ค้นพบในปลายปี 2016 Dirty COW เป็นช่องโหว่ความปลอดภัยคอมพิวเตอร์ที่ส่งผลต่อระบบ Linux ทุกตัว จุดน่าประหลาดคือช่องโหว่ระดับเคอร์เนลนี้มีอยู่ใน Linux Kernel ตั้งแต่ปี 2007 แต่ค้นพบและถูกใช้ประโยชน์ในปี 2016
วันนี้เราจะดูว่าช่องโหว่นี้คืออะไร ระบบที่ได้รับผลกระทบ และคุณสามารถปกป้องตัวเองได้อย่างไร
Dirty COW Vulnerability คืออะไร?
ช่องโหว่ Dirty COW เป็นประเภทของ exploit การขยายสิทธิ์ (privilege escalation) ซึ่งหมายความว่าสามารถใช้เพื่อเข้าถึง root-user บนระบบ Linux ใดๆ แม้ผู้เชี่ยวชาญด้านความปลอดภัยจะอ้างว่ exploit แบบนี้ไม่หายาก แต่ลักษณะที่ใช้ exploit ได้ง่าย และมีอยู่มานานกว่า 11 ปี นั้นค่อนข้างน่ากลัว
จริงๆ แล้ว Linus Torvalds ยอมรับว่าเขาค้นพบมันในปี 2007 แต่เพิกเฉยเพราะถือว่าเป็น "exploit ทฤษฎี"
Dirty COW ได้ชื่อมาจากกลไก copy-on-write (COW) ในระบบจัดการหน่วยความจำของเคอร์เนล โปรแกรมอันตรายสามารถตั้งค่า race condition เพื่อเปลี่ยนการแมปไฟล์แบบ read-only ให้เป็น writable mapping ดังนั้น ผู้ใช้ที่ไม่มีสิทธิ์จึงสามารถใช้ช่องโหว่นี้เพื่อยกระดับสิทธิ์บนระบบ
เมื่อได้สิทธิ์ root โปรแกรมอันตรายจะได้เข้าถึงระบบโดยไม่มีข้อจำกัด จากนั้นจึงสามารถแก้ไขไฟล์ระบบ ติดตั้ง keyloggers เข้าถึงข้อมูลส่วนตัวที่จัดเก็บในอุปกรณ์ ฯลฯ
ระบบไหนได้รับผลกระทบ?
ช่องโหว่ Dirty COW ส่งผลต่อ Linux Kernel ทุกเวอร์ชันตั้งแต่ 2.6.22 ที่วางจำหน่ายในปี 2007 ตาม Wikipedia ช่องโหว่ได้รับการแก้ไขใน kernel versions 4.8.3, 4.7.9, 4.4.26 และใหม่กว่า แพทช์วางจำหน่ายในปี 2016 เริ่มต้น แต่ไม่ได้แก้ปัญหาเต็มที่ จึงมีแพทช์ต่อมาในพฤศจิกายน 2017
เพื่อตรวจสอบหมายเลขเวอร์ชันเคอร์เนลปัจจุบัน คุณสามารถใช้คำสั่งต่อไปนี้บนระบบ Linux:
uname - rDistro Linux หลักอย่าง Ubuntu, Debian, ArchLinux ได้วางจำหน่ายการแก้ไขที่เหมาะสมทั้งหมด ดังนั้นหากยังไม่ได้ทำ ให้แน่ใจว่าคุณอัปเดต Linux kernel
เนื่องจากระบบส่วนใหญ่ได้รับแพทช์แล้ว ความเสี่ยงจึงลดลงแล้วหรือ? ไม่ได้เป็นอย่างนั้นแน่ๆ
แม้ระบบหลักจะได้รับแพทช์แล้ว แต่ยังมีอุปกรณ์ฝังตัว (embedded devices) ที่ใช้ Linux อีกมากมายที่ยังเปราะบาง อุปกรณ์ฝังตัวส่วนใหญ่ โดยเฉพาะตัวรخيด ไม่ได้รับอัปเดตจากผู้ผลิตเลย น่าเสียดายที่คุณไม่ค่อยทำอะไรได้
