่า Videostrong เป็นผู้จัดหาทั้งเฟิร์มแวร์และเครื่องมือจัดการอุปกรณ์ระยะไกล Google ระบุว่าไม่เชื่อว่าเป็นฝีมือพนักงานนอกแถวหรือความผิดพลาด เพราะแบ็กดอร์อยู่ในหลายรุ่นหลายยี่ห้อมาหลายปี และมีโครงสร้างพื้นฐานเฉพาะที่เปลี่ยนค่าตั้งสม่ำเสมอ

Android TV set-top boxes with a factory-installed backdoor linked to the XCPE botnet that Google disrupted
Android TV set-top boxes with a factory-installed backdoor linked to the XCPE botnet that Google disrupted

Google ตัดความสัมพันธ์กับ Videostrong และห้ามบริษัทรวมถึงบริษัทลูกหรือบริษัทในเครือในอนาคตผลิตหรือขายอุปกรณ์ Android ที่ผ่านการรับรอง และห้ามจัดหาซอฟต์แวร์ให้ผู้ผลิตรายอื่นที่ผ่านการรับรอง ข้อจำกัดของข้อมูลที่ควรรู้ คือ บ็อตเน็ตนี้มีทั้งอุปกรณ์ที่ Google รับรองและอุปกรณ์ที่ใช้ Android Open Source Project (AOSP) ตามข้อมูลของ Plume แต่รายงานของ Google ไม่ได้บอกว่ามีอุปกรณ์ที่ผ่านการรับรองโดนกี่เครื่อง ขณะที่ ณ วันที่ 2 พฤศจิกายน 2569 เว็บไซต์ของ Videostrong ยังลงสินค้าที่เรียกว่า “Google Certified Android TV Box” อยู่ นอกจากนี้รายชื่อ 182 รุ่นที่ Synthient เผยแพร่ก็ระบุเองว่าชื่อรุ่นอย่างเดียวยืนยันไม่ได้ว่ากล่องเครื่องนั้นติดเชื้อ

วิธีการโจมตี

แบ็กดอร์มาจากโรงงาน ไม่ได้ติดทีหลัง — x.cpe (บางบิลด์ชื่อ com.oemservice) ถูกฝังในเฟิร์มแวร์เป็นแอประบบที่เซ็นด้วยคีย์ของผู้ผลิต จึงได้สิทธิ์ระดับระบบตั้งแต่เปิดเครื่องครั้งแรก ถ้าผู้ใช้ถอนการติดตั้ง มันจะติดตั้งตัวเองกลับจากพาร์ทิชัน /oem/ ในการรีบูตครั้งถัดไป TrendAI จึงสรุปว่าการล้างต้องอาศัยผู้ผลิต การป้องกันระดับแพลตฟอร์ม หรือการเปลี่ยนเครื่องเท่านั้น

หลบการทดสอบของ Google ด้วยการโหลดโค้ดหลังบูตครั้งแรก — ผู้ผลิตอุปกรณ์ต้องผ่านชุดทดสอบความเข้ากันได้และความปลอดภัยของ Google ก่อนได้รับรอง Videostrong อำพรางโค้ด (obfuscation) และให้โค้ดอันตรายโหลดหลังเครื่องบูตครั้งแรก ซึ่งเป็นช่องว่างที่ชุดทดสอบไม่ได้ตรวจ Google ระบุว่าปรับกระบวนการตรวจและเพิ่มการตรวจเฟิร์มแวร์ของ Android TV ที่ผ่านการรับรองแล้ว

รับคำสั่งผ่าน MQTT แล้วปิด Play Protect ก่อนลงแอป — กล่องส่งคำขอ HTTP ไปดึงค่าตั้ง ข้อมูลตำแหน่ง และข้อมูลเครือข่าย จากนั้นเปิดการเชื่อมต่อค้างไว้ผ่าน MQTT (โปรโตคอลส่งข้อความขนาดเล็กที่นิยมใน IoT) เพื่อรอคำสั่ง ตัวอย่างทุกตัวที่วิเคราะห์ใช้เซิร์ฟเวอร์ MQTT เดียวกัน ก่อนติดตั้งแอปแบบเงียบ แบ็กดอร์จะปิดการตรวจแอปของ Google Play Protect ก่อน งานจริงถูกส่งต่อให้ตัวโหลดชื่อ com.abc.nexus ที่มีกลไกกันการวิเคราะห์ของตัวเอง ไฟล์ส่วนใหญ่ถูกโฮสต์เป็น GitHub releases ในบัญชีของผู้ปฏิบัติการ ส่วนที่เหลืออยู่บน Filemail และเซิร์ฟเวอร์ 2 เครื่องของผู้ปฏิบัติการ ซึ่งจัดการผ่านคอนโซลเว็บของ EMQX

ขายพื้นที่ในกล่องให้ลูกค้าอาชญากร — โมดูลส่วนใหญ่มาจากลูกค้า (affiliate) ที่ซื้อสิทธิ์ และเปลี่ยนกล่องเป็น residential proxy หรือขายแบนด์วิดท์ที่เหลือ ชุดเครื่องมือที่รายงานระบุชื่อ ได้แก่ Linkfog, AppSalt, GaGaNode, BWM, Traffmonetizer, EarnFM และ NetNut กล่องเครื่องเดียวรัน proxy ได้พร้อมกันถึง 3 ชุด บางชุดลงทะเบียนเครื่องโดยไม่ขอความยินยอม เช่น SDK ของ AppSalt ที่เรียกฟังก์ชัน opt-in เองโดยไม่แสดงหน้าจอขอความยินยอม และหยุดทำงานถ้าแอปมาจาก Google Play ส่วนโมดูลยิงโฆษณาปลอม เช่น Fission และ HiddenView สร้างยอดแสดงโฆษณาเบื้องหลัง และ HiddenView ยังเปิดหน้าต่างเบราว์เซอร์ซ่อนเพื่อจำลองการคลิกและการเลื่อนหน้า ค่าตั้งที่ส่งผ่าน MQTT กำหนดเพดานทรัพยากรของแต่ละโมดูล และแบ่งเครื่องเป็น 6 กลุ่มตามเขตเวลาบนโดเมน ott.szbboys[.]com

