Microsoft ได้ยืนยันว่าแฮกเกอร์กำลังใช้ช่องโหว่ zero-day ใน Outlook อย่างแข็งขัน ตามรายงาน ช่องโหว่นี้สามารถเปิดเผยข้อมูลการยืนยันตัวตนของ Windows เมื่อผู้ใช้เปิดไฟล์ที่เป็นอันตราย การขโมยแฮชการยืนยันตัวตนผ่าน zero-day ใน Outlook นี้สมควรได้รับการใส่ใจอย่างจริงจัง เพราะข้อมูลที่ถูกขโมยไปสามารถกลายเป็นบันไดสู่ปัญหาที่ใหญ่กว่ามาก
รายละเอียดที่เผยแพร่จนถึงขณะนี้มีจำกัด ดังนั้นบทความนี้จึงยึดตามสิ่งที่ได้รับการยืนยันแล้ว และเพิ่มข้อมูลพื้นฐานทั่วไปเกี่ยวกับวิธีการทำงานของการขโมยข้อมูลรับรอง ในส่วนที่缺少รายละเอียดเฉพาะ เราจะระบุไว้อย่างชัดเจน
ช่องโหว่ zero-day ใน Outlook ขโมยแฮช Windows ได้อย่างไร
สิ่งที่ได้รับการยืนยัน: ผู้โจมตีกำลังใช้ประโยชน์จากจุดอ่อนใน Outlook ที่ยังไม่ได้รับการแพตช์ และตัวกระตุ้นคือผู้ใช้เปิดไฟล์ที่เป็นอันตราย เมื่อเกิดขึ้น ข้อมูลการยืนยันตัวตนของ Windows สามารถถูกเปิดเผยต่อผู้โจมตีได้
"Zero-day" หมายความง่ายๆ ว่าจุดอ่อนนั้นถูกใช้ในการโจมตีก่อนที่จะมีแพตช์ "ถูกใช้ประโยชน์" หมายความว่านี่ไม่ใช่การค้นพบเชิงทฤษฎีจากการวิจัย ผู้โจมตีจริงกำลังใช้มันอยู่ในขณะนี้
แฮชการยืนยันตัวตนคือการแสดงรหัสผ่านหรือข้อมูลรับรองในรูปแบบที่เข้ารหัส scrambled ซึ่ง Windows ใช้เพื่อพิสูจน์ว่าคุณเป็นใครบนเครือข่าย โดยทั่วไป ผู้โจมตีที่ดักจับแฮชได้อาจพยายามถอดรหัสมันแบบออฟไลน์เพื่อกู้คืนรหัสผ่านต้นฉบับ หรือในการตั้งค่าบางอย่างนำมันกลับมาใช้เพื่อยืนยันตัวตนโดยไม่ต้องรู้รหัสผ่านเลย บทความต้นฉบับไม่ได้ระบุว่าผู้โจมตีใช้เส้นทางใดกับช่องโหว่นี้ และเราจะไม่คาดเดา
ใครบ้างที่มีความเสี่ยง และผู้โจมตีทำอะไรได้บ้างกับแฮชที่ถูกขโมย
จากรายละเอียดที่ได้รับการยืนยันแล้ว ใครก็ตามที่ใช้ Outlook บน Windows และอาจถูกหลอกให้เปิดไฟล์ที่เป็นอันตรายได้นั้นมีความเสี่ยง องค์กรควรได้รับความสนใจเป็นพิเศษ เนื่องจากข้อมูลรับรองของพนักงานเพียงคนเดียวสามารถเปิดประตูสู่ระบบที่ใช้ร่วมกัน เซิร์ฟเวอร์ไฟล์ และแอปพลิเคชันภายในได้
โดยทั่วไป ข้อมูลรับรองที่ถูกขโมยสามารถนำไปสู่:
- การยึดบัญชี (Account takeover) หากแฮชถูกถอดรหัสและรหัสผ่านอ่อนหรือถูกใช้ซ้ำ
- การเคลื่อนที่ในแนวนอนภายในเครือข่ายบริษัท ซึ่งบัญชีที่ถูกบุกรุกหนึ่งบัญชีถูกใช้เพื่อเข้าถึงบัญชีอื่น