ดังนั้น จึงสำคัญมากที่จะซื้ออุปกรณ์ Internet of Things (IoT) จากแหล่งที่น่าเชื่อถือที่ให้การสนับสนุนหลังขายที่น่าเชื่อถือ
เนื่องจาก Android 基于 Linux kernel, 大多数 Android 设备也受影响。
Dirty COW ส่งผลต่ออุปกรณ์ Android อย่างไร
ZNIU เป็นมัลแวร์ Android ตัวแรกที่พัฒนาจากช่องโหว่ Dirty COW สามารถใช้ root อุปกรณ์ Android จนถึง Android 7.0 Nougat แม้ช่องโหว่จะส่งผลต่อ Android ทุกเวอร์ชัน ZNIU เฉพาะเจาะจงอุปกรณ์ Android ที่มีสถาปัตยกรรม ARM/X86 64-bit
ตามรายงานจาก Trend Micro พบแอปอันตรายที่บรรจุ ZNIU มากกว่า 300,000 ตัวในธรรมชาติ ณ กันยายน 2017 ผู้ใช้ใน 50 ประเทศรวมถึง จีน, อินเดีย, ญี่ปุ่น ฯลฯ ได้รับผลกระทบ ส่วนใหญ่แอปเหล่านี้แปร่บังเป็นแอปผู้ใหญ่และเกม
มัลแวร์ ZNIU Android ทำงานอย่างไร
แอปที่ติด ZNIU มักปรากฏเป็นแอป soft-porn บนเว็บไซต์อันตราย หลอกผู้ใช้ให้ดาวน์โหลด เนื่องจาก Android ทำให้การ sideload แอปง่าย ผู้ใช้มือใหม่จึงหลงผิดง่าย
เมื่อเปิดแอปที่ติดไวรัส มันจะติดต่อกับเซิร์ฟเวอร์ command and control (C&C) จากนั้น exploit ช่องโหว่ Dirty COW เพื่อให้ตัวเองมีสิทธิ์ super-user แม้ช่องโหว่จะไม่สามารถ exploit แบบ remote ได้ แอปอันตรายยังสามารถปลูก backdoor และดำเนินการโจมตี remote control ในอนาคต
หลังจากได้ root access แอปจะเก็บและส่งข้อมูลผู้ให้บริการกลับไปยังเซิร์ฟเวอร์ของพวกเขา จากนั้นดำเนินการทำธุรกรรมกับผู้ให้บริการผ่านบริการชำระเงินแบบ SMS แล้วเก็บเงินผ่านบริการชำระเงินของผู้ให้บริการ นักวิจัย Trend Micro อ้างว่าการชำระเงินถูกส่งไปยังบริษัทดミーในจีน
ถ้าเป้าหมายอยู่นอกจีน จะไม่สามารถทำ micro-transactions กับผู้ให้บริการได้ แต่ยังคงปลูก backdoor เพื่อติดตั้งแอปอันตรายอื่นๆ
สิ่งน่าสนใจของมัลแวร์คือ มันทำ micro-transactions ประมาณ $3/เดือน เพื่อไม่ให้ถูกตรวจพบ มันยังฉลาดพอที่จะลบข้อความทั้งหมดหลังทำธุรกรรมเสร็จ ทำให้ยากต่อการตรวจจับ
คุณสามารถปกป้องตัวเองจาก ZNIU ได้อย่างไร
Google แก้ไขปัญหาเร็วและวางจำหน่ายแพทช์ใน ธันวาคม 2016 เพื่อแก้ไขปัญหานี้ แพทช์นี้ทำงานบนอุปกรณ์ที่รัน Android 4.4 KitKat หรือสูงกว่า
ณ มกราคม 2018 ประมาณ 6 เปอร์เซ็นต์ของอุปกรณ์ยังคงรัน Android ต่ำกว่า 4.4 KitKat
แม้จะดูไม่มาก แต่ยังคงทำให้คนเป็นจำนวนพอสมควรอยู่ในความเสี่ยง
