เหตุการณ์รูปรั่ถูกขโมยของ Microsoft กระตุ้นความกังวลด้านไซเบอร์เซคิวริตี้ทั่วโลก

Microsoft อยู่ในข่าวล่าสุดจากการประกาศ Windows 11 เมื่อวันที่ 24 มิถุนายน แต่ไม่ใช่เหตุการณ์เดียวที่ทำให้คนพูดถึง มีอีกหลายเรื่อง เช่น อัปเดตจำนวนมาก และข้อมูลมัลแวร์ที่เปิดเผยออกมา

Microsoft Security Response Center (MSRC) ยอมรับว่าได้รับรองไดรเวอร์ที่มี Rootkit Malware แฝงอยู่ ซึ่งสื่อสารกับเซิร์ฟเวอร์ Command-and-Control (C2) ในจีน ผู้กระทำผิดหลอกลวง Microsoft ให้เซ็นไดรเวอร์ Netfilter ที่ออกแบบมาเพื่อเป้าหมายเกมมิ่ง ไดรเวอร์นี้ถูกใช้ซ่อนตำแหน่ง الجغرافية ของผู้เล่นเพื่อเล่นจากภูมิภาคไหนก็ได้

ครั้งแรกที่พบมัลแวร์นี้คือ Karsten Hahn นักวิเคราะห์มัลแวร์ของ G Data (เยอรมนี) ระบุว่า "นับจาก Windows Vista โค้ดที่รันใน Kernel mode ต้องผ่านการทดสอบและเซ็นชื่อก่อนเผยแพร่ เพื่อความเสถียรของระบบปฏิบัติการ ไดรเวอร์ที่ไม่มีใบรับรอง Microsoft ติดตั้งไม่ได้โดยค่าเริ่มต้น"

มัลแวร์นี้ทำงานอย่างไร?

MSRC อธิบายว่าผู้กระทำผิดใช้มัลแวร์นี้จัดการลอกข้อมูลเกมเมอร์คนอื่น และขโมยข้อมูลเข้าสู่ระบบผ่าน Keylogger อาจรวมถึงข้อมูลบัตรเดบิต/เครดิต และอีเมลด้วย

น่าสนใจที่ Netfilter เป็นแอปพลิเคชันที่ถูกต้อง ใช้สำหรับกรองแพ็กเก็ต แปลที่อยู่เครือข่าย เพิ่ม Root Certificates ตั้งค่า Proxy และแก้ไขการตั้งค่าอินเทอร์เน็ต

เมื่อผู้ใช้ติดตั้งแอปนี้ ระบบจะเชื่อมต่อกับเซิร์ฟเวอร์ C2 เพื่อรับข้อมูลการตั้งค่าและอัปเดต Microsoft อธิบายว่าวิธีโจมตีนี้เกิดขึ้นหลังการเอกสารสิทธิ์ (post-exploitation) หมายถึงผู้โจมตีต้องได้สิทธิ์ Admin ก่อน แล้วค่อยติดตั้งไดรเวอร์ระหว่างเริ่มต้นระบบ

"ภัยคุกคามทางความปลอดภัยยังคง演变อย่างรวดเร็ว ผู้กระทำผิดหาวิธีใหม่ๆ เข้าถึงสภาพแวดล้อมต่างๆ" MSRC กล่าว

Hahn เป็นคนค้นพบหลัก แต่ต่อมามีนักวิจัยมัลแวร์อื่นๆ ร่วมด้วย: Johann Aydinbas, Takahiro Haruyama, Florian Roth เขากังวลเกี่ยวกับกระบวนการเซ็นโค้ดของ Microsoft และสงสัยว่ามีมัลแวร์อื่นซ่อนอยู่ในไดรเวอร์ที่ Microsoft อนุมัติหรือไม่

ลักษณะการทำงานของผู้กระทำผิด

หลัง Microsoft ได้รับแจ้ง ได้ดำเนินการสอบสวนและ措施ป้องกันไม่ให้เกิดซ้ำ Microsoft ระบุว่าไม่พบหลักฐานว่าใบรับรองเซ็นโค้ดที่ถูกขโมยถูกใช้งาน ผู้กระทำผิดปฏิบัติตามกระบวนการส่งไดรเวอร์ไปยังเซิร์ฟเวอร์ Microsoft อย่างถูกต้อง และได้ไบนารีที่เซ็นโดย Microsoft อย่างถูกต้อง

Microsoft ระบุว่าไดรเวอร์ถูกสร้างโดยนักพัฒนาคนที่สาม และส่งเพื่ออนุมัติผ่าน Windows Hardware Compatibility Program หลังเหตุการณ์นี้ Microsoft ระงับบัญชีที่ส่งไดรเวอร์นี้ และตรวจสอบการส่งมอบอื่นๆ ของบัญชีนั้นเป็นลำดับแรก

นอกจากนี้ Microsoft จะปรับปรุงนโยบายการเข้าถึงของพาร์ทเนอร์ กระบวนการตรวจสอบและเซ็นชื่อ เพื่อเพิ่มการป้องกัน

สรุป: Microsoft เซ็นไดรเวอร์ Netfilter ที่มี Rootkit Malware

Microsoft อ้างว่ามัลแวร์นี้โจมตีเฉพาะภาคเกมมิ่งในจีน และเป็นงานของบุคคลไม่กี่คน ไม่มีองค์กรไหนเกี่ยวข้อง แต่ต้องเข้าใจว่าบイนารีที่หลอกลวงได้อย่างนี้ อาจถูกนำไปใช้โจมตีในระยะกว้างได้ ในอดีตเคยมีการโจมตีแบบนี้ เช่น Stuxnet ที่โจมตีโปรแกรมนิวเคลียร์ของอิหร่าน เพราะใบรับรองเซ็นโค้ดถูกขโมยจาก Realtek และ JMicron

ขณะ Microsoft กำลังเตรียมเปิดตัว Windows 11 เหตุการณ์นี้สร้างความสงสัยเรื่องความปลอดภัยของระบบปฏิบัติการ คุณคิดยังไง? แชร์ความคิดเห็นได้ครับ ติดตามเราบน Facebook, Instagram และ YouTube