- การขโมยข้อมูลจากกล่องจดหมาย การแชร์ไฟล์ และบริการคลาวด์ที่ผูกกับตัวตนเดียวกัน
ผลลัพธ์เหล่านี้เป็นความเสี่ยงทั่วไปของการขโมยข้อมูลรับรอง ไม่ใช่ผลลัพธ์ที่ยืนยันแล้วของการรณรงค์ครั้งนี้โดยเฉพาะ อย่างไรก็ตาม สิ่งเหล่านี้ explains ว่าทำไมช่องโหว่ที่ "เพียงแค่" รั่วไหลข้อมูลการยืนยันตัวตนจึงมีความสำคัญ การเข้าถึงที่ถูกขโมยมักเป็นก้าวแรกก่อนการขโมยข้อมูลและการกรรโชก สำหรับตัวอย่างล่าสุดของวิธีที่ข้อมูลที่ถูกขโมยกลายเป็นแรงกดดันต่อเหยื่อ โปรดดูรายงานของเราเกี่ยวกับการเรียกค่าไถ่ในเบอร์ลินหลังการแฮ็กภาครัฐ
สิ่งที่ควรทำตอนนี้: แพตช์ บรรเทา และตรวจสอบการเปิดเผย
เนื่องจากการโจมตีนี้ขึ้นอยู่กับผู้ใช้เปิดไฟล์ที่เป็นอันตราย การป้องกันของคุณจึงเป็นการผสมผสานระหว่างการอัปเดตซอฟต์แวร์และนิสัยที่ระมัดระวัง
- ใช้แพตช์หรือมาตรการบรรเทาของ Microsoft ตรวจสอบคำแนะนำด้านความปลอดภัยอย่างเป็นทางการของ Microsoft สำหรับช่องโหว่ Outlook นี้ และติดตั้งแพตช์ทันทีที่พร้อมใช้งานสำหรับเวอร์ชันของคุณ หากมีเพียงมาตรการบรรเทาที่เผยแพร่ ให้ใช้ทันทีแทนที่จะรอ
- อัปเดต Windows และ Office ไปพร้อมกัน รัน Windows Update และการอัปเดต Microsoft 365 หรือ Office เพื่อไม่ให้พลาดการแก้ไขที่เกี่ยวข้อง
- ปิดพฤติกรรมการแสดงตัวอย่างที่มีความเสี่ยง ในส่วนที่องค์กรของคุณอนุญาต ให้ปิดการแสดงตัวอย่างไฟล์แนบอัตโนมัติ และหลีกเลี่ยงการเปิดไฟล์จากผู้ส่งที่ไม่รู้จัก
- ถือว่าไฟล์แนบที่ไม่คาดคิดเป็นภัยคุกคาม ตรวจสอบกับผู้ส่งผ่านช่องทางอื่นก่อนเปิดสิ่งผิดปกติใดๆ แม้ว่าอีเมลจะดูเหมือนมาจากภายในก็ตาม
- เปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA) MFA จะไม่ลบช่องโหว่ แต่ทำให้ข้อมูลรับรองที่ถูกขโมยยากต่อการใช้งานด้วยตัวเองมาก
- เปลี่ยนรหัสผ่านหากคุณสงสัยว่าถูกเปิดเผย หากคุณเปิดไฟล์ที่น่าสงสัย ให้เปลี่ยนรหัสผ่านและแจ้งทีม IT หรือทีมความปลอดภัยทันทีเพื่อให้พวกเขาตรวจสอบบันทึกการเข้าสู่ระบบที่ผิดปกติ
ผู้ดูแลระบบ IT ควรเฝ้าระวังความพยายามยืนยันตัวตนที่ผิดปกติและการเชื่อมต่อขาออกที่ไม่คาดคิดจากเวิร์กสเตชัน เนื่องจากสิ่งเหล่านี้อาจเป็นสัญญาณของการดักจับข้อมูลรับรอง คำแนะนำของ Microsoft เองจะมีรายการตัวบ่งชี้และการแก้ไขที่เป็นทางการ
