Google จับมือพันธมิตรทลาย Botnet อุปกรณ์ Android กว่า 1.3 ล้านเครื่อง หลังพบผู้ผลิตกล่อง TV Box แอบติด Backdoor ขายสิทธิ์เข้าถึงให้แฮกเกอร์
ช่วงปลายเดือนตุลาคมที่ผ่านมา Google ได้ผนึกกำลังร่วมกับหน่วยงานตำรวจแห่งชาติญี่ปุ่น (NPA) และบริษัทด้านความปลอดภัยไซเบอร์ชั้นนำ อาทิ Lumen, HUMAN Security, Plume, Synthient และ TrendAI ในการเข้าควบคุมและทลายเซิร์ฟเวอร์ C2 (Command and Control) ของเครือข่ายมัลแวร์และ Botnet ขนาดใหญ่ที่มีอุปกรณ์ Android ติดเชื้อมากกว่า 1.3 ล้านเครื่อง ซึ่งส่วนใหญ่เป็นกล่อง Android TV Box
ผู้ผลิตฝังประตูหลัง (Backdoor) ตั้งแต่ในโรงงาน
Google ระบุด้วยความมั่นใจสูงว่า บริษัท Videostrong ผู้ผลิตอุปกรณ์จากเซินเจิ้น ประเทศจีน ซึ่งเป็นผู้ผลิตกล่อง Android TV ทั้งในแบรนด์ของตนเอง (เช่น MECOOL) และผลิตแบบ OEM ให้แบรนด์อื่น ได้แอบตั้งใจฝังประตูหลังที่ชื่อว่า x.cpe ลงในเฟิร์มแวร์ของอุปกรณ์หลากหลายรุ่นมานานหลายปี เพื่อนำสิทธิ์การเข้าถึงเครื่องไปขายต่อให้กับกลุ่มอาชญากรไซเบอร์
แฮกเกอร์ได้นำเครื่องที่ติดเชื้อไปใช้ในการโกงโฆษณา (Ad Fraud) และเปิดขายแบนด์วิดท์อินเทอร์เน็ตบ้านของผู้ใช้ (Residential Proxies) เพื่อบังหน้าการส่งทราฟฟิกผิดกฎหมาย
ความอันตรายและพฤติกรรมของมัลแวร์
- สิทธิ์ระดับสูงสุด (System-level): x.cpe ทำงานเป็นแอประบบฝังอยู่ในเฟิร์มแวร์
- ปิดระบบป้องกันตัวเอง: ก่อนจะแอบติดตั้งแอปขยะหรือมัลแวร์อื่นๆ มัลแวร์จะเข้าไปสั่งปิดฟีเจอร์สแกนความปลอดภัย Google Play Protect ทันที
- สอดส่องและควบคุมได้สมบูรณ์: ผู้ควบคุมสามารถแอบติดตั้งแอป รันคำสั่ง ถ่ายภาพหน้าจอสด (Live Screenshots) จับการกดคีย์บอร์ด ดึงข้อมูลบัญชี รายชื่อแอป ล็อกระบบ และเปิดการเชื่อมต่อ Reverse Shell เข้าถึงบรรทัดคำสั่งได้แบบเรียลไทม์
- กระจายไปมากกว่ากล่อง TV: นอกเหนือจากกล่อง Android TV Box แล้ว ยังพบมัลแวร์ตัวนี้ในเครื่องมือแพทย์ (Telehealth), เครื่องคาราโอเกะ และป้ายโฆษณาดิจิทัล (Digital Signage) อีกด้วย
จากการตรวจสอบของ TrendAI พบอุปกรณ์ที่ติดเชื้อมากกว่า 1,472,554 เครื่อง รวม 206 โมเดล โดยประเทศที่มีอุปกรณ์ติดเชื้อมากที่สุด ได้แก่ มาเลเซีย บราซิล อิรัก เม็กซิโก และไต้หวัน
Google ลงดาบตัดขาดและอัปเกรดมาตรฐานความปลอดภัย
Google ได้สั่งแบน Videostrong รวมถึงบริษัทในเครือทั้งหมด ไม่ให้สิทธิ์ในการผลิตหรือขายอุปกรณ์ Android ที่ได้รับการรับรอง (Certified Devices) รวมถึงห้ามส่งมอบซอฟต์แวร์ให้กับผู้ผลิตรายอื่นอีกต่อไป
นอกจากนี้ Google ยังยอมรับถึงช่องโหว่ในกระบวนการทดสอบ ซึ่ง Videostrong อาศัยเทคนิคตบตาด้วยการซ่อนโค้ด และสั่งโหลดมัลแวร์หลังจากที่เครื่องเปิดใช้งานครั้งแรก (First Boot) ทำให้หลุดรอดการตรวจรับรองมาได้ โดยปัจจุบัน Google ได้ปรับปรุงกระบวนการตรวจสอบเฟิร์มแวร์ของ Android TV ให้เข้มงวดมากยิ่งขึ้น
ข้อแนะนำสำหรับผู้ใช้งานและองค์กร
เนื่องจาก x.cpe ฝังอยู่ในเฟิร์มแวร์และเซ็นกำกับด้วยคีย์ของผู้ผลิต ทำให้ผู้ใช้ไม่สามารถลบออกได้เอง แม้จะสั่งล้างเครื่อง (Factory Reset) มัลแวร์ก็ยังคงถูกติดตั้งกลับมาใหม่เมื่อเปิดเครื่อง- สำหรับผู้ใช้ทั่วไป: Synthient แนะนำให้หยุดใช้งานและทิ้งกล่องที่ติดเชื้อทันที เนื่องจากเป็นความเสี่ยงด้านความปลอดภัยที่แก้ไขไม่ได้
- สำหรับองค์กร:
- ตรวจสอบอุปกรณ์แบรนด์ MECOOL หรือกล่อง Android TV แปลกปลอมภายในเครือข่าย
- ถอดการเชื่อมต่อและทำลายอุปกรณ์ทิ้ง
- บล็อกโดเมน C2 และ IP Address ตามรายการเฝ้าระวัง
- แยกเซกเมนต์เครือข่าย (VLAN) ของอุปกรณ์ IoT/Smart Device ออกจากระบบและข้อมูลสำคัญ
- บริษัทที่มีพนักงาน Work from Home ควรจัดการอุปกรณ์ส่วนตัวบนเครือข่ายบ้านให้อยู่ในกลุ่มความเสี่ยง และให้เข้าถึงระบบบริษัทผ่านอุปกรณ์ที่ควบคุมได้ (Managed Devices) เท่านั้น
