Avast Zero-Day รายใหม่เข้าสู่สาธารณสมบัติ

นักวิจัยด้านความปลอดภัยที่ใช้ชื่อว่า Chaotic Eclipse ได้เผยแพร่โค้ด proof-of-concept สำหรับช่องโหว่ zero-day ที่อ้างว่าเกิดขึ้นใน Avast Antivirus ซอฟต์แวร์ความปลอดภัยที่เป็นของ GenDigital โดย exploit ที่มีชื่อว่า PrettyPrague นี้มุ่งเป้าไปที่ช่องโหว่ประเภท privilege-escalation ในผลิตภัณฑ์แอนติไวรัส ปัจจุบันยังไม่มีแพตช์ให้ใช้งาน และยังไม่มีการกำหนดหมายเลข CVE ให้กับช่องโหว่นี้ ณ เวลาที่เขียนบทความนี้

บั๊กประเภท privilege-escalation เป็นเรื่องน่ากังวลเป็นพิเศษในซอฟต์แวร์ความปลอดภัย เพราะผลิตภัณฑ์แอนติไวรัสมักทำงานด้วยสิทธิ์ระดับสูงของระบบเพื่อสแกนไฟล์ เฝ้าติดตามโปรเซส และบล็อกมัลแวร์ หากช่องโหว่เปิดทางให้ผู้โจมตียกระดับจากบัญชีผู้ใช้ทั่วไปไปสู่การเข้าถึงระดับระบบเต็มรูปแบบได้ เครื่องมือที่ออกแบบมาเพื่อปกป้องอุปกรณ์ก็อาจกลายเป็นช่องทางเข้าสู่อุปกรณ์นั้นเอง

Chaotic Eclipse คือใคร และทำไมรูปแบบนี้จึงสำคัญ?

นี่ไม่ใช่ครั้งแรกที่ Chaotic Eclipse ปล่อยโค้ด exploit ที่ยังไม่มีแพตช์สู่สาธารณะ นักวิจัยคนเดียวกันนี้เคยรั่วไหล Windows zero-day ชื่อ Legacyhive ซึ่ง Microsoft ยังไม่มีวิธีแก้ไขในขณะที่เปิดเผย รูปแบบ这种行为 คือการเผยแพร่ exploit ที่ใช้งานได้จริงสำหรับซอฟต์แวร์รายใหญ่ก่อนที่ผู้พัฒนาจะออกแพตช์ ดูเหมือนจะเป็นกลยุทธ์ที่ตั้งใจไว้มากกว่าเหตุการณ์ที่เกิดขึ้นครั้งเดียว

แรงจูงใจเบื้องหลังการเปิดเผยเหล่านี้มีความสำคัญต่อวิธีที่องค์กรและบุคคลทั่วไปควรตอบสนอง ต่างจากการเปิดเผยอย่างมีความรับผิดชอบแบบดั้งเดิม ที่นักวิจัยแจ้งผู้พัฒนาเป็นการส่วนตัวและให้เวลาพวกเขาแก้ไขปัญหาก่อนที่รายละเอียดจะถูกเปิดเผยต่อสาธารณะ วิธีการนี้กลับนำโค้ด exploit ที่ใช้งานได้เข้าสู่การหมุนเวียนทันที ซึ่งบีบหน้าต่างเวลาที่ฝ่ายป้องกันมีในการตอบสนอง และเพิ่มโอกาสที่ผู้โจมตีที่ฉวยโอกาสจะพยายามนำโค้ดไปใช้เป็นอาวุธก่อนที่จะมีแพตช์

ความเสี่ยงด้านความเป็นส่วนตัวและความปลอดภัยสำหรับผู้ใช้ทั่วไป

ซอฟต์แวร์แอนติไวรัสอยู่ในตำแหน่งที่ได้รับความไว้วางใจเป็นพิเศษบนอุปกรณ์ มันมีการมองเห็นที่ลึกซึ้งเข้าไปในไฟล์ โปรเซสที่กำลังทำงาน และหน่วยความจำของระบบ ซึ่งเป็นเหตุผลว่าทำไมช่องโหว่ privilege-escalation ในชั้นนี้จึงมีความสำคัญมาก หาก exploit PrettyPrague ทำงานได้ตามที่อธิบาย ผู้โจมตีที่มีสิทธิ์ต่ำหรือมัลแวร์ที่อยู่ในเครื่องแล้วอาจใช้ช่องโหว่นี้เพื่อควบคุมระบบได้เต็มรูปแบบ โดยหลบเลี่ยงการป้องกันที่ Avast ควรจะมอบให้

สำหรับผู้ใช้ตามบ้านส่วนใหญ่ ความเสี่ยงที่แท้จริงขึ้นอยู่กับว่าผู้โจมตีมีการเข้าถึงอุปกรณ์ในขั้นต้นอยู่แล้วหรือไม่ เพราะ exploit ประเภท privilege-escalation โดยทั่วไปต้องมีจุดยึดเกาะนั้นก่อน อย่างไรก็ตาม ในสภาพแวดล้อมขององค์กรหรือคอมพิวเตอร์ที่ใช้ร่วมกัน ซึ่งมีหลายบัญชีที่มีระดับสิทธิ์แตกต่างกันบนเครื่องเดียวกัน ช่องโหว่ประเภทนี้อาจเป็นอันตรายอย่างยิ่ง ผู้ใช้ภายในที่เป็นอันตรายหรือบัญชีที่มีสิทธิ์ต่ำที่ถูกบุกรุกอาจใช้ exploit เพื่อกระโดดไปสู่การเข้าถึงระดับผู้ดูแลระบบ เปิดเผยไฟล์ที่ละเอียดอ่อน ข้อมูลรับรอง และทรัพยากรเครือข่าย

