Router backdoor nguy hiểm: vấn đề không còn mang tính giả thuyết
Router backdoor nguy hiểm là những chức năng ẩn được lập trình sẵn trong firmware router, cho phép bên thứ ba truy cập trái phép từ xa vào thiết bị, điều khiển lưu lượng internet và trích xuất dữ liệu nhạy cảm của người dùng mà không cần mật khẩu, biến toàn bộ mạng gia đình thành điểm giám sát bí mật. Lỗ bảo mật router Trung Quốc không còn là câu chuyện mang tính suy đoán mà đã được chứng minh bằng các phát hiện kỹ thuật rõ ràng. Một công ty an ninh mạng tại Mỹ đã phát hiện nhiều backdoor trong router WiFi của nhà sản xuất Trung Quốc Zbtlink, cho thấy rủi ro an ninh router WiFi đang bị đánh giá thấp trong nhiều hộ gia đình. Nếu bạn vẫn nghĩ router chỉ là một "hộp phát WiFi" vô hại, đã đến lúc xem lại.
Zbtlink phát hiện backdoor: SpeakingStone và DarkLantern nguy hiểm đến mức nào?
Sau khi phát hiện backdoor Endlessdoors trong nhiều mẫu router Zbtlink, VulnCheck tiếp tục tìm thấy hai backdoor mới mang tên SpeakingStone và DarkLantern, chủ yếu trên các mẫu khác của cùng nhà sản xuất. Đây không phải lỗi ngẫu nhiên, mà là thiết kế có chủ đích. SpeakingStone hoạt động bằng cách "phoning home" về máy chủ đám mây được cho là của Zbtlink, tự vượt qua tường lửa để nhận lệnh từ xa. Nó có tới 8 chức năng, trong đó có khả năng trích xuất thông tin đăng nhập tài khoản nhà cung cấp internet của người dùng và tiến hành DNS hijacking để chuyển hướng truy cập từ website hợp pháp sang tên miền khác. VulnCheck đánh giá đây là một dạng "surveillance implant" dành cho giám sát lưu lượng. Nếu tồn tại trong router gia đình, backdoor này mở cửa cho kẻ tấn công quan sát, điều khiển, thậm chí thao túng toàn bộ hoạt động trực tuyến của bạn.
DarkLantern thậm chí còn trần trụi hơn: nó cho phép thực thi lệnh từ bất kỳ nơi nào trên internet và "by design, it’s reachable from the outside world" với trạng thái "no authentication required" theo kết quả phân tích của VulnCheck. Nghĩa là chỉ cần router của bạn kết nối internet, ai đó có thể gửi lệnh trực tiếp đến thiết bị mà không cần xác thực. Công ty này đã quét internet và phát hiện ít nhất 203 trường hợp router có DarkLantern, thuộc 16 mẫu khác nhau, phân bố ở 22 quốc gia, trong đó có 103 thiết bị tại Mỹ. Con số này chỉ là phần nổi của tảng băng; bản thân những mẫu bị ảnh hưởng được mô tả là đời cũ, cho thấy thời gian triển khai DarkLantern có thể đã kéo dài nhiều năm. Đây là mức rủi ro mà bất kỳ người dùng bình thường nào cũng không nên chấp nhận.
Những mẫu router Zbtlink cần thay thế ngay và ý nghĩa với người dùng Việt
Điểm đáng lo là các backdoor này xuất hiện trên nhiều mẫu Zbtlink khác nhau chứ không chỉ vài thiết bị thử nghiệm. Danh sách các model được phát hiện có SpeakingStone hoặc DarkLantern gồm: WE1326, WE2426-C, WE357, WE5926, WE5926-EC_QP, WE5926-WD, WE826-Q, WE826-T2, WE826-WD, WF3526-P, WG108, WG3526, L3_V2_8, ZBT-7628, ZBT-ZBT7621. Một số mẫu còn bị cài Endlessdoors cùng lúc. Đáng chú ý, một phần trong số đó là thiết bị CPE được bán cho nhà mạng lớn tại Trung Quốc, và Zbtlink còn bán router dưới thương hiệu khác tại Mỹ, Canada, Australia. Theo báo cáo, "these devices do not belong on American networks" – nhưng ở Việt Nam, người dùng lại thường mua các router trắng label, hàng xách tay hoặc sản phẩm OEM không rõ nguồn gốc trên sàn thương mại điện tử. Điều đó có nghĩa là rủi ro lỗ bảo mật router Trung Quốc hoàn toàn có thể đã nằm sẵn trong phòng khách hay văn phòng nhà bạn.
Nhà sản xuất tuy khẳng định Endlessdoors chỉ là công cụ "hỗ trợ kỹ thuật sau bán hàng" và đã tạm dừng bán các mẫu bị ảnh hưởng, đồng thời gỡ firmware liên quan khỏi website chính thức. Họ nói đang "phát triển và phát hành" bản cập nhật firmware để xử lý triệt để thành phần rctl. Tuy nhiên cho đến hiện tại, chưa có firmware mới nào được phát hành. Khi một hãng từng gọi backdoor là công cụ hỗ trợ kỹ thuật, rồi lại bị phát hiện thêm nhiều backdoor khác trong firmware cũ, niềm tin của người dùng không thể hồi phục chỉ bằng vài thông báo. Ở góc độ thực dụng, nếu bạn đang dùng bất kỳ mẫu Zbtlink nào trùng tên trong danh sách trên, lựa chọn an toàn nhất là thay router bằng sản phẩm có nguồn gốc minh bạch, được cập nhật bảo mật thường xuyên và không dùng firmware bên thứ ba không kiểm chứng.
