รายงานในสัปดาห์นี้อธิบายถึงโครงสร้างพื้นฐานลับที่เรียกว่า Silent Train ซึ่งกลุ่ม Volt Typhoon ที่เชื่อมโยงกับจีนถูกกล่าวหาว่าใช้เพื่อปกปิดการโจมตีต่อหน่วยงานของสหรัฐฯ บริษัทด้านการป้องกันประเทศ และโครงสร้างพื้นฐานสำคัญ เครือข่าย Volt Typhoon Silent Train นั้นน่าสนใจไม่ใช่เพราะมัลแวร์ที่เกี่ยวข้อง แต่เป็นเพราะสิ่งที่มันถูกสร้างขึ้นมา นั่นคืออุปกรณ์ทั่วไปที่ถูกบุกรุก รวมถึงเราเตอร์สำนักงานเล็กและบ้านที่หลายคนไม่เคยคิดถึง
บทความต้นฉบับนั้นสั้น บทความนี้จึงแยกสิ่งที่ถูกรายงานออกจากสิ่งที่ผู้อ่านสามารถทำได้ บทเรียนเชิงปฏิบัติใช้ได้ไม่ว่าคุณจะทำงานใกล้ชิดกับหน่วยงานรัฐหรือด้านการป้องกันประเทศหรือไม่ก็ตาม
Silent Train และ Volt Typhoon กำลังทำอะไร
ตามรายงาน Volt Typhoon ใช้ Silent Train เป็นเครือข่ายการเข้าถึงแบบลับเพื่อซ่อนแหล่งที่มาของการโจมตี การรายงานข่าวที่อ้างอิงงานวิจัยจาก Black Lotus Labs ของ Lumen ระบุว่าเครือข่ายนี้เชื่อมโยงกับแคมเปญการโจมตีแบบซีนเดย์ 4 ครั้ง โดยอธิบายว่าเป้าหมายคือแพลตฟอร์มการจัดการเครือข่ายและระบบควบคุมองค์กรอื่นๆ และระบุว่าทราฟฟิกถูกส่งต่อผ่านห่วงโซ่หมุนเวียนของอุปกรณ์สำนักงานเล็กและบ้าน (SOHO) และอุปกรณ์ IoT ที่ถูกแฮก บทสรุปบางส่วนระบุว่าเครือข่ายนี้ถูกทำให้หยุดชะงักแล้ว
ซีนเดย์คือช่องโหว่ที่ผู้ผลิตยังไม่รู้จัก ดังนั้นจึงไม่มีแพตช์เมื่อผู้โจมตีเริ่มใช้มัน การจับคู่ซีนเดย์กับเครือข่ายรีเลย์ที่เปลี่ยนตลอดเวลาทำให้กิจกรรมนั้นตามรอยได้ยากขึ้น ผู้ป้องกันที่เห็นการเชื่อมต่อที่น่าสงสัยอาจพบว่ามันมาจากอุปกรณ์ที่ดูธรรมดาในบ้านหรือธุรกิจขนาดเล็ก ไม่ใช่จากโครงสร้างพื้นฐานที่เป็นศัตรูอย่างชัดเจน
บทวิเคราะห์ของนักข่าวความปลอดภัยคนหนึ่งเกี่ยวกับเรื่องนี้ตั้งข้อสังเกตว่าเจ้าหน้าที่มักอธิบาย Volt Typhoon ว่ามีความซับซ้อนและซ่อนเร้น โดยมักไม่เปิดเผยรายละเอียดทางเทคนิคมากนัก งานวิจัยเช่นนี้เริ่มเติมเต็มช่องว่างนั้น
ทำไมเราเตอร์ที่ถูกบุกรุกจึงเป็นที่กำบังที่เหมาะสำหรับแฮกเกอร์รัฐ
เราเตอร์ ไฟร์วอลล์ กล้อง และอุปกรณ์ขอบเครือข่ายอื่นๆ มีลักษณะร่วมกันหลายประการที่ทำให้它們น่าสนใจในฐานะจุดรีเลย์:
- 它們อยู่บนขอบเขตเครือข่าย ทราฟฟิกที่ผ่าน它們ดูเหมือนกิจกรรมอินเทอร์เน็ตปกติ