การขาดตัวระบุ CVE ในขั้นตอนนี้ก็มีความสำคัญเช่นกัน หากไม่มีรายการช่องโหว่อย่างเป็นทางการ ทีมความปลอดภัยจะติดตามปัญหาผ่านเครื่องสแกนช่องโหว่และระบบจัดการแพตช์ได้ยากขึ้น ซึ่งอาจทำให้การตอบสนองขององค์กรล่าช้าแม้หลังจากที่ GenDigital ยอมรับและแก้ไขช่องโหว่แล้ว

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณใช้ Avast Antivirus ไม่จำเป็นต้องตื่นตระหนก แต่ก็ควรให้ความสนใจ ข้ออ้างเรื่อง zero-day จากนักวิจัยอิสระไม่ได้รับการยืนยันจากผู้พัฒนาอยู่เสมอ และรายละเอียดอาจเปลี่ยนแปลงได้เมื่อมีข้อมูลเพิ่มเติมเปิดเผยออกมา อย่างไรก็ตาม รูปแบบการเปิดเผยก่อนหน้านี้ของนักวิจัยคนเดียวกันนี้ รวมถึง exploit Legacyhive ที่มุ่งเป้าไปที่ Windows บ่งชี้ว่าข้ออ้างเหล่านี้ควรได้รับการพิจารณาอย่างจริงจังมากกว่าการมองข้ามไปเลย

สิ่งที่สำคัญที่สุดที่คุณสามารถทำได้ตอนนี้คืออัปเดตให้เป็นปัจจุบันอยู่เสมอ เปิดใช้งานการอัปเดตอัตโนมัติสำหรับทั้งระบบปฏิบัติการและซอฟต์แวร์ความปลอดภัยของคุณ เพื่อให้แพตช์ใดๆ ที่ GenDigital ปล่อยออกมาถูกนำไปใช้ทันทีที่พร้อมใช้งาน หลีกเลี่ยงการดาวน์โหลดหรือรันโค้ด proof-of-concept ที่โพสต์ต่อสาธารณะด้วยตัวเอง แม้เพียงเพราะความอยากรู้อยากเห็น เพราะการทำเช่นนั้นบนระบบที่ยังไม่ได้แพตช์อาจทำให้เครื่องของคุณเองเผชิญกับความเสี่ยงที่การเปิดเผยนี้กำลังชี้ให้เห็น

นี่ก็เป็นจังหวะที่ดีในการทบทวนสุขอนามัยของบัญชีขั้นพื้นฐาน เนื่องจาก exploit ประเภท privilege-escalation โดยทั่วไปต้องมีการเข้าถึงอุปกรณ์ในรูปแบบใดรูปแบบหนึ่งอยู่แล้ว การลดจำนวนบัญชีที่มีสิทธิ์ผู้ดูแลระบบ การใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำใคร และการหลีกเลี่ยงการติดตั้งซอฟต์แวร์ที่ไม่จำเป็น ล้วนช่วยลดพื้นผิวการโจมตีที่ exploit เช่นนี้อาจใช้ประโยชน์ได้

สิ่งที่ควรนำไปปฏิบัติ

นี่คือสิ่งที่ควรทำในขณะที่สถานการณ์นี้กำลังพัฒนาต่อไป:

  • อัปเดต Avast Antivirus และ Windows โดยอัตโนมัติอยู่เสมอ เพื่อให้แพตช์ที่จะมาถึงติดตั้งได้โดยไม่ล่าช้า
  • อย่ารันหรือทดสอบโค้ด PoC ที่ปล่อยต่อสาธารณะ แม้เพื่อวัตถุประสงค์ในการวิจัย บนเครื่องที่ใช้งานจริง
  • จำกัดจำนวนบัญชีผู้ใช้ที่มีสิทธิ์ผู้ดูแลระบบบนคอมพิวเตอร์ที่ใช้ร่วมกันหรือในครอบครัว
  • จับตาดูแถลงการณ์อย่างเป็นทางการหรือคำแนะนำเรื่องแพตช์จาก GenDigital และนำไปใช้ทันทีเมื่อเผยแพร่
  • หากคุณดูแลระบบในสภาพแวดล้อมทางธุรกิจ แจ้งข้ออ้าง zero-day นี้ให้ทีมไอทีหรือทีมความปลอดภัยของคุณทราบ เพื่อให้สามารถติดตามได้แม้ยังไม่มีการกำหนด CVE อย่างเป็นทางการ

การเปิดเผย zero-day เช่นนี้เป็นเครื่องเตือนใจว่าไม่มีซอฟต์แวร์ใด รวมถึงเครื่องมือแอนติไวรัสที่ออกแบบมาเพื่อปกป้องคุณ ปลอดจากช่องโหว่ การอัปเดตให้เป็นปัจจุบันอยู่เสมอ การลดสิทธิ์ที่ไม่จำเป็น และการติดตามข่าวสารจากรายงานด้านความปลอดภัยที่น่าเชื่อถือ ยังคงเป็นแนวป้องกันที่น่าเชื่อถือที่สุดในขณะที่อุตสาหกรรมกำลังมุ่งหน้าสู่การแก้ไข