เมื่อ 'สมาร์ตทีวี' กลายเป็นอาวุธไซเบอร์

ในยุคที่อุปกรณ์ IoT กลายเป็นส่วนหนึ่งของชีวิตประจำวัน ไม่ว่าจะเป็นสมาร์ตทีวี กล่องรับสัญญาณสตรีมมิง หรืออุปกรณ์ Android ราคาประหยัด ผู้ใช้อาจไม่เคยคาดคิดว่าอุปกรณ์เหล่านี้สามารถถูกแฮกเกอร์นำไปใช้เป็นเครื่องมือก่ออาชญากรรมไซเบอร์ได้

ล่าสุด FBI ร่วมกับ Google Threat Intelligence Group (GITG) และพันธมิตรด้านความมั่นคงปลอดภัยไซเบอร์หลายองค์กร ได้ปฏิบัติการครั้งใหญ่โดยสามารถยึดโดเมนจำนวนหลายร้อยรายการ พร้อมดำเนินมาตรการทางกฎหมายและทางเทคนิคเพื่อทำลายโครงสร้างพื้นฐานของเครือข่ายพร็อกซีที่ชื่อว่า NetNut ซึ่งถูกยกให้เป็นหนึ่งในเครือข่าย Residential Proxy ที่ใหญ่ที่สุดของโลก

เครือข่ายดังกล่าวอาศัยบอตเน็ตที่รู้จักในชื่อ Popa ในการยึดครองอุปกรณ์ของผู้ใช้กว่า 2 ล้านเครื่องทั่วโลก ก่อนนำแบนด์วิดท์อินเทอร์เน็ตของเหยื่อไปให้บริการแก่กลุ่มอาชญากรไซเบอร์และหน่วยจารกรรมที่ได้รับการสนับสนุนจากรัฐ

NetNut เป็นบอตเน็ตที่มีจุดเด่นตรงวิธีการแพร่กระจายที่แนบเนียน โดยผู้พัฒนาได้ฝัง Software Development Kit (SDK) ที่เป็นอันตรายไว้ในแอปพลิเคชันและเฟิร์มแวร์ของสมาร์ตทีวี กล่อง Android TV รวมถึงแอปพลิเคชันสตรีมมิงที่ไม่ได้มาจากผู้พัฒนาอย่างเป็นทางการ

เมื่อผู้ใช้ติดตั้งหรือใช้งานอุปกรณ์ดังกล่าว ระบบจะเปิดให้เครือข่ายของผู้ใช้กลายเป็น Residential Proxy Exit Node โดยที่เจ้าของอุปกรณ์แทบไม่รู้ตัว ส่งผลให้แฮกเกอร์สามารถส่งtraffic ผ่าน IP Address ของบ้านผู้ใช้จริง ซึ่งมีความน่าเชื่อถือสูงกว่าศูนย์ข้อมูล (Data Center) ทำให้สามารถหลบเลี่ยงระบบรักษาความปลอดภัยและการบล็อกจากเว็บไซต์ต่างๆ ได้อย่างมีประสิทธิภาพ

ข้อมูลจากกูเกิลระบุว่าเพียงสัปดาห์เดียวในเดือนมิถุนายนที่ผ่านมา มีการตรวจพบกลุ่มภัยคุกคามอย่างน้อย 316 กลุ่มที่ใช้เครือข่าย NetNut เพื่อโจมตีแบบ Password Spraying, Credential Stuffing, การฉ้อโกงทางโฆษณา และการดึงข้อมูลสำคัญจากเว็บไซต์ต่างๆ นอกจากนี้ ยังพบว่าเครือข่ายดังกล่าวถูกใช้เป็นช่องทางแพร่กระจายมัลแวร์ตระกูล Mirai สำหรับการโจมตีแบบ DDoS อีกด้วย