หากอุปกรณ์ของคุณรัน Android 4.4 KitKat ขึ้นไป ตรวจสอบให้แน่ใจว่าคุณมี security patch ล่าสุด ตรวจสอบได้ที่ Settings > About phone เลื่อนลงล่างตรวจสอบ Android security patch level
หาก security patch ที่ติดตั้งใหม่กว่า ธันวาคม 2016 คุณควรปลอดภัยจากช่องโหว่นี้
Google ยืนยันว่า Google Play Protect สามารถสแกนหาแอปที่ได้รับผลกระทบและช่วยให้คุณปลอดภัย แต่จำไว้ว่า Google Play Protect ต้องการอุปกรณ์ที่ได้รับการรับรองเพื่อทำงานกับแอป Google ได้อย่างถูกต้อง ผู้ผลิตรวมแอปความเป็นเจ้าของอย่าง Google Play Protect ได้หลังจากผ่านการทดสอบความเข้ากันได้ ข่าวดีคือผู้ผลิตใหญ่ส่วนใหญ่ได้รับการรับรองจาก Google ดังนั้นหากคุณไม่ได้ซื้ออุปกรณ์ Android แบบ knock-off ราคาถูก ไม่มีอะไรต้องกังวลมาก
แม้แอป antivirus Android จะตรวจจับการโจมตีสิทธิ์ที่สูงขึ้นได้ แต่ไม่สามารถป้องกันได้ แอป antivirus อาจมีประโยชน์สำหรับคุณสมบัติอื่น เช่น anti-theft แต่แน่นอนว่าไม่ค่อยช่วยในกรณีนี้
作为最后的预防措施，您在从未知来源安装应用时应保持警惕。Android 8.0 Oreo 使从未知来源安装应用变得更安全一些，但您仍应谨慎行事。
อย่าปลอดภัย: จุดสำคัญที่ต้องจดจำ
เป็นความลับที่ไม่ได้เป็นความลับว่า Dirty COW ส่งผลต่อระบบจำนวนมาก โชคดีที่บริษัทต่างๆ ได้ดำเนินการควบคุมความเสียหายอย่างรวดเร็ว ระบบ Linux หลักอย่าง Ubuntu, Debian, และ Arch-Linux ได้รับแพทช์แล้ว Google ได้ปรับใช้ Play Protect เพื่อสแกนแอปที่ได้รับผลกระทบบน Android
น่าเสียดายที่ผู้ใช้จำนวนไม่ใช่น้อยที่รันระบบฝังตัวกับเคอร์เนล Linux ที่ได้รับผลกระทบ อาจไม่เคยได้รับอัปเดตความปลอดภัย ทำให้พวกเขาอยู่ในความเสี่ยง ผู้ผลิตที่ขายอุปกรณ์ Android แบบ knock-off ราคาถูกไม่ได้รับการรับรองจาก Google ทำให้ผู้ซื้ออยู่ในความเสี่ยง ผู้ซื้อเหล่านี้ไม่ได้รับอัปเดตความปลอดภัย เลยอย่าพูดถึงอัปเดตเวอร์ชัน Android
ดังนั้น จึงสำคัญมากที่จะหลีกเลี่ยงการซื้ออุปกรณ์จากผู้ผลิตเหล่านี้ หากคุณมีอุปกรณ์อยู่ ให้ทิ้งทันที นี่คือโทรศัพท์ Android ที่ดีที่สุดที่ไม่ทำให้กระเป๋าเงินเจ็บ ส่วนเราที่เหลือควรติดตั้งอัปเดตทันที และใช้ตรรกะสติปัญญาเพื่ออยู่ในความปลอดภัยบนอินเทอร์เน็ต
ระบบ Linux ของคุณเคยได้รับผลกระทบจากช่องโหว่ Dirty COW หรือมัลแวร์ ZNIU ไหม? คุณติดตั้งอัปเดตความปลอดภัยทันทีไหม? แชร์ความคิดเห็นกับเราในความคิดเห็นด้านล่าง!
