SMB (Server Message Block) là thuật ngữ phổ biến trong mạng máy tính. Barry Feigenbaum tại IBM đã thiết kế SMB vào những năm 1980. Mục đích chính của SMB là cung cấp quyền truy cập chung đến máy in, file và cổng serial giữa các nút trên mạng. Nó có thể truyền các giao thức giao dịch cho giao tiếp giữa các tiến trình.
Việc sử dụng Server Message Block chủ yếu trên máy tính Windows. Các dịch vụ Windows dùng cho thành phần máy chủ và thành phần khách là LAN Manager Server và LAN Manager Workstation tương ứng.
Hãy tìm hiểu thêm về SMB phiên bản 1.
Lịch Sử Của SMB1
Server Message Block, SMB được thiết kế ban đầu bởi IBM và được Microsoft sử dụng trong sản phẩm LAN Manager vào giữa những năm 1990. Mục tiêu của SMB là biến quyền truy cập file cục bộ DOS INT 21h thành một hệ thống file mạng. SMB 1.0 được đổi tên thành Common Internet File System (CIFS). Nói đơn giản, đây là khởi đầu của mạng máy tính, nơi hệ thống file cục bộ được cung cấp qua mạng.
Ban đầu, việc triển khai SMB 1.0 gặp nhiều vấn đề khiến SMB khó xử lý các file nhỏ cho người dùng cuối. Hơn nữa, giao thức này "bắt buộc" (chatty), do đó hiệu suất qua khoảng cách không tốt. Microsoft đã sửa đổi phiên bản và hợp nhất giao thức SMB với sản phẩm LAN Manager, mà họ bắt đầu phát triển cho OS/2 cùng 3Com vào khoảng năm 1990. Kể từ đó, họ bắt đầu thêm tính năng vào giao thức trong Windows for Workgroups và các phiên bản Windows sau này. Với CIFS 1996, Microsoft phát triển phương ngữ SMB đi kèm Windows 95. Một số tính năng được thêm: hỗ trợ kích thước file lớn hơn, truyền trực tiếp qua TCP/IP, và symbolic links & hard links.
Cơ Chế Hoạt Động
Giao thức SMB được dùng để cho phép người dùng của một ứng dụng truy cập file trên máy chủ từ xa, cùng với các tài nguyên khác bao gồm máy in, mail slot và hơn thế nữa. Do đó, một ứng dụng khách có thể truy cập, đọc, tạo, di chuyển và thay đổi file trên máy chủ từ xa. Nó cũng có thể kết nối với bất kỳ chương trình máy chủ nào được thiết lập để nhận yêu cầu SMB client.
Giao thức SMB còn được gọi là giao thức yêu cầu-phản hồi (response-request protocol), vì nó gửi nhiều thông điệp giữa máy chủ và khách để thiết lập kết nối. Giao thức SMB hoạt động ở Lớp 7 (Application layer) và bạn có thể sử dụng nó qua TCP/IP trên cổng 445 cho truyền tải. Các phiên bản SMB sớm sử dụng API NetBIOS qua TCP/IP.
Ngày nay, NetBIOS qua giao thức truyền tải là bắt buộc để giao tiếp với các thiết bị không hỗ trợ SMB trực tiếp qua TCP/IP.
Tại Sao SMB1 Gây Ra Ransomware Và Các Tấn Công Khác?
Bạn chắc hẳn quen thuộc với WannaCry Ransomware – nguyên nhân khiến nhiều doanh nghiệp bị lừa tiền. Các loại ransomware và biến thể malware Trojan này phụ thuộc vào các lỗ hổng trong Windows Server Message Block (SMB) để lan truyền qua mạng của tổ chức.
Thông thường, kẻ tấn công dùng email lừa đảo để lây nhiễm hệ thống mục tiêu, tuy nhiên WannaCry khác biệt. Nó nhắm vào các cổng SMB công khai và sử dụng exploit EternalBlue bị rò rỉ từ NSA để xâm nhập mạng, sau đó dùng exploit DoublePulsar để thiết lập sự bền bỉ và hỗ trợ cài đặt WannaCry Ransomware.
