เครื่องมือรักษาความปลอดภัยกลายเป็นเวกเตอร์การโจมตี

ช่องโหว่ซีโร่เดย์ที่เพิ่งเปิดเผยใน CrowdStrike Falcon ซึ่งมีชื่อเล่นว่า FalconFlank กำลังตั้งคำถามอันไม่สบายใจเกี่ยวกับเครื่องมือที่องค์กรไว้วางใจให้ปกป้องพวกเขา ตามรายงาน นักวิจัยด้านความปลอดภัยได้เผยแพร่โค้ดพิสูจน์แนวคิด (proof-of-concept) ที่แสดงให้เห็นว่าผู้โจมตีที่มีสิทธิ์ระดับต่ำบนอุปกรณ์ที่ถูกบุกรุกสามารถยกระดับสิทธิ์เป็น SYSTEM เต็มรูปแบบ ซึ่งเป็นระดับการเข้าถึงสูงสุดบนเครื่อง Windows ได้โดยการใช้ประโยชน์จากฟีเจอร์ที่ถูกต้องตามกฎหมายของ Falcon เอง

ความย้อนแย้งนั้นยากที่จะมองข้าม Falcon เป็นตัวแทนตรวจจับและตอบสนองปลายทาง (EDR) ที่ถูกติดตั้งในองค์กรหลายพันแห่งโดยเฉพาะเพื่อหยุดผู้โจมตีไม่ให้ทำการยกระดับสิทธิ์แบบนี้ แต่กลับพบว่าช่องโหว่นี้เปลี่ยนหนึ่งในขั้นตอนการแก้ไขของ Falcon เองให้กลายเป็นบันไดสู่การบุกรุกที่ลึกกว่า

ฟีเจอร์ทำความสะอาด Macro ถูกนำมาใช้เป็นอาวุธอย่างไร

หัวใจของปัญหาคือความสามารถของ Falcon ที่ออกแบบมาเพื่อลบมาโคร (Macro) ที่เป็นอันตรายของ Microsoft Office โดยอัตโนมัติซึ่งเป็นส่วนหนึ่งของกระบวนการแก้ไข มาโครที่ฝังอยู่ในเอกสาร Word หรือ Excel เป็นวิธีการส่งมัลแวร์ที่พบบ่อย ดังนั้นการให้ซอฟต์แวร์รักษาความปลอดภัยลบออกโดยอัตโนมัติจึงเป็นฟีเจอร์การป้องกันที่สมเหตุสมผลในทางทฤษฎี

ปัญหาตามที่อธิบายในเอกสารเปิดเผยคือ ขั้นตอนการทำความสะอาดนี้สามารถถูก manipulate โดยผู้โจมตีที่เข้าถึงระบบได้ในระดับจำกัดอยู่แล้ว แทนที่จะเพียงแค่ลบมาโครที่เป็นอันตราย กระบวนการนี้สามารถถูกหลอกให้ดำเนินการด้วยสิทธิ์ระดับ SYSTEM ซึ่งเป็นระดับการเข้าถึงเดียวกับที่ตัวแทนความปลอดภัยทำงานอยู่ สำหรับผู้โจมตี นั่นคือความแตกต่างระหว่างการมีจุดยึดเล็กน้อยบนเครื่องกับการควบคุมมันได้อย่างสมบูรณ์

CrowdStrike ยืนยันว่ากำลังสอบสวนช่องโหว่ที่รายงานนี้ ในระหว่างนี้บริษัทได้แนะนำให้ลูกค้าพิจารณาปิดนโยบายการลบมาโครเป็นมาตรการบรรเทาชั่วคราวในขณะที่ประเมินปัญหานี้ และคาดว่าจะมีการออกแพตช์

ไม่ใช่เหตุการณ์ที่เกิดขึ้นเพียงครั้งเดียว

สิ่งที่ทำให้การเปิดเผยนี้โดดเด่นเกินกว่าช่องโหว่ซีโร่เดย์ CrowdStrike Falcon เฉพาะคือรูปแบบเบื้องหลัง นักวิจัยคนเดียวกันที่ระบุ FalconFlank ยังได้กำหนดเป้าหมายผลิตภัณฑ์รักษาความปลอดภัยจาก Kaspersky และ Avast ด้วย ซึ่งชี้ให้เห็นว่านี่ไม่ใช่ข้อบกพร่องครั้งเดียวในโค้ดของผู้จำหน่ายรายเดียว แต่เป็นส่วนหนึ่งของแนวโน้มที่บันทึกไว้กว้างขึ้นของนักวิจัยที่ตรวจสอบซอฟต์แวร์รักษาความปลอดภัยเพื่อหาจุดอ่อนการยกระดับสิทธิ์แบบเดียวกับที่ผลิตภัณฑ์เหล่านั้นตั้งใจจะป้องกัน