- 它們แทบไม่ได้รับการอัปเดต เจ้าของหลายคนติดตั้งเราเตอร์ครั้งเดียวแล้วไม่เข้าสู่ระบบอีกเลย
- 它們มักถึงจุดสิ้นสุดอายุการใช้งาน เมื่อผู้ผลิตหยุดออกแพตช์ ช่องโหว่ที่รู้จักแล้วจะยังเปิดอยู่ตลอดไป
- 它們ขาดการตรวจสอบความปลอดภัย อุปกรณ์สำหรับบ้านและสำนักงานเล็กส่วนใหญ่ไม่มีการป้องกันปลายทาง และเจ้าของแทบไม่ตรวจสอบบันทึกของมัน
หากผู้โจมตีควบคุมห่วงโซ่ของอุปกรณ์ดังกล่าว คำขอไปยังเป้าหมายภาครัฐสามารถสะท้อนผ่านที่อยู่ IP ของที่พักอาศัยหรือธุรกิจขนาดเล็กหลายแห่งก่อนได้ เจ้าของอุปกรณ์เหล่านั้นอาจไม่เคยสังเกตเห็นสิ่งผิดปกติ และอุปกรณ์ของพวกเขาก็กลายเป็นส่วนหนึ่งของโครงสร้างพื้นฐานการโจมตีของคนอื่น
สิ่งนี้สอดคล้องกับรูปแบบที่กว้างขึ้นของกลุ่มที่เชื่อมโยงกับรัฐซึ่งเชื่อมโยงช่องโหว่ที่ยังไม่ได้แพตช์ต่อกันเพื่อโจมตีเป้าหมายมูลค่าสูง ตัวอย่างหนึ่งคือแคมเปญ UTA0565 ของจีนที่ใช้ประโยชน์จากซีนเดย์ของ Chrome และ Windows งานวิจัยเกี่ยวกับกลุ่มจีนที่เพิ่มปริมาณการโจมตีเป็นสองเท่าด้วย DeepSeek AI ชี้ให้เห็นว่าจังหวะของกิจกรรมนี้อาจเพิ่มขึ้นอย่างต่อเนื่อง
วิธี securing อุปกรณ์ขอบเครือข่ายสำหรับบ้านและสำนักงานเล็ก
คุณไม่สามารถหยุดยั้งกลุ่มระดับรัฐจากการกำหนดเป้าหมายหน่วยงานรัฐได้ แต่คุณสามารถหลีกเลี่ยงการกลายเป็นหนึ่งในบันไดของ它們ได้ ขั้นตอนที่เป็นจริงได้แก่:
- ตรวจสอบรุ่นและเวอร์ชันเฟิร์มแวร์ของเราเตอร์ เข้าสู่ระบบหน้าผู้ดูแลหรือแอปของผู้ผลิตและมองหาการอัปเดตที่มีอยู่ เปิดการอัปเดตอัตโนมัติหากมีให้
- ตรวจสอบว่าอุปกรณ์ของคุณถึงจุดสิ้นสุดอายุการใช้งานหรือไม่ ค้นหาหน้าสนับสนุนของผู้ผลิต หากรุ่นนั้นไม่ได้รับการอัปเดตความปลอดภัยอีกต่อไป ให้วางแผนเปลี่ยน การตั้งค่าใดๆ ไม่สามารถชดเชยเฟิร์มแวร์ที่ไม่ได้แพตช์ได้เต็มที่
- เปลี่ยนข้อมูลรับรองเริ่มต้น ใช้รหัสผ่านผู้ดูแลที่ไม่ซ้ำใครและแข็งแกร่ง และเปลี่ยนชื่อเครือข่ายและข้อมูลเข้าสู่ระบบเริ่มต้นหากผู้ผลิตจัดส่งมาเป็นค่าเริ่มต้น
- ปิดการจัดการระยะไกล เว้นแต่คุณต้องการ ปิดการเข้าถึงการจัดการจากอินเทอร์เน็ต พร้อมกับฟีเจอร์อย่าง UPnP หากคุณไม่ได้ใช้
- รีบูตและตรวจสอบ รีสตาร์ทอุปกรณ์เป็นระยะ และมองหาการตั้งค่าที่ไม่คุ้นเคย อุปกรณ์ที่เชื่อมต่อซึ่งไม่รู้จัก หรือการเปลี่ยนแปลง DNS ที่คุณไม่ได้ทำ
