Microsoft gần đây liên tục xuất hiện trên báo chí không chỉ vì thông báo Windows 11 ngày 24/6 năm nay. Còn có nhiều lý do khác như các bản cập nhật liên tiếp và thông tin mã độc mới được tiết lộ.
Trung tâm Phản hồi Bảo mật Microsoft (MSRC) đã thừa nhận đã chấp nhận một driver chứa Rootkit mã độc trao đổi dữ liệu với máy chủ điều khiển và lệnh (C2) tại Trung Quốc. Có vẻ như một số tác nhân độc hại đã lừa "người khổng lồ Redmond" ký một Driver Netfilter được thiết kế để nhắm vào môi trường game. Driver này được dùng để ẩn vị trí địa lý của người chơi và cho phép chơi từ bất kỳ khu vực nào.
Trường hợp đầu tiên của mã độc này được xác định bởi Karsten Hahn, nhà phân tích mã độc tại công ty an ninh mạng Đức G Data. "Kể từ Windows Vista, bất kỳ mã nào chạy ở chế độ kernel đều bắt buộc phải được kiểm tra và ký trước khi phát hành công khai để đảm bảo ổn định cho hệ điều hành," Hahn tuyên bố. "Driver không có chứng chỉ Microsoft không thể cài đặt mặc định," ông tiếp tục.
Mã độc này hoạt động như thế nào?
MSRC giải thích rằng kẻ xấu dùng mã độc này để khai thác game thủ khác và xâm phạm thông tin đăng nhập bằng keylogger. Chúng cũng có thể hack thông tin khác như thẻ tín dụng/ghi nợ và địa chỉ email.
Thú vị rằng Netfilter là gói ứng dụng hợp pháp cho phép lọc gói tin và dịch địa chỉ mạng. Nó cũng có thể thêm chứng chỉ gốc mới, thiết lập proxy server mới và giúp chỉnh sửa cài đặt internet.
Khi người dùng cài đặt ứng dụng này, nó kết nối với máy chủ C2 để nhận thông tin cấu hình và cập nhật. Microsoft cũng giải thích rằng kỹ thuật tấn công xảy ra sau khai thác (post-exploitation), nghĩa là đối thủ phải 먼저获得 đặc quyền quản trị rồi cài driver khi khởi động hệ thống.
"Cảnh quan bảo mật tiếp tục diễn biến nhanh chóng khi các tác nhân đe dọa tìm ra phương pháp mới và sáng tạo để xâm nhập môi trường qua nhiều vectơ," MSRC nói.
Hahn là người chính tìm ra mã độc, sau đó được hỗ trợ bởi các nhà nghiên cứu khác: Johann Aydinbas, Takahiro Haruyama, Florian Roth. Ông lo ngại về quy trình ký code của Microsoft và nghi ngờ có mã độc khác ẩn trong tập driver được Microsoft chấp nhận.
Chế độ hoạt động của tác nhân độc hại
Sau khi được thông báo, Microsoft đã thực hiện mọi bước điều tra và biện pháp phòng ngừa để sự cố không lặp lại. Microsoft khẳng định không có bằng chứng chứng chỉ ký code bị đánh cắp bị sử dụng. Kẻ đứng sau mã độc đã tuân thủ quy trình hợp pháp gửi driver lên Server Microsoft và lấy được file nhị phân ký bởi Microsoft hợp pháp.
Microsoft nói driver được xây dựng bởi nhà phát triển thứ 3 và nộp phê duyệt qua Chương trình Tương thích Phần cứng Windows. Sau sự cố, Microsoft đã khóa tài khoản nộp driver này và ưu tiên xem xét tất cả bản nộp của tài khoản đó.
Ngoài ra, Microsoft tuyên bố sẽ hoàn thiện chính sách truy cập đối tác cũng như quy trình xác thực và ký để tăng cường bảo vệ.
Kết luận về Microsoft chấp nhận ký driver Netfilter chứa Rootkit
Microsoft khẳng định mã độc nhắm vào ngành game tại Trung Quốc và có vẻ do một vài cá nhân thực hiện. Không có liên kết nào gắn liền tổ chức/doanh nghiệp với mã độc. Tuy nhiên, phải hiểu rằng bất kỳ file nhị phân lừa đảo nào có thể bị lợi dụng để khởi động tấn cứu phần mềm quy mô lớn.
Trong quá khứ, các cuộc tấn công như vậy đã xảy ra, ví dụ tấn công Stuxnet nhắm vào chương trình hạt nhân Iran. Điều này xảy ra vì chứng chỉ ký code bị đánh cắp từ Realtek và JMicron.
Với Microsoft chuẩn bị ra mắt Windows 11, sự cố này gây nghi ngờ về an toàn và bảo mật mà Microsoft cung cấp cho hệ điều hành. Bạn nghĩ sao? Chia sẻ ý kiến trong bình luận. Theo dõi chúng tôi trên Facebook, Instagram, YouTube.