Một nhà nghiên cứu đã công bố mã khai thác hoạt động được cho một lỗ hổng Windows chưa được vá, cho phép kẻ tấn công có quyền truy cập SYSTEM, và Microsoft cho biết họ đang điều tra. Công ty báo cáo rằng đến nay họ chưa thấy cuộc tấn công nào. Tuy nhiên, một mã khai thác zero-day truy cập SYSTEM trên Windows được công bố công khai sẽ thay đổi tiến trình: một khi mã đã được phát hành tự do, người khác sẽ dễ dàng nghiên cứu, sao chép và điều chỉnh nó hơn.
Bài viết này đề cập đến những gì đã được báo cáo, lý do tại sao loại lỗ hổng này lại quan trọng, và những gì bạn có thể làm một cách hợp lý trong khi chờ bản vá.
Mã khai thác truy cập SYSTEM zero-day trên Windows làm gì và những gì chúng ta biết đến nay
Các báo cáo khá ngắn gọn, vì vậy đây là những gì đã được xác nhận:
- Một nhà nghiên cứu đã công bố mã khai thác cho một lỗ hổng Windows.
- Lỗ hổng chưa được vá, đây là lý do khiến nó trở thành zero-day.
- Khai thác thành công sẽ cho quyền truy cập SYSTEM, mức đặc quyền cao nhất trên máy Windows.
- Microsoft đang điều tra vấn đề này.
- Microsoft cho biết đến nay chưa thấy các cuộc tấn công sử dụng lỗ hổng này.
Những gì chúng ta chưa biết cũng quan trọng không kém. Nguồn tin không cho biết những phiên bản Windows nào bị ảnh hưởng, liệu ngày vá đã được ấn định hay chưa, hoặc mã này đáng tin cậy đến mức nào trên các cấu hình khác nhau. Chúng tôi sẽ không đoán những chi tiết đó. Cho đến khi Microsoft công bố khuyến cáo, hãy thận trọng với bất kỳ tuyên bố nào về phạm vi ảnh hưởng.
Tại sao quyền truy cập SYSTEM lại quan trọng ngay cả khi không có tấn công từ xa
Các lỗ hổng cấp quyền truy cập SYSTEM thường được mô tả là lỗi leo thang đặc quyền. Nói một cách đơn giản, chúng cho phép ai đó đã có chỗ đứng trên máy tính, chẳng hạn như một tài khoản có đặc quyền thấp hoặc một phần mềm độc hại, kiểm soát được nhiều hơn mức họ đáng có. Bản thân chúng không cho phép người lạ đột nhập qua internet.
Sự phân biệt đó hữu ích, nhưng không nên dẫn đến sự chủ quan. Kiểm soát ở mức SYSTEM có thể cho phép kẻ tấn công vô hiệu hóa các công cụ bảo mật, truy cập dữ liệu được bảo vệ, thay đổi cài đặt và cài đặt phần mềm tồn tại lâu dài trên thiết bị. Kẻ tấn công thường kết hợp các lỗi với nhau: một lỗi giúp chúng xâm nhập, chẳng hạn qua một tệp tải xuống độc hại hoặc tệp đính kèm lừa đảo, và một lỗ hổng leo thang đặc quyền như lỗ hổng này sẽ trao cho chúng quyền kiểm soát.
Vì vậy, rủi ro thực tế đối với hầu hết mọi người là gián tiếp. Mã khai thác này quan trọng nhất nếu một vấn đề khác đã xảy ra trên thiết bị của bạn, hoặc nếu bạn dùng chung máy tính với người khác, sử dụng máy tính công việc, hoặc chạy phần mềm từ các nguồn mà bạn không hoàn toàn tin tưởng.
