SMB (Server Message Block) เป็นโปรโตคอลเครือข่ายยอดนิยม ออกแบบโดย Barry Feigenbaum ที่ IBM ในทศวรรษ 1980s วัตถุประสงค์หลัก: ให้การเข้าถึงร่วมกัน (shared access) ไปยังเครื่องพิมพ์ ไฟล์ และพอร์ตอนุกรม ระหว่างโหนดในเครือข่าย รองรับโปรโตคอลธุรกรรมสำหรับการสื่อสารระหว่างกระบวนการ
การใช้งาน SMB หลักอยู่บนคอมพิวเตอร์ Windows บริการ Windows สำหรับส่วนเซิร์ฟเวอร์และไคลเอ็นต์คือ LAN Manager Server และ LAN Manager Workstation ตามลำดับ
ประวัติของ SMB1
SMB ออกแบบโดย IBM ใช้ในผลิตภัณฑ์ LAN Manager ของ Microsoft ในกลางทศวรรษ 1990s เป้าหมาย: แปลงการเข้าถึงไฟล์ท้องถิ่น DOS INT 21h ให้เป็นระบบไฟล์เครือข่าย SMB 1.0 เปลี่ยนชื่อเป็น Common Internet File System (CIFS) คือจุดเริ่มต้นของเครือข่าย ทำให้ระบบไฟล์ท้องถิ่นพร้อมใช้งานผ่านเครือข่าย
ในตอนแรก SMB 1.0 มีปัญหาเยอะ ทำให้จัดการไฟล์เล็กไม่ได้ โปรโตคอล "คุย"มาก (chatty) ทำให้ประสิทธิภาพระยะไกลไม่ดี Microsoft ปรับปรุงและรวม SMB เข้ากับ LAN Manager พัฒนาสำหรับ OS/2 ร่วมกับ 3Com ราวปี 1990 ต่อมาเพิ่มฟีเจอร์ใน Windows for Workgroups และ Windows รุ่นต่อๆ ไป CIFS 1996 Microsoft พัฒนา SMB dialect มาพร้อม Windows 95 เพิ่มรองรับไฟล์ใหญ่กว่า TCP/IP transport โดยตรง และ symbolic/hard links
ทำงานอย่างไร?
SMB ให้แอปพลิเคชันเข้าถึงไฟล์บนเซิร์ฟเวอร์ระยะไกล รวมทรัพยากรอย่างเครื่องพิมพ์ เมลสล็อต ฯลฯ ไคลเอ็นต์สามารถอ่าน สร้าง ย้าย แก้ไขไฟล์บนเซิร์ฟเวอร์ระยะไกล และเชื่อมต่อกับโปรแกรมเซิร์ฟเวอร์ที่รอรับคำขอ SMB
SMB เป็นโปรโตคอล request-response ส่งข้อความหลายครั้งระหว่างเซิร์ฟเวอร์-ไคลเอ็นต์เพื่อสร้างการเชื่อมต่อ ทำงานที่ Layer 7 (Application Layer) ใช้งานผ่าน TCP/IP พอร์ต 445 รุ่นแรกใช้ API NetBIOS over TCP/IP ปัจจุบัน NetBIOS over transport ยังต้องใช้สำหรับอุปกรณ์ที่ไม่รองรับ SMB ตรงๆ บน TCP/IP
ทำไม SMB1 ถึงทำให้เกิดแรนซอมแวร์และการโจมตี?
WannaCry Ransomware โจมตีธุรกิจจำนวนมาก รैनซอมแวร์และมัลแวร์ Trojan ต่างๆ ใช้ช่องโหว่ใน Windows SMB เพื่อแพร่กระจายผ่านเครือข่ายองค์กร
โดยทั่วไปแฮกเกอร์ใช้อีเมลฟิชชิง แต่ WannaCry แตกต่าง โจมตีพอร์ต SMB สาธารณะ ใช้ NSA-leaked EternalBlue exploit เข้าเครือข่าย แล้วใช้ DoublePulsar exploit สร้างการต่อเนื่อง และติดตั้ง WannaCry
ทำไมจึงมีประสิทธิภาพมาก?