ตัวแทน EDR และแอนตี้ไวรัสเป็นเป้าหมายที่น่าดึงดูดเพราะมันทำงานด้วยสิทธิ์ที่สูงขึ้นและมีฮุคที่ลึกเข้าไปในระบบปฏิบัติการ เมื่อพบช่องโหว่ในชั้นนั้น ผลลัพธ์อาจรุนแรงกว่าบั๊กแอปพลิเคชันทั่วไป เพราะซอฟต์แวร์นี้ไม่เคยถูกออกแบบมาให้เป็นจุดอ่อน ซึ่งสอดคล้องกับการค้นพบในอุตสาหกรรมที่กว้างขึ้น รายงานภัยคุกคามของ CrowdStrike เองได้ระบุว่า ผู้โจมตีใช้ AI เพิ่มขึ้นเพื่อเร่งความพยายามของพวกเขา และเครื่องมือรักษาความปลอดภัยเองก็กลายเป็นส่วนหนึ่งของรายการเป้าหมายมากขึ้นแทนที่จะเป็นเพียงส่วนหนึ่งของการป้องกัน

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากองค์กรของคุณพึ่งพา CrowdStrike Falcon การเปิดเผยนี้ไม่ได้หมายความว่าผลิตภัณฑ์ไม่ปลอดภัยโดยรวม แต่หมายความว่าต้องให้ความสนใจทันที ช่องโหว่ซีโร่เดย์หมายความว่ายังไม่มีแพตช์อย่างเป็นทางการ ดังนั้นมาตรการบรรเทาชั่วคราวที่ CrowdStrike แนะนำคือการปิดนโยบายการลบมาโคร ซึ่งควรประเมินกับทีมรักษาความปลอดภัยของคุณโดยเทียบกับการแลกเปลี่ยนด้านการปฏิบัติงานที่สูญเสียการป้องกันเฉพาะนั้น

สำหรับพนักงานรายบุคคลและผู้ใช้ทั่วไป การเปิดเผยโดยตรงมีจำกัดเนื่องจากการโจมตีต้องให้ผู้โจมตีมีการเข้าถึงเครื่องที่รัน Falcon ในระดับหนึ่งอยู่แล้ว อย่างไรก็ตาม เหตุการณ์นี้เป็นเครื่องเตือนใจที่มีประโยชน์ว่าไม่มีผลิตภัณฑ์รักษาความปลอดภัยใดที่ไม่มีข้อบกพร่อง รวมถึงตัวที่ติดตั้งมาเพื่อจับผู้โจมตีโดยเฉพาะ การป้องกันแบบหลายชั้น การจัดการเอกสาร Office จากแหล่งที่ไม่รู้จักอย่างระมัดระวัง และการอัปเดตแพตช์ทันทีเมื่อมีการปล่อยซ่อมแซมยังคงจำเป็นไม่ว่าผู้จำหน่ายรักษาความปลอดภัยรายใดจะใช้งานอยู่

องค์กรที่ใช้ Kaspersky หรือ Avast ควบคู่หรือแทน CrowdStrike ควรติดตามคำแนะนำที่เกี่ยวข้องด้วย เนื่องจากนักวิจัยคนเดียวกันมีส่วนเกี่ยวข้องกับผลิตภัณฑ์เหล่านั้นตามรายงาน

ข้อสรุปที่นำไปปฏิบัติได้

  • ทีมไอทีและรักษาความปลอดภัยควรทบทวนคำแนะนำของ CrowdStrike และประเมินว่าการปิดนโยบายการลบมาโครของ Falcon ชั่วคราวเหมาะสมกับสภาพแวดล้อมของตนหรือไม่
  • ติดตามช่องทางอย่างเป็นทางการของ CrowdStrike สำหรับแพตช์ที่แก้ไขช่องโหว่ซีโร่เดย์ FalconFlank CrowdStrike Falcon และนำไปใช้ทันทีที่พร้อมใช้งาน
  • เสริมสร้างสุขอนามัยมาโครพื้นฐาน: บล็อกมาโครจากอินเทอร์เน็ตโดยค่าเริ่มต้นและจำกัดผู้ใช้และเอกสารที่ได้รับอนุญาตให้รันได้ ซึ่งลดการพึ่งพาฟีเจอร์ทำความสะอาดอัตโนมัติใดๆ เพียงอย่างเดียว
  • องค์กรที่รัน Kaspersky หรือ Avast ควรตรวจสอบคำแนะนำของผู้จำหน่ายที่เชื่อมโยงกับการค้นพบของนักวิจัยคนเดียวกัน เนื่องจากดูเหมือนว่านี่เป็นส่วนหนึ่งของรูปแบบกว้างที่ส่งผลกระทบต่อผลิตภัณฑ์ EDR และแอนตี้ไวรัสหลายรายการ
  • ถือว่านี่เป็นเครื่องเตือนใจให้รักษาความปลอดภัยแบบหลายชั้นแทนที่จะพึ่งพาเครื่องมือใดเครื่องมือหนึ่งเพียงอย่างเดียว เนื่องจากแม้แต่ซอฟต์แวร์ป้องกันที่เชื่อถือได้ก็สามารถกลายเป็นพื้นผิวการโจมตีได้เอง