SMB1 dễ bị tấn công bởi phần mềm tống tiền như thế nào?

SMB hoặc Server Message Block là một thuật ngữ phổ biến trong mạng máy tính. Barry Feigenbaum ban đầu tại IBM đã thiết kế SMB vào những năm 1980. Mục đích chính của SMB là cung cấp quyền truy cập chung vào máy in, tệp và cổng nối tiếp giữa các nút trên mạng. Nó có thể mang các giao thức giao dịch để liên lạc giữa các quá trình.

Việc sử dụng Server Message Block chủ yếu bao gồm máy tính Windows. Các dịch vụ Windows được sử dụng cho thành phần máy chủ và thành phần máy khách lần lượt là Máy chủ quản lý mạng LAN và Máy trạm quản lý mạng LAN.

Hãy tìm hiểu thêm về SMB phiên bản 1.

Lịch sử của SMB1

Server Message Block, SMB ban đầu được thiết kế bởi IBM và được Microsoft sử dụng trong sản phẩm LAN Manager vào giữa những năm 1990. Mục đích của SMB là biến quyền truy cập tệp cục bộ 21h của DOS INT thành một hệ thống tệp được nối mạng. SMB 1.0 được đổi tên thành Common Internet File System. Nói một cách dễ hiểu, chúng tôi có thể nói một cách an toàn rằng đây là sự khởi đầu của mạng, khi hệ thống tệp cục bộ được cung cấp qua mạng.

Ban đầu, việc triển khai SMB 1.0 có rất nhiều vấn đề khiến SMB gặp khó khăn trong việc xử lý các tệp nhỏ cho người dùng cuối. Hơn nữa, giao thức là trò chuyện, do đó hiệu suất trên khoảng cách không tốt. Microsoft đã thực hiện các thay đổi đối với phiên bản và hợp nhất giao thức SMB với sản phẩm LAN Manager mà hãng bắt đầu phát triển cho OS/2 với 3Com vào khoảng năm 1990. Kể từ đó, hãng bắt đầu thêm các tính năng vào giao thức trong Windows cho Nhóm làm việc và trong các phiên bản Windows sau này. Với CIFS 1996, Microsoft đã phát triển phương ngữ SMB đi kèm với Windows 95. Một số tính năng đã được thêm vào, hỗ trợ kích thước tệp lớn hơn, truyền tải trực tiếp qua TCP/IP cũng như liên kết tượng trưng và liên kết cứng.

Nó hoạt động như thế nào?

Giao thức SMB được sử dụng để cho phép người dùng ứng dụng truy cập các tệp trên máy chủ từ xa, cùng với các tài nguyên khác, bao gồm máy in, khe cắm thư, v.v. Do đó, ứng dụng khách có thể truy cập, đọc, tạo, di chuyển và thay đổi tệp trên máy chủ từ xa. Nó cũng có thể kết nối với bất kỳ chương trình máy chủ nào được thiết lập để nhận yêu cầu máy khách SMB.

Giao thức SMB còn được gọi là giao thức yêu cầu phản hồi, vì nó gửi nhiều thông báo giữa máy chủ và máy khách để thiết lập kết nối. Giao thức SMB hoạt động ở Lớp 7 hoặc lớp ứng dụng và bạn có thể sử dụng nó qua TCP/IP trên cổng 445 để vận chuyển. Các phiên bản đầu tiên của giao thức SMB sử dụng API (giao diện lập trình ứng dụng) NetBIOS qua TCP/IP.

Ngày nay, cần có NetBIOS qua giao thức truyền tải để giao tiếp với các thiết bị không hỗ trợ SMB trực tiếp qua TCP/IP.

SMB1 gây ra phần mềm tống tiền và các cuộc tấn công khác như thế nào?

Bạn hẳn đã quen thuộc với WannaCry Ransomware, đó là lý do khiến rất nhiều doanh nghiệp bị lừa mất tiền. Các loại biến thể phần mềm độc hại ransomware và Trojan này phụ thuộc vào các lỗ hổng trong Windows Server Message Block (SMB) để lây lan qua mạng của tổ chức.