ทำไม VPN ไม่อาจหยุดการโจมตีนี้ได้
ด้วยคำแนะนำด้านความเป็นส่วนตัวจำนวนมากที่เน้นเรื่อง VPN จึงควรพูดตรงๆ: VPN ไม่ใช่การป้องกันสำหรับปัญหานี้ VPN เข้ารหัสการรับส่งข้อมูลระหว่างอุปกรณ์ของคุณกับเซิร์ฟเวอร์ VPN และปกปิดที่อยู่ IP ของคุณ มันไม่ได้หยุดคุณจากการเปิดไฟล์ที่เป็นอันตราย และไม่ได้ซ่อมแซมช่องโหว่ภายใน Outlook
การโจมตีนี้ทำงานในระดับแอปพลิเคชันและการยืนยันตัวตน บนเครื่องของคุณเอง การแก้ไขที่สำคัญในที่นี้คือการแพตช์ นิสัยการใช้อีเมลที่ระมัดระวัง และการป้องกันบัญชีที่แข็งแกร่งเช่น MFA VPN ยังคงมีประโยชน์สำหรับเป้าหมายความเป็นส่วนตัวอื่นๆ เช่น การปกป้องการรับส่งข้อมูลบน Wi-Fi สาธารณะ แต่ไม่ควรถูกเข้าใจผิดว่าเป็นการป้องกันช่องโหว่เช่นนี้
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
หากคุณใช้ Outlook บน Windows ให้ถือว่านี่เป็นภัยคุกคามที่กำลังเกิดขึ้นจริง ไม่ใช่ภัยในอนาคต ความเสี่ยงในทางปฏิบัติขึ้นอยู่กับช่วงเวลาหนึ่ง: การเปิดไฟล์ที่คุณไม่ควรเปิด ชะลอความเร็วกับไฟล์แนบที่ไม่คาดคิด อัปเดตซอฟต์แวร์ของคุณอยู่เสมอ และตรวจสอบให้แน่ใจว่าบัญชีของคุณได้รับการป้องกันด้วย MFA เพื่อให้ข้อมูลรับรองที่รั่วไหลไม่เพียงพอสำหรับผู้โจมตีในการเข้าถึง
สำหรับธุรกิจ นี่เป็นเครื่องเตือนใจให้ถือว่าการขโมยข้อมูลรับรองเป็นประตูสู่เหตุการณ์ที่ใหญ่ขึ้น การแพตช์อย่างรวดเร็วและการตรวจสอบที่ดีช่วยลดหน้าต่างที่ผู้โจมตีมีในการดำเนินการ
ประเด็นสำคัญ
- Microsoft ยืนยันการใช้งานช่องโหว่ zero-day ใน Outlook อย่างแข็งขัน ซึ่งสามารถเปิดเผยข้อมูลการยืนยันตัวตนของ Windows เมื่อเปิดไฟล์ที่เป็นอันตราย
- ใช้แพตช์หรือมาตรการบรรเทาที่เผยแพร่ของ Microsoft วันนี้ และอัปเดต Windows และ Office
- ปิดคุณสมบัติการแสดงตัวอย่างที่มีความเสี่ยงเมื่อเป็นไปได้ และตรวจสอบไฟล์แนบที่ไม่คาดคิดก่อนเปิด
- เปิด MFA สำหรับอีเมลและบัญชีทำงานของคุณ และเปลี่ยนรหัสผ่านหากคุณคิดว่าคุณเปิดสิ่งที่สงสัย
- VPN จะไม่ปกป้องคุณจากการขโมยแฮชการยืนยันตัวตนผ่าน zero-day ใน Outlook การแพตช์และสุขอนามัยต่อต้านฟิชชิ่งจะทำได้
ตรวจสอบสถานะการอัปเดตของคุณตอนนี้ และแชร์สิ่งนี้กับเพื่อนร่วมงานหรือสมาชิกในครอบครัวที่พึ่งพา Outlook ทุกวัน
