นักวิจัยที่ใช้ชื่อว่า Nightmare Eclipse ได้เผยแพร่proof-of-concept เอ็กซ์พลอยต์ใหม่ที่เรียกว่า ShieldBreak และมันมาถึงในช่วงเวลาที่ไม่สบายใจนัก การเผยแพร่เกิดขึ้นเพียงไม่กี่ชั่วโมงหลังจาก Microsoft ปิดรอบ Patch Tuesday ที่หนักหน่วง แต่ ShieldBreak ยังคงทำงานได้ แม้แต่บนเครื่องที่ติดตั้งอัปเดตทั้งหมดที่มีให้ เอ็กซ์พลอยต์นี้โจมตี Microsoft Defender และมอบสิทธิ์ระดับ SYSTEM เต็มรูปแบบให้กับผู้โจมตีที่มีการเข้าถึงในระดับท้องถิ่น ซึ่งเป็นระดับการควบคุมสูงสุดที่เครื่อง Windows สามารถให้ได้ ขณะนี้ยังไม่มีแพตช์อย่างเป็นทางการ
สิ่งที่ทำให้เรื่องนี้น่าสนใจไม่ใช่แค่กลไกทางเทคนิค แต่เป็นรูปแบบที่เกิดขึ้น นี่คือเหตุการณ์ที่สิบที่ได้รับการบันทึกต่อสาธารณะในซีรีส์ที่ต่อเนื่องมาจากนักวิจัยคนเดียวกัน และแต่ละครั้งก็ดำเนินตามบทเดียวกัน: จุดบกพร่องในการจัดการสิทธิ์ภายในของ Defender เอ็กซ์พลอยต์ที่ใช้งานได้ถูกเผยแพร่ก่อนที่ Microsoft จะตอบสนอง และช่วงเวลาที่เสี่ยงต่อการถูกโจมตีซึ่งยืดเยื้อจากหลายวันไปจนถึงหลายสัปดาห์ในขณะที่กำลังพัฒนาแพตช์
รูปแบบที่เกิดขึ้นซ้ำแล้วซ้ำเล่า
แนวทางการเปิดเผยข้อมูลของ Nightmare Eclipse กลายเป็นเรื่องราวที่เกิดขึ้นซ้ำแล้วซ้ำเล่าในวงการความปลอดภัยของ Windows แทนที่จะรายงานช่องโหว่อย่างเงียบๆ และรอการแก้ไขแบบประสานงาน นักวิจัยรายนี้ได้เผยแพร่โค้ดเอ็กซ์พลอยต์ที่ใช้งานได้ต่อสาธารณะซ้ำแล้วซ้ำเล่า ทำให้ Microsoft ต้องตอบสนองภายหลังแทนที่จะเป็นก่อนหน้า ผลงานก่อนหน้าในซีรีส์นี้ รวมถึงกรณีที่นักวิจัยคนเดียวกัน ปล่อยซีโรเดย์ Windows อีกตัวในขณะที่ยังมีโอกาสทำแพตช์ได้ ดำเนินตามจังหวะเดียวกัน: เปิดเผยก่อน แพตช์ทีหลัง และมักจะช้ากว่ามาก
ShieldBreak ไม่ใช่แม้แต่ตัวอย่างล่าสุดเพียงตัวอย่างเดียวที่พลวัตนี้เกิดขึ้นในวงกว้าง ผู้ใช้ Windows ยังต้องเผชิญกับสถานการณ์ที่ ซีโรเดย์ Windows สองตัวคุกคามการเข้าถึงระดับระบบ ภายในช่วงเวลาสั้นๆ ในเวลาเดียวกัน ซึ่งตอกย้ำว่าจุดบกพร่องการยกระดับสิทธิ์ในคอมponenty หลักของ Windows กลายเป็นหมวดหมู่ความเสี่ยงที่เกิดขึ้นต่อเนื่อง ไม่ใช่เหตุการณ์ที่เกิดขึ้นได้ยาก
ทำไมเครื่องที่แพตช์ครบถึงไม่ใช่เครื่องที่ได้รับการป้องกันครบ
เวลาที่เกิดขึ้นมีความสำคัญ ShieldBreak ปรากฏขึ้นทันทีหลังจาก Microsoft ผลักดันแพตช์จำนวนมาก รอบ Patch Tuesday ที่รายงานว่าจัดการบั๊กหลายร้อยรายการแยกจากกัน ซึ่งมีขนาดใกล้เคียงกับการกวาดล้างที่อธิบายไว้ตอนที่ Microsoft แพตช์บั๊ก 421 รายการ ในขณะที่ผู้โจมตีกำลังโจมตีโครงสร้างพื้นฐานอื่นๆ พร้อมกัน การแพตช์ในขนาดนั้นเป็นงานที่มีประโยชน์จริงๆ แต่มันก็แสดงให้เห็นปัญหาหลักของซีโรเดย์: พวกมันมีอยู่ นอกวัฏจักรการแพตช์ โดยนิยามแล้ว เครื่องสามารถปฏิบัติตามอัปเดตทุกตัวที่ Microsoft ออกมาอย่างสมบูรณ์แบบและยังคงถูกโจมตีได้ทันทีที่มีการเผยแพร่จุดบกพร่องใหม่ เพราะผู้พัฒนายังไม่มีเวลาสร้างและส่งแพตช์
