ช่องโหว่ซีโร่เดย์ของ Windows ที่ยังไร้เงาแพตช์

ช่องโหว่ซีโร่เดย์ใหม่ของ Windows ได้ตกสู่สาธารณะแล้ว และ Microsoft ยังไม่มีแพตช์แก้ไข โดยช่องโหว่ที่มีชื่อว่า Legacyhive นี้ถูกเผยแพร่โดยนักวิจัยด้านความปลอดภัยที่ใช้ชื่อแฝงว่า Chaotic Eclipse ซึ่งมีรายงานว่ารู้สึกหงุดหงิดกับวิธีที่ Microsoft จัดการรายงานช่องโหว่ แทนที่จะรอให้กระบวนการเปิดเผยข้อมูลของบริษัทดำเนินไปจนเสร็จ นักวิจัยกลับปล่อยรายละเอียดของช่องโหว่นั้นออกมาโดยตรง ส่งผลให้ระบบ Windows ที่ได้รับผลกระทบตกอยู่ในความเสี่ยงจนกว่าแพตช์อย่างเป็นทางการจะมาถึง

ในทางเทคนิคแล้ว Legacyhive เป็นช่องโหว่ที่ใช้ในการยกระดับสิทธิ์ (privilege escalation) นั่นหมายความว่ามันไม่ได้เปิดทางให้ผู้โจมตีเข้าถึงเครื่องได้ด้วยตัวเอง แต่จะทำให้ผู้ที่เข้ามาในระบบ Windows ได้แบบจำกัดแล้ว (ไม่ว่าจะผ่านฟิชชิง มัลแวร์ หรือช่องทางอื่น) สามารถยกระดับสิทธิ์ของตนขึ้นไปถึงระดับผู้ดูแลระบบเต็มขั้น เมื่อผู้โจมตีมีสิทธิ์ระดับแอดมินแล้ว ก็แทบจะทำอะไรก็ได้บนเครื่องนั้น: ติดตั้งซอฟต์แวร์ประสงค์ร้ายเพิ่มเติม ปิดการทำงานของเครื่องมือความปลอดภัย อ่านหรือขโมยไฟล์ และเคลื่อนย้ายไปยังระบบอื่นในเครือข่ายเดียวกัน

ทำไมการหลุดข้อมูลแบบนี้จึงสำคัญ

บั๊กที่ใช้ยกระดับสิทธิ์ไม่ค่อยเป็นข่าวใหญ่แบบกรณีข้อมูลรั่วไหลที่ดึงดูดพาดหัวข่าว แต่มันมักจะเป็นชิ้นส่วนที่ขาดหายไปซึ่งเปลี่ยนการบุกรุกเล็กน้อยให้กลายเป็นการโจมตีที่ยึดระบบได้สมบูรณ์ อีเมลฟิชชิงหรือปลั๊กอินเบราว์เซอร์ที่ถูกบุกรุกอาจทำให้ผู้โจมตีได้เพียงสิทธิ์ผู้ใช้แบบจำกัด แต่ช่องโหว่อย่าง Legacyhive จะรื้อเพดานนั้นทิ้งไปจนหมด ให้ผู้โจมตีมีระดับการควบคุมเทียบเท่ากับผู้ดูแลระบบ IT

การที่ช่องโหว่นี้ถูกหลุดออกสู่สาธารณะแทนที่จะถูกรายงานแบบส่วนตัวและปิดเงียบ ๆ ยิ่งยกระดับความเสี่ยงอย่างมาก โดยปกติแล้วซีโร่เดย์สาธารณะมักถูกนำไปใช้เป็นอาวุธได้เร็วกว่าซีโร่เดย์ที่เปิดเผยในที่ลับ เพราะผู้โจมตีไม่จำเป็นต้องค้นหาช่องโหว่ด้วยตัวเองอีกต่อไป แค่ปรับใช้โค้ดพิสูจน์แนวคิดที่มีอยู่แล้วก็พอ จนกว่า Microsoft จะปล่อยแพตช์ เครื่อง Windows ที่ยังไม่ได้รับแพตช์และทำงานอยู่ภายใต้การกำหนดค่าที่ได้รับผลกระทบทุกเครื่องจึงกลายเป็นเป้าหมายที่อาจถูกโจมตีได้

นี่ไม่ใช่ความกังวลแบบสมมุติ ช่องโหว่ที่ไม่ถูกแก้ไขเคยเป็นประตูทางเข้าของเหตุการณ์ที่สร้างความเสียหายมาก่อนซ้ำแล้วซ้ำเล่า ตัวอย่างเช่น การโจมตีด้วยแรนซัมแวร์มักเริ่มจากผู้โจมตีที่ใช้ประโยชน์จากช่องว่างระหว่างการเข้าถึงระดับเริ่มต้นกับการควบคุมระบบทั้งหมดแบบนี้ ดังที่พบในกรณีอย่าง เหตุการณ์แรนซัมแวร์ที่โรงพยาบาล Tullamore ของ HSE ซึ่งทั้งข้อมูลด้านสุขภาพและการดำเนินงานของโรงพยาบาลตกอยู่ในความเสี่ยง เช่นเดียวกับการรั่วไหลขนาดใหญ่ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลที่อ่อนไหว อย่างเช่น การโจมตีของ ShinyHunters ต่อ Amazon One Medical ซึ่งแสดงให้เห็นว่าการเข้าถึงระดับสูงสามารถแปรเปลี่ยนเป็นการเปิดเผยข้อมูลปริมาณมหาศาลได้รวดเร็วเพียงใดเมื่อผู้โจมตีเข้ามาอยู่ในเครือข่ายแล้ว