เชื้อโรคแบบเวิร์มต้องแพร่กระจายตัวเองเพื่อคืนผลสูง ช่องโหว่ SMB ช่วยแพร่กระจายข้างเคียง (lateral movement) ผ่านระบบที่เชื่อมต่อกัน
โปรโตคอลที่ไม่จำเป็นอย่าง SMB และ network segmentation ควรปิดไว้ เพราะทำให้ระบบ 드러นต่อแฮกเกอร์ ควรอัปเดตระบบทุกระบบเป็นเวอร์ชันล่าสุด และติดตั้งแพตช์ความปลอดภัยทันเวลา
SMB เปิดอยู่บนทุกระบบ แต่อาจไม่จำเป็น ควรปิด SMB1 และโปรโตคอลสื่อสารอื่นๆ หากไม่ได้ใช้
WannaCry ใช้แค่ 2 เครื่องมือไซเบอร์ แต่ EternalRocks (เวิร์มใหม่) จะมาพร้อม 7 เครื่องมือ โจมตีระบบทั่วโลก
EternalRocks ใช้เครื่องมือ SMB สำคัญ: EternalBlue, EternalChampion, Eternal Synergy, Eternal Romance รวม SMBTouch และ ArchTouch (SMB reconnaissance tools) ติดตามระบบที่ติดเชื้อ
เวิร์ม 2 เครื่องมือทำลายล้างอย่างมหาศาล EternalRocks 7 เครื่องมือ จะทำลายล้างมากแค่ไหน ไม่อาจจินตนาการได้
การโจมตีเกิดขึ้นอย่างไร?
ปัจจุบันมี 3 exploits เปิดเผย: EternalBlue, EternalChampion, EternalRomance ที่ใช้ช่องโหว่ SMB ได้ EternalBlue ใช้โดย WannaCry & Emotet, Eternal Romance ใช้โดย Bad Rabbit, NotPetya, TrickBot มี EternalSynergy อีกตัว
กลุ่มแฮกเกอร์ ShadowBrokers เผยแพร่ exploits ทั้งหมด ภายในเดือน EternalBlue ถูกใช้ WannaCry แพร่กระจายอย่างรวดเร็ว
EternalRocks ใช้ DoublePulsar เป็น backdoor ติดตั้งมัลแวร์บนระบบติดเชื้อ พบว่า backdoor ยังไม่ได้รับการป้องกัน แฮกเกอร์อื่นอาจใช้ติดตั้งมัลแวร์ของตน
หลังจากนั้น มัลแวร์ขนาดใหญ่อย่าง Bad Rabbit, NotPetya ใช้ช่องโหว่ SMB เข้าเครือข่ายองค์กรในปี 2017 ไตรมาส 3-4 ปี 2018 Emotet และ TrickBot Trojan ระบาด
อ่านเพียงพอแล้ว หากไม่ได้ใช้ SMB 1 คุณปลอดภัยกว่า
วิธีตรวจสอบ เปิด/ปิด SMB1 ใน Windows
วิธีที่ 1: PowerShell (Windows 8.1 และ 10)
ตรวจสอบ: กด Win+X > Windows PowerShell (Admin) > พิมพ์ Get-WindowsOptionalFeature –Online –FeatureName SMB1Protocol
ปิดใช้งาน: PowerShell (Admin) > พิมพ์ Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
เปิดใช้งาน: PowerShell (Admin) > พิมพ์ Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol > กด Y ยืนยัน
วิธีที่ 2: Turn Windows Features On or Off
- เปิด Control Panel > Programs & Features
- คลิก Turn Windows Features On or Off ด้านซ้าย
- ยกเลิกติ๊ก SMB 1.0/CIFS File Sharing Support เพื่อปิด (ติ๊กเพื่อเปิด)
วิธีที่ 3: Registry Editor
สำรอง Registry ก่อน: Win+R > regedit > File > Export > บันทึกไฟล์
แก้ไข: ไปที่ HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters หา SMB1 (REG_DWORD)
- Value 0 = ปิดใช้งาน
- Value 1 = เปิดใช้งาน
คลิกขวา SMB1 > Modify > ตรวจสอบ Value Data หากไม่มี ให้สร้าง DWORD ใหม่ชื่อ SMB1
ต้องรีสตาร์ทคอมพิวเตอร์หลังเปลี่ยนแปลง
หากสงสัยว่าระบบถูกโจมตี หรือต้องการป้องกัน ติดตั้งเครื่องมือป้องกันอย่าง Advanced System Protector ของ Systweak ซึ่งรวม anti-malware, anti-spyware, antivirus ครบวงจร
แนะนำสำรองข้อมูลระบบด้วย Right Backup ที่มีการเข้ารหัส SSL เข้าถึงข้อมูลได้จากทุกอุปกรณ์ อัปโหลดข้อมูล บริการจะเก็บไว้ในคลาวด์ที่ปลอดภัย
Microsoft เองแนะนำให้ปิด SMB1 เพื่อความปลอดภัย การปิดไว้ช่วยป้องกันแรนซอมแวร์ที่ใช้ช่องโหว่ SMB1 ของ Windows