- เปลี่ยนหรือแยกอุปกรณ์ IoT วางกล้องและอุปกรณ์อัจฉริยะบนเครือข่ายแขก และเลิกใช้อุปกรณ์ที่ไม่ได้รับการอัปเดตอีกต่อไป
ธุรกิจขนาดเล็กควรเก็บรายการอุปกรณ์ขอบเครือข่ายทุกชิ้น มอบหมายให้มีผู้ติดตามประกาศจากผู้ผลิต และถือว่าไฟร์วอลล์และแพลตฟอร์มการจัดการเป็นเป้าหมายการแพตช์ที่มีลำดับความสำคัญสูง
VPN ช่วยได้ที่ไหนและไม่ช่วยที่ไหน
VPN เข้ารหัสทราฟฟิกระหว่างอุปกรณ์ของคุณกับผู้ให้บริการ VPN ซึ่งปกป้องคุณบนเครือข่ายที่ไม่น่าไว้วางใจเช่น Wi-Fi สาธารณะ และซ่อนการท่องเว็บของคุณจากผู้ให้บริการอินเทอร์เน็ต เหล่านี้คือประโยชน์จริง
VPN ไม่ได้แก้ไขเราเตอร์ที่เสี่ยงหรือถูกบุกรุก หากผู้โจมตีควบคุมอุปกรณ์ที่เชื่อมต่อคุณกับอินเทอร์เน็ตอยู่แล้ว VPN บนแล็ปท็อปของคุณจะไม่กำจัด它們ออกไป และจะไม่หยุด它們จากการใช้เราเตอร์ของคุณเป็นรีเลย์สำหรับทราฟฟิกของคนอื่น มันยังไม่แพตช์เฟิร์มแวร์หรือเปลี่ยนฮาร์ดแวร์ที่ไม่ได้รับการสนับสนุน คิดว่า VPN เป็นชั้นหนึ่งของการปกป้องความเป็นส่วนตัว ไม่ใช่สิ่งทดแทนการบำรุงรักษาอุปกรณ์ที่ขอบเครือข่ายของคุณ
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
สำหรับผู้อ่านส่วนใหญ่ เรื่องราว Silent Train เป็นเครื่องเตือนใจว่าเราเตอร์ในโถงทางเดินเป็นส่วนหนึ่งของภาพความปลอดภัยของอินเทอร์เน็ต ผู้โจมตีให้ความสำคัญกับอุปกรณ์เหล่านี้เพราะไม่มีการตรวจสอบและไม่ได้รับการแพตช์ การรักษาอุปกรณ์ของคุณให้เป็นปัจจุบัน หรือเลิกใช้เมื่อการสนับสนุนสิ้นสุดลง ปกป้องเครือข่ายของคุณเองและปฏิเสธแฮกเกอร์รัฐจากจุดรีเลย์อีกหนึ่งจุด
ตรวจสอบอุปกรณ์ขอบเครือข่ายของคุณในสัปดาห์นี้
กันเวลา 20 นาทีในอีกไม่กี่วันข้างหน้าเพื่อทบทวนบทเรียนเครือข่าย Volt Typhoon Silent Trainในทางปฏิบัติ ตรวจสอบเฟิร์มแวร์ของเราเตอร์ ยืนยันว่ายังได้รับการสนับสนุน เปลี่ยนรหัสผ่านเริ่มต้น และปิดการจัดการระยะไกล หากคุณดูแลสำนักงานเล็ก ให้ขยายการตรวจสอบไปยังไฟร์วอลล์ กล้อง และอุปกรณ์อื่นๆ ที่หันหน้าสู่อินเทอร์เน็ต
สำหรับตัวอย่างอีกกรณีของการที่ผู้โจมตีมุ่งเป้าไปที่อุปกรณ์ปริมณฑล อ่านเกี่ยวกับวิธีที่ซีนเดย์ของ VMware ESX และห่วงโซ่ PHP2Shell ถูกใช้เพื่อยึดไฟร์วอลล์