ผลกระทบด้านความเป็นส่วนตัวของช่องโหว่ระดับผู้ดูแลระบบ

จากมุมมองความเป็นส่วนตัว ช่องโหว่ที่ให้สิทธิ์แอดมินน่ากังวลเป็นพิเศษ เพราะมันรื้อเกราะป้องกันปกติที่คุ้มครองข้อมูลส่วนบุคคลบนอุปกรณ์หรือเครือข่ายออกไป ด้วยสิทธิ์ผู้ดูแลระบบเต็มตัว ผู้โจมตีสามารถข้ามข้อจำกัดการเข้าถึงไฟล์ อ่านข้อมูลในเครื่องที่เข้ารหัสซึ่งปกป้องด้วยสิทธิ์ระดับผู้ใช้เท่านั้น และติดตั้งเครื่องมือตรวจตราที่บันทึกการกดแป้นพิมพ์ ข้อมูลรับรอง และกิจกรรมการท่องเว็บ ในเครือข่ายองค์กร อุปกรณ์ปลายทางที่ถูกบุกรุกเพียงเครื่องเดียวที่มีสิทธิ์แอดมิน ก็อาจกลายเป็นฐานส่งต่อเพื่อเข้าถึงไดรฟ์ที่แบ่งปัน ฐานข้อมูลภายใน และข้อมูลลูกค้าได้

ผลลัพธ์ทางการเงินและกฎหมายของการยกระดับสิทธิ์แบบนี้ก็ไม่ใช่เรื่องไกลตัว องค์กรที่ไม่สามารถสกัดการบุกรุกได้อย่างรวดเร็วต้องเผชิญกับค่าใช้จ่ายมหาศาล ดังที่เห็นจาก กรณีจ่ายค่าไถ่แรนซัมแวร์ของ Weil Gotshal ซึ่งผู้โจมตีที่เข้าถึงได้มากพอสามารถดึงข้อมูลลูกค้าที่เป็นความลับก่อนจะข่มขู่เรียกค่าไถ่ ซีโร่เดย์ของ Windows อย่าง Legacyhive จึงเป็นเครื่องมือประเภทที่ทำให้เกิดการเข้าถึงระดับนี้ได้ หากมันตกไปอยู่ในมือคนผิดก่อนที่จะมีแพตช์

สิ่งนี้มีความหมายอย่างไรสำหรับคุณ

หากคุณเป็นผู้ใช้ Windows ทั่วไป ยังไม่จำเป็นต้องตื่นตระหนก Legacyhive ต้องการให้ผู้โจมตีมีช่องทางเข้าถึงระบบของคุณอยู่ก่อนแล้วถึงจะใช้งานได้ ดังนั้นสุขอนามัยด้านความปลอดภัยขั้นพื้นฐานจึงยังมีความสำคัญอย่างยิ่ง การหลีกเลี่ยงการดาวน์โหลดที่น่าสงสัย การระมัดระวังไฟล์แนบในอีเมล และการอัปเดตซอฟต์แวร์อื่น ๆ ให้ทันสมัยอยู่เสมอ ล้วนช่วยลดโอกาสที่ผู้โจมตีจะได้สิทธิ์แรกเริ่มนั้นตั้งแต่ต้น

สำหรับผู้ดูแลระบบ IT และธุรกิจ นี่คือสัญญาณที่เร่งด่วนกว่า กว่า Microsoft จะปล่อยแพตช์อย่างเป็นทางการ ทีมความปลอดภัยควรเข้มงวดการเฝ้าระวังการเปลี่ยนแปลงสิทธิ์ที่ผิดปกติ ลดจำนวนบัญชีที่มีสิทธิ์ผู้ดูแลระบบถาวร และตรวจสอบว่าเครื่องมือตรวจจับปลายทางถูกตั้งค่าให้แจ้งเตือนความพยายามยกระดับสิทธิ์ การแบ่งเครือข่ายออกเป็นส่วน ๆ เพื่อไม่ให้เครื่องที่ถูกบุกรุกเพียงเครื่องเดียวเข้าถึงระบบที่อ่อนไหวได้ง่าย ก็เป็นมาตรการบรรเทาที่จับต้องได้ขณะที่ยังรอการแก้ไขถาวร

ข้อปฏิบัติที่นำไปใช้ได้จริง

เปิด Windows Update ไว้และคอยตรวจสอบแพตช์ที่แก้ไข Legacyhive ทันทีที่ Microsoft ออกมา ลดจำนวนบัญชีผู้ใช้ที่มีสิทธิ์ผู้ดูแลระบบเฉพาะเครื่องทั้งในอุปกรณ์ส่วนตัวและของธุรกิจ องค์กรควรทบทวนการแจ้งเตือนจากระบบตรวจจับและตอบสนองบนอุปกรณ์ปลายทาง (EDR) สำหรับความพยายามยกระดับสิทธิ์ในอีกไม่กี่สัปดาห์ข้างหน้า การตื่นตัวต่อความพยายามฟิชชิงยังคงเป็นวิธีที่ง่ายที่สุดวิธีหนึ่งในการป้องกันผู้โจมตีไม่ให้ได้สิทธิ์แรกเริ่มที่จำเป็นต่อการทำให้ช่องโหว่ซีโร่เดย์ของ Windows นี้เป็นอันตราย เฉกเช่นเดียวกับช่องโหว่ที่ยังไม่มีแพตช์อื่น ๆ ความอดทนควบคู่ไปกับการเสริมความแข็งแกร่งเชิงรุกคือเกราะป้องกันที่ดีที่สุด จนกว่าการแก้ไขอย่างเป็นทางการจะมาถึง