Nói chung, những kẻ tấn công sử dụng email lừa đảo để lây nhiễm vào hệ thống được nhắm mục tiêu, tuy nhiên, WannaCry thì khác. Nó nhắm mục tiêu vào các cổng SMB công cộng và sử dụng Khai thác EternalBlue bị rò rỉ bởi NSA để vào mạng và sau đó bị cáo buộc sử dụng Khai thác DoublePulsar để thiết lập tính bền vững và hỗ trợ việc cài đặt mã độc tống tiền WannaCry.

Tại sao nó lại hiệu quả như vậy?

Để gây hại với tốc độ cao hơn, một bệnh nhiễm trùng giống như sâu cần tiếp tục tự lây lan để nó cần ít nỗ lực để nhân lên. Đó là lúc các lỗ hổng SMB được sử dụng để lây lan sang hai bên thông qua các hệ thống được kết nối.

Nên tắt các giao thức không cần thiết này như SMB &phân đoạn mạng vì chúng có khả năng khiến hệ thống tiếp xúc với tin tặc. Ngoài ra, bạn nên cập nhật tất cả các hệ thống lên phiên bản hệ điều hành mới nhất và áp dụng các bản vá cập nhật bảo mật theo thời gian.

Tuy nhiên, cài đặt SMB được bật trên tất cả các hệ thống, không nhất thiết phải có. Do đó, nếu bạn không sử dụng chúng, bạn nên tắt SMB1 và các giao thức liên lạc khác.

Wannacry chỉ sử dụng hai công cụ mạng để lạm dụng lỗ hổng SMB. Chà, đây không phải là cuộc tấn công ransomware duy nhất sử dụng lỗ hổng SMB. Một loại sâu sắp ra mắt, EternalRocks sẽ đi kèm với bảy công cụ mạng để lây nhiễm các hệ thống trên khắp thế giới.

EternalRocks sẽ sử dụng các công cụ Chặn tin nhắn máy chủ nguy hiểm là EternalBlue, EternalChampion, Eternal Synergy và Eternal Romance. Ngoài ra, SMBTouch và ArchTouch còn được gọi là công cụ do thám SMB, để theo dõi các máy tính bị ảnh hưởng.

Khi một con sâu với hai công cụ tạo ra sự hỗn loạn lớn trên thế giới, chúng ta thậm chí không thể tưởng tượng được mức độ hủy diệt to lớn mà EternalRocks có thể gây ra.

Cuộc tấn công diễn ra như thế nào?

Hiện tại, có ba khai thác, cụ thể là EternalBlue, EternalChampion và EternalRomance, đang được mở và có thể tận dụng các lỗ hổng SMB. EternalBlue đã được sử dụng bởi WannaCry &Emotet. Eternal Romance được sử dụng bởi Bad Rabbit, NotPetya &TrickBot. Một khai thác nữa được gọi là EternalSynergy cũng có mặt.

Một nhóm tin tặc có tên ShadowBrokers đã rò rỉ tất cả các khai thác này. Trong vòng một tháng, khai thác Eternal Blue đã được sử dụng, WannaCry đã lan nhanh như một đám cháy.

EternalRocks sử dụng DoublePulsar làm cửa hậu để phần mềm độc hại được cài đặt trên hệ thống bị nhiễm.

Nghiên cứu cho thấy rằng cửa hậu vẫn chưa được bảo vệ và các tin tặc khác có thể sử dụng nó làm phương tiện để tung phần mềm độc hại và phá hủy hệ thống của chúng.

Sau đó, nhiều cuộc tấn công phần mềm độc hại quy mô lớn như Bad Rabbit và Not Petya đã sử dụng các lỗ hổng SMB để xâm nhập vào mạng của các tổ chức trong năm 2017. Trong quý 3 và quý 4 năm 2018, các cuộc tấn công Emotet và TrickBot Trojan đã lên đến đỉnh điểm.

Chúng tôi đã đọc đủ về SMB phiên bản 1 và các lỗ hổng của nó, nếu chúng tôi không sử dụng SMB 1 thì tốt hơn hết là bạn không nên sử dụng nó.

Trong phần tiếp theo, chúng ta sẽ nói về cách phát hiện, bật hoặc tắt SMB1 trên Windows. Vì vậy, hãy tiếp tục!

Làm cách nào để phát hiện, bật/tắt SMB1 trên Windows?

Phương pháp 1: Phát hiện, bật/tắt giao thức SMB v1 trên Windows 8.1 và Windows 10 bằng phương pháp PowerShell