อีกประเด็นที่สร้างความสนใจให้กับวงการความมั่นคงปลอดภัยไซเบอร์ คือรายงานจากนักวิจัยอิสระและสื่อด้านไซเบอร์ที่ชี้ว่า NetNut อาจมีความเชื่อมโยงกับบริษัท Alarum Technologies ซึ่งเป็นบริษัทจดทะเบียนในตลาดหลักทรัพย์ NASDAQ ของสหรัฐฯ

โดยมีการอ้างอิงผลการสืบสวนจากบริษัท Qurium และ Synthient ที่พบความเชื่อมโยงระหว่างผู้บริหารของบริษัทกับผู้พัฒนา SDK ของ Popa อย่างไรก็ตาม Google ไม่ได้ระบุถึงบริษัทดังกล่าวในรายงานโดยตรง แต่ให้ข้อมูลว่า NetNut มีระบบตัวแทนจำหน่ายที่เปิดให้ผู้ให้บริการรายอื่นสามารถนำโครงสร้างพื้นฐานไปสร้างแบรนด์ของตนเองได้ ส่งผลให้ผู้ให้บริการ Residential Proxy หลายรายอาจใช้เครือข่ายเดียวกันโดยที่ลูกค้าไม่ทราบแหล่งที่มาที่แท้จริง

หลังการปฏิบัติการกูเกิลได้ดำเนินมาตรการเพิ่มเติมเพื่อป้องกันไม่ให้เครือข่ายดังกล่าวกลับมาดำเนินงานได้อีก โดยปิด บัญชีกูเกิลที่ใช้ควบคุมมัลแวร์ ปรับปรุงระบบ Google Play Protect ให้สามารถตรวจจับและแจ้งเตือนผู้ใช้ Android ที่ติดตั้งแอปซึ่งมี SDK อันตราย

รวมถึงปิดกั้นแอปพลิเคชันที่เกี่ยวข้อง ขณะที่ FBI ได้ดำเนินการยึดโดเมนและเซิร์ฟเวอร์ควบคุมหลักของเครือข่าย แม้ในช่วงแรกจะเกิดข้อถกเถียงว่าเว็บไซต์หลักของ NetNut ยังสามารถเข้าถึงได้ แต่ผู้เชี่ยวชาญยืนยันว่าโครงสร้าง Command-and-Control (C2) ที่เป็นหัวใจสำคัญของบอตเน็ตถูกทำลายแล้ว ทำให้เครือข่ายเสื่อมประสิทธิภาพลงอย่างมาก

กรณีนี้สะท้อนให้เห็นว่าการรับมือภัยไซเบอร์ในปัจจุบันจำเป็นต้องอาศัยความร่วมมือระหว่างหน่วยงานภาครัฐ บริษัทเทคโนโลยี และองค์กรด้านความมั่นคงปลอดภัยทั่วโลก เพื่อสกัดภัยคุกคามที่มีความซับซ้อนและขยายตัวอย่างรวดเร็ว

เราจะเห็นได้ว่าปฏิบัติการครั้งนี้ถือเป็นอีกหนึ่งความสำเร็จครั้งสำคัญของการปราบปรามโครงสร้างพื้นฐานที่สนับสนุนอาชญากรรมไซเบอร์ระดับโลกและยังเป็นเครื่องเตือนใจว่าภัยคุกคามไม่ได้จำกัดอยู่เพียงคอมพิวเตอร์หรือสมาร์ตโฟน แต่สามารถแฝงตัวอยู่ในอุปกรณ์ IoT ภายในบ้านได้เช่นกัน

ทั้งผู้บริโภคและองค์กรจึงควรเลือกใช้อุปกรณ์จากผู้ผลิตที่น่าเชื่อถือ อัพเดทซอฟต์แวร์อย่างสม่ำเสมอ หลีกเลี่ยงการติดตั้งแอปจากแหล่งที่ไม่น่าเชื่อถือ และติดตามข่าวสารด้านความมั่นคงปลอดภัยไซเบอร์อย่างต่อเนื่อง เพื่อป้องกันไม่ให้อุปกรณ์ตกเป็นส่วนหนึ่งของเครือข่ายอาชญากรรมไซเบอร์โดยไม่รู้ตัวครับ