CloudSEK เปิดโปงบอตเน็ต Doorway เจาะเราเตอร์ กล้อง และ ONU ด้วยรหัสผ่านเริ่มต้น 34 คู่

ทีมวิจัย CloudSEK เผยแพร่รายงานเมื่อ 28 ตุลาคม 2026 เกี่ยวกับปฏิบัติการชื่อ "Doorway" ซึ่งเป็นแคมเปญเจาะอุปกรณ์ IoT และอุปกรณ์เครือข่ายที่ยังเคลื่อนไหวอยู่ ทีมพบข้อมูลของผู้โจมตีหลุดอยู่ใน open directory (โฟลเดอร์ที่เปิดให้ใครก็เข้าดูได้) ขนาดราว 41 GB รวมถึงซอร์สโค้ดภาษา Rust ราว 21,870 บรรทัด ของเครื่องมือสแกนและปล่อยมัลแวร์ ที่มี โมดูลโจมตี 59 ตัว

ตัวเลขสำคัญจากรายงาน

• บันทึกของผู้โจมตีแสดง 11,363 ครั้ง ที่อุปกรณ์เข้าร่วมบอตเน็ต และดึง payload ขั้นที่สอง 58,920 ครั้ง ภายใน 60 นาที
• ช่วงสแกน 19 กันยายน ถึง 19 ตุลาคม 2026
• ล็อกอิน MikroTik RouterOS สำเร็จ 7,369 ครั้ง จากอุปกรณ์ 4,923 ตัว
• แผนที่เหยื่อมี IP 1,772 รายการ (รายงานไม่ได้ระบุจำนวนประเทศ และไม่ได้กล่าวถึงไทยหรืออาเซียนโดยตรง)
• CloudSEK ระบุว่าเป็น ตัวเลขขั้นต่ำ ที่ยืนยันได้เท่านั้น

เข้ามาทางไหน

เป้าหมายคือ เราเตอร์ (MikroTik และ CPE ยี่ห้อ ZBT/MoreQuick) กล้องวงจรปิด และ ONU (กล่องไฟเบอร์ที่บ้าน) รวมถึงเซิร์ฟเวอร์อย่าง Jenkins, Openfire, Tomcat และ ActiveMQ วิธีเข้าหลักคือ

• รหัสผ่านเริ่มต้นและรหัสที่ใช้ซ้ำ — มีคู่ username/password เริ่มต้น 34 คู่ รวมถึงหน้า admin ที่รหัสว่าง และระบบ "เรียนรู้" รหัสที่ใช้ได้แล้วเอาไปลองกับเครื่องอื่นต่อ
• ช่องโหว่เก่า เช่น CVE-2023-30799 ของ RouterOS และ CVE-2023-32315 ของ Openfire — ช่องโหว่อายุ 3 ปียังใช้ได้ผล เพราะอุปกรณ์ในสนามไม่เคยถูกอัปเดต
• command injection, path traversal และการเขียนไฟล์โดยไม่ต้องล็อกอิน
• มี loader รองรับหลายสถาปัตยกรรม (MIPS, ARM, Linux, Windows) และตั้ง SOCKS proxy บนเราเตอร์ ซึ่งรายงานเชื่อมโยงกับการสร้างเครือข่าย proxy ส่วนการหาเงินขั้นสุดท้ายยังไม่ยืนยัน

สำหรับคนออกแบบ IoT product

Doorway ไม่ได้ใช้เทคนิคล้ำสมัย มันใช้ความผิดพลาดพื้นฐานของผู้ผลิตอุปกรณ์ บทเรียนตรงที่สุดคือ ห้ามส่งอุปกรณ์ออกจากโรงงานด้วยรหัส admin เหมือนกันทุกเครื่อง ให้สร้างรหัสสุ่มต่อเครื่อง (พิมพ์บนสติกเกอร์) หรือบังคับตั้งรหัสใหม่ตอนติดตั้ง ซึ่งเป็นข้อกำหนดตรงของ UK PSTI และทิศทางของ EU Cyber Resilience Act อยู่แล้ว ข้อสอง หน้า admin, Telnet และ UPnP ควรปิดเป็นค่าเริ่มต้น และไม่ควรเปิดรับจากฝั่ง WAN ข้อสาม ต้องมี OTA ที่ใช้งานได้จริงและลงลายเซ็น ตั้งแต่วันแรก เพราะช่องโหว่ที่ไม่มีทางอัปเดตจะอยู่กับลูกค้าไปหลายปี สุดท้าย ถ้าผลิตภัณฑ์ของคุณพึ่งเราเตอร์หรือ ONU ของลูกค้า ให้ถือว่าเครือข่ายนั้นอาจถูกยึดแล้ว — เข้ารหัสการสื่อสารปลายทางถึงปลายทางเสมอ

อ่านซีรีส์ ออกแบบ IoT Product ตั้งแต่ศูนย์จนขายได้