TP-Link điều tra bảo mật: khi thương hiệu lớn cũng bị đặt dấu hỏi
Câu chuyện Zbtlink không đứng một mình. Một thương hiệu WiFi quen thuộc với nhiều hộ gia đình là TP-Link đang đối mặt nguy cơ bị cấm bán hoàn toàn tại thị trường Mỹ vì lo ngại an ninh quốc gia. Đề xuất cấm xuất phát từ Bộ Thương mại Mỹ và nhanh chóng nhận được ủng hộ từ nhiều cơ quan liên bang quyền lực khác, gồm cả Bộ An ninh Nội địa và Bộ Tư pháp. Lý do trọng tâm là mối liên hệ với Trung Quốc, nhất là khi router là cửa ngõ xử lý toàn bộ dữ liệu nhạy cảm và kết nối internet của người dùng. Dù TP-Link Systems đặt trụ sở tại California, hãng này được tách ra từ công ty mẹ TP-Link Technologies ở Trung Quốc, và giới chức Mỹ lo ngại mối liên hệ vận hành vẫn còn nguyên. Điều khiến câu chuyện đáng chú ý hơn: cựu Giám đốc An ninh mạng NSA Rob Joyce ước tính TP-Link chiếm ít nhất 60% thị phần bán lẻ WiFi tại Mỹ. Khi một nhà cung cấp nắm phần lớn thị trường mà lại bị điều tra bảo mật, rủi ro không còn là vấn đề của vài thiết bị lẻ.
Đại diện TP-Link Systems khẳng định hãng "kiên quyết bác bỏ mọi cáo buộc" liên quan tới rủi ro an ninh quốc gia. Nếu bị cấm, lệnh này chủ yếu áp dụng cho doanh số tương lai; người dùng đang sở hữu router TP-Link không bị tắt thiết bị ngay. Tuy vậy, nhà chức trách vẫn khuyến nghị người dùng cân nhắc rủi ro với dữ liệu và quyền riêng tư. Với người dùng Việt, bài học quan trọng không phải hoảng loạn bỏ hết router TP-Link, mà là hiểu rằng an ninh router WiFi đã trở thành vấn đề địa chính trị. Khi một thương hiệu lớn cũng có thể bị soi xét tới cấp quốc gia, chúng ta càng không nên tin tưởng mù quáng vào bất kỳ router nào chỉ vì giá rẻ, tên quen hoặc được quảng cáo mạnh. Kiểm tra nguồn gốc, lịch sử cập nhật bảo mật và cách hãng phản ứng với sự cố phải trở thành thói quen khi chọn thiết bị mạng.
Bạn nên làm gì: cập nhật firmware hay thay router ngay?
Khi backdoor cho phép truy cập trái phép vào thiết bị và dữ liệu mạng gia đình, người dùng không thể phó mặc cho may rủi. SpeakingStone có khả năng thu thập thông tin đăng nhập tài khoản internet của bạn và DNS hijacking, trong khi DarkLantern có thể thực thi lệnh từ bất cứ đâu trên internet mà không cần xác thực. Với mức kiểm soát như vậy, kẻ tấn công hoàn toàn có thể mở cổng truy cập nội bộ, cài mã độc lên thiết bị trong mạng, đánh cắp tài khoản, hoặc dùng đường truyền của bạn làm bàn đạp cho những cuộc tấn công khác. Ở góc độ kỹ thuật, DarkLantern có thể bị chặn nếu router được đặt phía sau một tường lửa đúng nghĩa, nhưng phần lớn hộ gia đình chỉ dùng đúng một router kiêm modem làm cổng ra internet – không hề có firewall chuyên dụng. Cố gắng vá bằng cấu hình phức tạp trên một thiết bị vốn đang chứa backdoor là cách xử lý nửa vời.
Ưu tiên đầu tiên là kiểm tra model router bạn đang dùng: nếu là Zbtlink hoặc thương hiệu lạ, trắng label, hãy đối chiếu với danh sách model bị phát hiện backdoor và cân nhắc thay thế. Nhà sản xuất Zbtlink nói đã dừng bán các mẫu bị ảnh hưởng và đang phát triển firmware sửa lỗi, nhưng chưa công bố bản cập nhật mới nào – không có lý do để chờ đợi trong khi thiết bị vẫn nối mạng 24/7. Với mọi router, kể cả TP-Link, hãy luôn cập nhật firmware lên phiên bản mới nhất chính thức từ website hãng, tránh dùng firmware bên thứ ba không rõ nguồn gốc. Thiết lập mật khẩu quản trị mạnh, tắt truy cập quản trị từ internet nếu không cần, và bật cập nhật tự động khi có. Nếu có điều kiện, đặt thêm một firewall hoặc router an ninh chuyên dụng ở giữa modem nhà mạng và mạng nội bộ để giảm bớt rủi ro. Quan trọng hơn, hãy coi router như "trung tâm dữ liệu" chứ không chỉ là thiết bị phát WiFi giá rẻ – đầu tư thời gian chọn lựa và bảo dưỡng bảo mật sẽ rẻ hơn rất nhiều so với chi phí khắc phục hậu quả khi dữ liệu bị xâm phạm.