Tại Sao Nó Lại Hiệu Quả Như Vậy?
Để gây hại ở quy mô lớn, một nhiễm trùng giống sâu (worm) cần tiếp tục lan truyền bản thân để nhân lên lợi ích với nỗ lực tối thiểu. Đó là lúc các lỗ hổng SMB được khai thác để lan truyền ngang (lateral movement) qua các hệ thống kết nối.
Các giao thức không cần thiết như SMB và phân đoạn mạng nên được vô hiệu hóa vì chúng có thể làm cho hệ thống bị lộ trước hacker. Cũng khuyến khích giữ tất cả hệ thống cập nhật lên phiên bản hệ điều hành mới nhất và áp dụng bản vá bảo mật kịp thời.
Cài đặt SMB được bật trên tất cả các hệ thống, tuy nhiên không phải lúc nào cũng cần thiết. Do đó, nếu bạn không sử dụng chúng, khuyến khích vô hiệu hóa SMB1 và các giao thức truyền thông khác.
WannaCry chỉ dùng hai công cụ mạng để khai thác lỗ hổng SMB. Đây không phải là cuộc tấn công ransomware duy nhất sử dụng lỗ hổng SMB. Một worm sắp tới, EternalRocks, sẽ đi kèm với bảy công cụ mạng để lây nhiễm hệ thống trên toàn cầu.
EternalRocks sẽ sử dụng các công cụ SMB nguy hiểm: EternalBlue, EternalChampion, Eternal Synergy, và Eternal Romance. Cũng có SMBTouch và ArchTouch (công cụ trinh sát SMB) để theo dõi các máy tính bị ảnh hưởng.
Khi một worm với hai công cụ đã tạo ra hỗn loạn khổng lồ trên thế giới, chúng ta khó lòng tưởng tượng được mức độ phá hoại mà EternalRocks có thể gây ra.
Cách Tấn Công Xảy Ra
Hiện có ba exploit công khai: EternalBlue, EternalChampion và EternalRomance, có thể khai thác lỗ hổng SMB. EternalBlue được WannaCry & Emotet sử dụng. Eternal Romance được Bad Rabbit, NotPetya & TrickBot sử dụng. Còn một exploit khác là EternalSynergy.
Nhóm hacker ShadowBrokers đã rò rỉ tất cả các exploit này. Trong vòng một tháng, exploit Eternal Blue được sử dụng, WannaCry lan truyền như lửa rừng.
EternalRocks dùng DoublePulsar làm backdoor để cài đặt malware trên hệ thống bị nhiễm.
Nghiên cứu cho thấy backdoor này vẫn chưa được bảo vệ và các hacker khác có thể dùng nó làm trung gian để đưa malware của họ vào và phá hủy hệ thống.
Sau đó, các cuộc tấn công malware quy mô lớn như Bad Rabbit và NotPetya đã dùng lỗ hổng SMB để xâm nhập mạng tổ chức vào năm 2017. Quý 3 và quý 4 năm 2018, các cuộc tấn công Trojan Emotet và TrickBot đạt đỉnh điểm.
Chúng ta đã đọc đủ về SMB phiên bản 1 và lỗ hổng của nó. Nếu chúng ta không sử dụng SMB 1, thì tốt hơn là không có nó.
Cách Phát Hiện, Bật/Tắt SMB1 Trên Windows
Phương pháp 1: Phát hiện, Bật/Tắt giao thức SMB v1 trên Windows 8.1 và Windows 10 bằng PowerShell
Để Phát Hiện
Nhấn Windows + X để mở menu ngữ cảnh trên Start menu.
Từ danh sách, chọn Windows PowerShell (Admin).