ใช้แบ็กดอร์สอดแนมเจ้าของกล่องด้วย — นอกจากติดตั้งแอปและรันคำสั่ง ผู้ปฏิบัติการยังจับภาพหน้าจอ ส่งการกดแป้น ดึงข้อมูลบัญชี ข้อมูลอุปกรณ์ รายชื่อแอป และล็อกระบบ เปิด reverse shell (ช่องทางสั่งงานเครื่องจากระยะไกล) และสำรวจเครือข่ายที่กล่องเชื่อมอยู่ Google ระบุว่าเห็น Videostrong ใช้ความสามารถเหล่านี้จริง แม้งานส่วนใหญ่จะเป็นการติดตั้ง ถอด และจัดการโมดูลก็ตาม

ผลกระทบ

กลุ่มที่โดนตรง คือ ผู้ซื้อกล่องทีวี Android ราคาถูกจากผู้ผลิตกลุ่มนี้ โดยเฉพาะยี่ห้อ MECOOL ที่ Synthient โยงกับ Videostrong (Synthient ซื้อรุ่น KM9PRO Max มาตรวจแล้วพบแบ็กดอร์ติดมาตั้งแต่แกะกล่อง) และแบ็กดอร์ยังโผล่ในอุปกรณ์ telehealth เครื่องคาราโอเกะ และป้ายโฆษณาดิจิทัล เจ้าของเครื่องเสี่ยง 2 เรื่อง เรื่องแรก คือ อินเทอร์เน็ตบ้านของตัวเองถูกใช้เป็นทางผ่านของทราฟฟิกอาชญากรรม ซึ่งอาจทำให้ IP บ้านถูกบล็อกหรือถูกโยงกับการโจมตี เรื่องที่สอง คือ ผู้ปฏิบัติการมีสิทธิ์ระดับระบบบนกล่อง จับภาพหน้าจอ ดึงบัญชี และสำรวจเครือข่ายบ้านได้

สำหรับอาเซียน มาเลเซียเป็นประเทศอันดับหนึ่งของเครื่องติดเชื้อตามข้อมูลของ TrendAI ซึ่งสะท้อนตลาดกล่องทีวีราคาถูกที่ขายผ่านแพลตฟอร์มออนไลน์ในภูมิภาค ส่วนองค์กรได้รับผลทางอ้อมเมื่อพนักงานทำงานจากบ้าน เพราะกล่องที่ติดเชื้ออยู่ในเครือข่ายเดียวกับโน้ตบุ๊กที่เข้าระบบองค์กร และสามารถสำรวจเครือข่ายนั้นได้ ส่วนกรณีที่กล่องอยู่ในห้องประชุม ล็อบบี้ หรือป้ายโฆษณาขององค์กรเอง ความเสี่ยงก็อยู่ในเครือข่ายภายในโดยตรง

คำแนะนำ

  • องค์กร — ทำทันที: ใช้ indicators ที่ Synthient เผยแพร่ค้นหากล่อง MECOOL หรือรุ่นที่คล้ายกันในเครือข่าย แล้วตัดการเชื่อมต่อและถอดทิ้ง เพราะแบ็กดอร์อยู่ในเฟิร์มแวร์และกลับมาเองหลังรีสตาร์ต
  • องค์กร — ทำทันที: บล็อกโดเมนและ IP สั่งการตามรายงานของ Synthient และ Google ที่ไฟร์วอลล์และ DNS
  • องค์กร — ตรวจว่าโดนแล้วหรือยัง: หาทราฟฟิก MQTT ขาออกจากอุปกรณ์ที่ไม่ได้ลงทะเบียน และการเชื่อมต่อไปยังโดเมนย่อยของ szbboys[.]com
  • องค์กร — ระยะยาว: แยกทีวี ป้ายดิจิทัล และอุปกรณ์สมาร์ตอื่นไว้ในเครือข่ายย่อยของตัวเอง ห่างจากระบบสำคัญ และให้พนักงานที่ทำงานจากบ้านเข้าระบบองค์กรผ่านเครื่องที่องค์กรจัดการเท่านั้น ตามคำแนะนำของ TrendAI
  • ผู้ใช้ทั่วไป: ถ้ากล่องอยู่ในรายชื่อรุ่นของ Synthient ให้เลิกใช้และทิ้ง การรีเซ็ตเป็นค่าโรงงานที่ Plume แนะนำช่วยล้างโมดูลที่ติดตั้งเพิ่มได้ แต่ Plume ไม่ได้ยืนยันว่ารีเซ็ตแล้ว x.cpe จะหาย
  • ผู้ใช้ทั่วไป — ระยะยาว: ซื้อกล่องทีวีจากผู้ผลิตที่อยู่ในรายชื่อพันธมิตรบนเว็บไซต์ Android TV ของ Google และระวังแอปที่ให้เงินแลกกับ “แบนด์วิดท์ที่ไม่ได้ใช้” ซึ่ง Google ระบุว่าเป็นช่องทางหลักที่เครือข่าย proxy ผิดกฎหมายใช้ขยายตัว

แหล่งอ้างอิง