HardBreacher คืออะไรและทำงานอย่างไร
proof of concept ที่เพิ่งถูกเปิดเผยชื่อ HardBreacher กำลังดึงดูดความสนใจจากชุมชนนักวิจัยด้านความปลอดภัยด้วยเหตุผลที่ตรงไปตรงมาแต่ร้ายแรง: มันถูกกล่าวหาว่าใช้ประโยชน์จากช่องโหว่การยกระดับสิทธิ์ในเครื่อง (local privilege escalation) ที่ยังไม่ถูกแพตช์ใน Kaspersky Antivirus for Endpoint ตามรายงาน ช่องโหว่นี้ทำให้ผู้ใช้ในเครื่องบนเครื่อง Windows 11 ที่ได้รับผลกระทบสามารถควบคุมคอมโพเนนต์ที่มีสิทธิ์สูงของซอฟต์แวร์แอนตี้ไวรัสได้
ในทางปฏิบัติ ช่องโหว่การยกระดับสิทธิ์ทำให้ผู้โจมตีที่เข้าถึงเครื่องได้ในระดับจำกัดอยู่แล้ว ไม่ว่าจะผ่านบัญชีผู้ใช้มาตรฐานที่ถูกบุกรุก คนภายในที่ประสงค์ร้าย หรือมัลแวร์ที่เข้ามาพร้อมสิทธิ์ระดับต่ำ สามารถยกระดับการเข้าถึงนั้นไปสู่ระดับความน่าเชื่อถือที่สูงขึ้นมาก เมื่อคอมโพเนนต์ที่เสี่ยงต่อการโจมตีเป็นของซอฟต์แวร์รักษาความปลอดภัยบนเอนด์พอยต์ ผลกระทบก็ยิ่งสูงขึ้นอย่างมาก เครื่องมือความปลอดภัยอย่าง Kaspersky Antivirus for Endpoint โดยทั่วไปทำงานด้วยสิทธิ์ระบบที่ยกระดับเพื่อให้สามารถตรวจสอบไฟล์ ติดตามกระบวนการ และบังคับใช้นโยบายทั่วทั้งอุปกรณ์ได้ ตำแหน่งที่มีสิทธิ์สูงเดียวกันนี้ หากถูกเอ็กซ์พลอยต์ อาจกลายเป็นทางลัดให้ผู้โจมตียึดการควบคุมระบบในวงกว้างได้
ช่องโหว่ประเภทนี้สอดคล้องกับรูปแบบที่เพิ่มขึ้นของปัญหาการยกระดับสิทธิ์บน Windows 11 ที่ปรากฏขึ้นในผู้จำหน่ายและคอมโพเนนต์ต่างๆ นักวิจัยได้บันทึกพลวัตที่คล้ายคลึงกันในส่วนอื่นๆ ของระบบนิเวศ Windows เมื่อเร็วๆ นี้ รวมถึง การเอ็กซ์พลอยต์ไดรเวอร์ AFD.sys ที่เชื่อมโยงกับ Lazarus และช่องโหว่แยกต่างหากที่ส่งผลกระทบต่อ BitLocker และเฟรมเวิร์กอินพุต CTFMON แต่ละกรณีมีความแตกต่างกัน แต่มีจุดร่วมร่วมกัน: จุดยึดเกาะที่มีสิทธิ์ต่ำกลายเป็นการควบคุมระบบทั้งหมด
ทำไมช่องโหว่การยกระดับสิทธิ์ในซอฟต์แวร์ความปลอดภัยจึงสำคัญ
ผลิตภัณฑ์รักษาความปลอดภัยบนเอนด์พอยต์อยู่ในตำแหน่งที่ละเอียดอ่อนเป็นพิเศษบนอุปกรณ์ใดๆ พวกมันได้รับสิทธิ์การเข้าถึงระบบในระดับลึกเพื่อให้สามารถตรวจจับและบล็อกภัยคุกคามได้ก่อนที่ความเสียหายจะเกิดขึ้น ความไว้วางใจนั้นทำให้พวกมันเป็นเป้าหมายที่น่าสนใจ หากช่องโหว่ในตัวแอนตี้ไวรัสถูกใช้เพื่อยกระดับสิทธิ์ได้ เครื่องมือที่ตั้งใจจะปกป้องระบบก็อาจกลายเป็นจุดอ่อนที่ผู้โจมตีใช้เลี่ยงมาตรการป้องกันอื่นๆ ทั้งหมด
สำหรับองค์กรที่ใช้ Kaspersky Antivirus for Endpoint กับเครื่อง Windows 11 เป็นจำนวนมาก ความกังวลไม่ได้อยู่ที่ผู้โจมตีระยะไกลที่เจาะเข้ามาจากอินเทอร์เน็ต แต่เป็นสิ่งที่เกิดขึ้นเมื่อผู้โจมตีหรือมัลแวร์มีจุดยึดเกาะอยู่แล้ว บั๊กการยกระดับสิทธิ์ในเครื่องมักถูกใช้ร่วมกับช่องโหว่อื่นๆ: ผู้โจมตีอาจเข้าถึงในระดับจำกัดก่อนผ่านฟิชชิ่ง การดาวน์โหลดมัลแวร์ หรือเอ็กซ์พลอยต์แยกต่างหาก จากนั้นใช้ช่องโหว่อย่างที่ HardBreacher กำหนดเป้าหมายเพื่อกระโดดจากบัญชีผู้ใช้มาตรฐานไปสู่การควบคุมในระดับผู้ดูแลระบบเต็มรูปแบบ