Lưu ý: Bạn cũng có thể gõ "PowerShell" vào ô tìm kiếm, chọn Windows PowerShell và chuột phải chọn Run as administrator.
Trên cửa sổ PowerShell, gõ: Get-WindowsOptionalFeature –Online –FeatureName SMB1Protocol
Để Vô Hiệu Hóa
- Nhấn Windows + X, chọn Windows PowerShell (Admin).
- Trên cửa sổ PowerShell, gõ:
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
Để Kích Hoạt
- Nhấn Windows + X, chọn Windows PowerShell (Admin).
- Trên cửa sổ PowerShell, gõ:
Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol
Nhấn Y để thay đổi có hiệu lực.
Phương pháp 2: Vô Hiệu Hóa/Kích Hoạt SMB1 Qua "Turn Windows Features On or Off"
Bước 1: Nhấn Start, gõ "Control Panel" và mở ứng dụng Control Panel.
Bước 2: Chọn Programs & Features (Chương trình và Tính năng).
Bước 3: Ở bên trái, nhấp Turn Windows Features On or Off (Bật/Tắt tính năng Windows).
Bước 4: Bỏ dấu tích bên cạnh SMB 1.0/CIFS File Sharing Support để vô hiệu hóa SMB1 vĩnh viễn. Nếu muốn bật, hãy tích vào ô đó.
Phương pháp 3: Sử Dụng Registry Editor Để Bật/Tắt SMB 1
Bạn cũng có thể dùng Registry Editor để bật/tắt SMB1. Trước khi tiến hành, hãy chắc chắn bạn đã sao lưu Registry.
Cách sao lưu Registry:
- Nhấn Windows + R, gõ
regeditvà Enter. - Trên Registry Editor, vào File → Export.
- Chọn vị trí lưu file sao lưu.
Các bước bật/tắt SMBv1:
- Nhấn Windows + R, gõ
regeditvà Enter. - Điều hướng đến:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters - Ở bên phải, tìm mục Registry: SMB1 (kiểu REG_DWORD).
- Giá trị 0 = Đã vô hiệu hóa (Disabled).
- Giá trị 1 = Đã kích hoạt (Enabled).
- Để kiểm tra/sửa, chuột phải SMB1 → Modify. Kiểm tra Value Data.
Lưu ý: Nếu không tìm thấy SMB1 (DWORD), bạn có thể tạo mới: chuột phải bên phải → New → DWORD (32-bit) Value → Đặt tên là SMB1.
Lưu ý quan trọng: Bạn cần khởi động lại máy tính sau khi thay đổi.
Nếu bạn nghĩ hệ thống đã bị tấn công hoặc muốn phòng ngừa trong tương lai, bạn có thể cài đặt công cụ bảo vệ như Advanced System Protector của Systweak – giải pháp all-in-one với chống malware, spyware và virus.
Cũng luôn khuyến khích tạo bản sao lưu hệ thống để đảm bảo dữ liệu an toàn. Right Backup là công cụ đáng tin cậy với mã hóa SSL, giúp dữ liệu truy cập được trên mọi thiết bị, lưu trữ an toàn trên máy chủ đám mây bảo mật.
Vậy là bạn đã biết cách dễ dàng vô hiệu hóa/kích hoạt Server Message Block (SMB 1). Lo ngại bảo mật không mới, nhưng sự hỗn loạn do WannaCry gây ra nên được xem như một tiếng chuông cảnh tỉnh. Vì nó dùng lỗ hổng dịch vụ SMB1 của Windows để tấn công. Ngay cả Microsoft cũng khuyến khích vô hiệu hóa SMB1 vì lý do bảo mật, do đó giữ nó ở trạng thái tắt có thể giúp ngăn chặn ransomware tấn công hệ thống của bạn.
Để đảm bảo dữ liệu an toàn và hệ thống được bảo vệ, bạn luôn có thể tin tưởng Right Backup và Advanced System Protector.