Defender เป็นเป้าหมายที่อ่อนไหวเป็นพิเศษในบริบทนี้ มันเป็นเครื่องมือความปลอดภัยในตัวที่ผู้ใช้ Windows ส่วนใหญ่พึ่งพาโดยค่าเริ่มต้น โดยมักไม่คิดทบทวน เพราะมันถูกออกแบบมาให้เป็นแนวป้องกันสุดท้าย เอ็กซ์พลอยต์ที่เปลี่ยนเครื่องมือความปลอดภัยให้กลายเป็นจุดเข้าสำหรับการยกระดับสิทธิ์ บ่อนทำลายสมมติฐานพื้นฐานที่ว่าการอัปเดต Windows ให้ทันสมัยนั้นเพียงพอต่อการป้องกันด้วยตัวเอง การเข้าถึงระดับ SYSTEM เมื่อได้มาแล้ว จะทำให้ผู้โจมตีสามารถทำอะไรก็ได้เกือบทุกอย่างบนเครื่อง: ติดตั้งมัลแวร์เพิ่มเติม ปิดการควบคุมความปลอดภัยอื่นๆ เข้าถึงข้อมูลประจำตัวที่เก็บไว้ หรือเคลื่อนที่ไปด้านข้างในเครือข่าย
สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ
สำหรับผู้ใช้ตามบ้านและธุรกิจขนาดเล็กส่วนใหญ่ ShieldBreak ไม่ใช่เหตุผลที่จะต้องตื่นตระหนกทันที การใช้ประโยชน์จากมันต้องอาศัยการเข้าถึงเครื่องในระดับท้องถิ่น ซึ่งจำกัดการใช้งานจริงโดยทั่วไป มักใช้เป็นขั้นที่สองหลังจากผู้โจมตีได้ foothold ผ่านฟิชชิง มัลแวร์ หรือช่องโหว่อื่นแล้ว แต่ความหมายที่กว้างขึ้นของรูปแบบซีโรเดย์ Windows นี้สมควรนำมาพิจารณาอย่างจริงจัง: การแพตช์อย่างขยันขันแข็งเป็นสิ่งจำเป็น แต่ไม่เพียงพออีกต่อไปในการรับประกันการป้องกันจากการยกระดับสิทธิ์
นี่คือเหตุผลที่การป้องกันแบบหลายชั้นสำคัญกว่าการควบคุมเพียงอย่างเดียวใดๆ การอัปเดตซอฟต์แวร์ให้ทันสมัยยังคงจำเป็น แต่ควรจับคู่กับการตรวจสอบเอนด์พอยต์ที่แข็งแกร่ง การจำกัดจำนวนบัญชีที่มีสิทธิ์ผู้ดูแลระบบ และความระมัดระวังเกี่ยวกับสิ่งที่ถูกเรียกใช้ในเครื่อง เพราะเอ็กซ์พลอยต์ยกระดับสิทธิ์ส่วนใหญ่ต้องมีจุดเข้าอย่างน้อยหนึ่งจุดก่อน ผู้อ่านที่ติดตามพื้นที่นี้อย่างใกล้ชิดยังสามารถติดตามการรวบรวมช่องโหว่ที่กำลังดำเนินอยู่ เช่น การติดตามซีโรเดย์และแพตช์รายสัปดาห์ที่เผยแพร่ใน LeakWatch เพื่อให้ทันว่าจุดบกพร่องใดได้ย้ายจากproof-of-concept ไปสู่การโจมตีจริง
ข้อปฏิบัติที่นำไปใช้ได้จริง
แม้ยังไม่มีแพตช์สำหรับ ShieldBreak แต่มีขั้นตอนที่เป็นรูปธรรมที่ควรทำตอนนี้ จำกัดสิทธิ์ผู้ดูแลระบบในระดับท้องถิ่นทุกที่ที่ทำได้ เพราะเอ็กซ์พลอยต์นี้และอื่นๆ ที่คล้ายกันต้องอาศัยผู้โจมตีที่มีการเข้าถึงเครื่องในระดับหนึ่งอยู่แล้ว จับตาดูประกาศของ Microsoft เพื่อหาแพตช์และนำไปใช้ทันทีที่พร้อมใช้ แม้ว่าซีโรเดย์ Windows ตัวนี้จะพิสูจน์ว่าการแพตช์เพียงอย่างเดียวไม่ใช่เกราะป้องกันที่สมบูรณ์ หลีกเลี่ยงการรันซอฟต์แวร์ที่ไม่คุ้นเคยหรือไม่มีลายเซ็น เพราะการเข้าถึงเริ่มต้นมักเป็นส่วนที่ยากกว่าของห่วงโซ่การโจมตีในโลกจริง และหากคุณจัดการเอนด์พอยต์หลายเครื่อง ให้พิจารณาเครื่องมือตรวจจับเอนด์พอยต์ที่สามารถแจ้งเตือนการเปลี่ยนแปลงสิทธิ์ที่ผิดปกติ แทนที่จะพึ่งพาการกำหนดค่าเริ่มต้นของ Defender เพียงอย่างเดียว
ShieldBreak ไม่น่าจะเป็นบทสุดท้ายของเรื่องนี้ ตราบใดที่นักวิจัยยังคงเผยแพร่เอ็กซ์พลอยต์ที่ใช้งานได้ก่อนแพตช์ ผู้ใช้ Windows จะได้รับประโยชน์สูงสุดจากการมองความปลอดภัยเป็นแนวปฏิบัติที่ต่อเนื่อง ไม่ใช่สิ่งที่ต้องเช็คให้ครบหลังรอบอัปเดตแต่ละครั้ง