รูปแบบนี้สะท้อนสิ่งที่ทีมรักษาความปลอดภัยพบเห็นกับปัญหาอื่นๆ ที่ถูกติดตามอย่างแข็งขัน เช่น ช่องโหว่การเรียกใช้โค้ดระยะไกล Netlogon ที่เปลี่ยนจากการเปิดเผยช่องโหว่ไปสู่การเอ็กซ์พลอยต์ในเชิงรุกในสภาพแวดล้อมองค์กร มันเป็นการเตือนว่าช่องโหว่ที่ยังไม่ถูกแพตช์เพียงจุดเดียวมักไม่คงอยู่ในเชิงทฤษฎีได้นานเมื่อโค้ด proof of concept ถูกเผยแพร่สู่สาธารณะ ซึ่งรายงานระบุว่าเป็นกรณีของ HardBreacher
สิ่งนี้หมายความต่อคุณอย่างไร
หากองค์กรหรืออุปกรณ์ส่วนตัวของคุณใช้ Kaspersky Antivirus for Endpoint บน Windows 11 การเปิดเผยนี้ควรติดตามอย่างใกล้ชิด แม้ว่าช่องโหว่นี้จะถูกอธิบายว่ายังไม่ถูกแพตช์ ณ เวลาที่รายงาน ช่องโหว่การยกระดับสิทธิ์ในเครื่องโดยทั่วไปต้องให้ผู้โจมตีมีการเข้าถึงเครื่องในรูปแบบใดรูปแบบหนึ่งอยู่แล้ว ดังนั้นความเสี่ยงในทันทีต่อผู้ใช้ตามบ้านทั่วไปที่ใช้งานตามปกติจึงต่ำกว่าบั๊กที่ถูกเอ็กซ์พลอยต์ได้จากระยะไกล อย่างไรก็ตาม ในสภาพแวดล้อมธุรกิจที่ผู้ใช้หลายคนใช้ระบบร่วมกัน หรือที่มัลแวร์อาจปรากฏอยู่ในรูปแบบจำกัดแล้ว ช่องโหว่ประเภทนี้สามารถเพิ่มความเสี่ยงให้กับเหตุการณ์ที่อาจถูกควบคุมได้อย่างมีนัยสำคัญ
บทเรียนที่กว้างขึ้นขยายไปไกลกว่าผู้จำหน่ายรายใดรายหนึ่ง ความเป็นส่วนตัวและความปลอดภัยขึ้นอยู่กับทุกชั้นของระบบที่ทำงานตามที่ตั้งใจไว้ รวมถึงซอฟต์แวร์ที่ติดตั้งมาเพื่อให้การป้องกันโดยเฉพาะ เมื่อชั้นนั้นกลายเป็นเส้นทางการโจมตีที่มีศักยภาพ มันเน้นย้ำว่าทำไมการจัดการแพตช์ คำแนะนำจากผู้จำหน่าย และการป้องกันแบบหลายชั้นจึงสำคัญพอๆ กันสำหรับเครื่องมือรักษาความปลอดภัย เช่นเดียวกับระบบปฏิบัติการและแอปพลิเคชัน
ก้าวนำหน้าช่องโหว่ที่ยังไม่ถูกแพตช์
จนกว่าจะมีการเผยแพร่การแก้ไขอย่างเป็นทางการ มีขั้นตอนปฏิบัติที่ควรทำ ติดตามคำแนะนำอย่างเป็นทางการจาก Kaspersky สำหรับแพตช์ที่แก้ไขปัญหาการยกระดับสิทธิ์เฉพาะนี้ และนำไปใช้ทันทีเมื่อพร้อมใช้ ในระหว่างนี้ การจำกัดจำนวนบัญชีผู้ใช้มาตรฐานที่ไม่จำเป็นต้องเข้าถึงในเครื่องบนเครื่องที่ใช้ซอฟต์แวร์เอนด์พอยต์ที่ได้รับผลกระทบสามารถลดแหล่งจุดเข้าที่เป็นไปได้ การทบทวนว่าใครมีสิทธิ์เข้าสู่ระบบในเครื่องบนระบบที่ละเอียดอ่อน และการทำให้แน่ใจว่าเครื่องมือติดตามตรวจจับการเปลี่ยนแปลงสิทธิ์ที่ผิดปกติ เพิ่มชั้นการมองเห็นอีกชั้นหนึ่งในขณะที่รอการแก้ไข
สำหรับทีมที่ติดตามช่องโหว่ Windows ที่เกิดขึ้นพร้อมกันหลายรายการ การปฏิบัติตามคำแนะนำการแพตช์แบบรวมศูนย์ เช่น ที่พบใน บทสรุปที่ครอบคลุมช่องโหว่ zero-day บน Windows ที่ถูกเอ็กซ์พลอยต์ในเชิงรุกล่าสุด สามารถช่วยจัดลำดับความสำคัญว่าควรปรับใช้การแก้ไขใดก่อนโดยอิงจากกิจกรรมการเอ็กซ์พลอยต์ในโลกจริงมากกว่าคะแนนความรุนแรงเพียงอย่างเดียว
การเปิดเผย HardBreacher เป็นเครื่องเตือนใจที่มีประโยชน์ว่าความเสี่ยงจากการยกระดับสิทธิ์ไม่ได้จำกัดอยู่เพียงคอมโพเนนต์ระบบปฏิบัติการ ซอฟต์แวร์รักษาความปลอดภัยเองก็ต้องการการตรวจสอบ วินัยในการแพตช์ และการควบคุมการเข้าถึงเช่นเดียวกับสิ่งอื่นๆ บนเครือข่าย การติดตามคำแนะนำจากผู้จำหน่ายและใช้การอัปเดตทันทีที่มาถึงยังคงเป็นวิธีที่น่าเชื่อถือที่สุดในการปิดหน้าต่างที่ช่องโหว่ที่ยังไม่ถูกแพตช์อย่างนี้ปล่อยทิ้งไว้