Điều này khớp với mô hình các vụ công bố zero-day Windows công khai
Đây không phải là sự kiện cá biệt. Các nhà nghiên cứu đã nhiều lần công bố mã khai thác cho các lỗ hổng Windows trước khi Microsoft phát hành bản vá, và chúng tôi đã đưa tin về một số trường hợp như vậy. Lỗ hổng zero-day MiniPlasma cũng liên quan đến một bằng chứng khái niệm được công bố công khai cho vấn đề leo thang đặc quyền trên Windows cấp quyền truy cập SYSTEM. Một trường hợp khác liên quan đến một nhà nghiên cứu có lịch sử công bố mã khai thác được ghi chép đầy đủ, như được đề cập trong báo cáo của chúng tôi về việc Nightmare Eclipse công bố thêm một zero-day Windows.
Điểm chung là khoảng trống giữa việc công bố và bản vá. Mã công khai làm giảm nỗ lực cần thiết để người khác phát triển thêm dựa trên nó, ngay cả khi nhà nghiên cứu ban đầu không có ý định gây hại. Đó là lý do tại sao tuyên bố của Microsoft rằng họ không thấy cuộc tấn công nào là đáng yên tâm nhưng chỉ mang tính tạm thời. Nó mô tả hiện tại, không phải một sự đảm bảo.
Điều này có ý nghĩa gì với bạn
Đối với hầu hết người dùng gia đình, không cần phải hoảng loạn. Loại lỗ hổng này đòi hỏi kẻ tấn công phải đang chạy mã trên máy của bạn. Biện pháp bảo vệ tốt nhất của bạn là làm cho bước đầu tiên đó khó hơn và hạn chế thiệt hại nếu nó xảy ra.
Nếu bạn quản lý máy tính cho gia đình, doanh nghiệp nhỏ hoặc một nhóm, mức độ ưu tiên cao hơn một chút. Máy tính dùng chung và tài khoản có quyền hạn rộng cho lỗi leo thang đặc quyền nhiều thứ để khai thác hơn. Hãy theo dõi khuyến cáo của Microsoft và áp dụng kịp thời mọi bản cập nhật hoặc hướng dẫn giảm thiểu ngay khi chúng xuất hiện.
Cách giảm rủi ro cho đến khi Microsoft vá lỗi
Bạn không thể cài đặt một bản vá chưa tồn tại, nhưng bạn có thể thu hẹp mức độ phơi nhiễm của mình:
- Bật Windows Update. Khi Microsoft phát hành bản vá, bạn muốn nhận nó nhanh chóng. Đồng thời giữ phần mềm diệt virus và phần mềm khác của bạn được cập nhật.
- Hạn chế tài khoản quản trị. Sử dụng tài khoản tiêu chuẩn cho công việc hàng ngày và giữ quyền quản trị cho các tác vụ cần đến nó. Điều này làm giảm những gì phần mềm độc hại có thể làm ngay từ đầu.
- Tránh các tệp không đáng tin cậy. Hãy cẩn thận với tệp đính kèm email, phần mềm bẻ khóa, các bản tải xuống không quen thuộc và liên kết từ người gửi không rõ, vì đây là những cách phổ biến để có được chỗ đứng ban đầu.
- Theo dõi hướng dẫn chính thức. Dựa vào khuyến cáo của chính Microsoft để biết các bước giảm thiểu thay vì các tuyên bố của bên thứ ba hoặc bản vá chưa được xác minh.
- Sao lưu dữ liệu quan trọng. Một bản sao lưu gần đây được lưu trữ ngoại tuyến hoặc ở một vị trí riêng biệt sẽ hạn chế thiệt hại từ bất kỳ sự xâm phạm nào.
Kết luận
Một mã khai thác truy cập SYSTEM zero-day Windows được công bố công khai là lý do để thận trọng hợp lý, không phải để báo động. Microsoft đang điều tra và báo cáo không có cuộc tấn công nào, nhưng mã công khai rút ngắn khoảng thời gian trước khi người khác cố gắng sử dụng nó. Hãy bật Windows Update, hạn chế tài khoản quản trị và tránh các tệp không đáng tin cậy trong khi chờ bản vá. Để biết thêm bối cảnh về các trường hợp tương tự gần đây, hãy đọc bài viết của chúng tôi về khai thác cấp SYSTEM MiniPlasma và các bản phát hành của Nightmare Eclipse.
