MiniPlasma: ช่องโหว่ Zero-Day ที่เปลี่ยนเครื่อง Windows ที่อัปเดตแล้ว ให้ตกเป็นของแฮกเกอร์
MiniPlasma คืออะไร และทำไมถึงสำคัญ
ในช่วงปลายปีที่ผ่านมา โลกไซเบอร์ได้เผชิญหน้ากับช่องโหว่ที่น่ากังวลอย่างยิ่งในระบบปฏิบัติการ Windows มันถูกเรียกว่า MiniPlasma หรือที่รู้จักกันในชื่อรหัส CVE-2023-36036 ซึ่งเป็น ช่องโหว่ Zero-Day ที่ร้ายแรง
ช่องโหว่นี้คือการโจมตีแบบ Local Privilege Escalation (LPE) พูดง่ายๆ คือ ผู้โจมตีที่สามารถเข้าถึงระบบได้ในระดับผู้ใช้ธรรมดา จะสามารถยกระดับสิทธิ์ตัวเองขึ้นไปสู่ระดับสูงสุดอย่าง SYSTEM ได้
นั่นหมายความว่า หากแฮกเกอร์สามารถหาทางแทรกซึมเข้ามาในเครื่องคอมพิวเตอร์ของคุณได้ ไม่ว่าจะด้วยวิธีการใดก็ตาม แม้จะเป็นเพียงสิทธิ์ระดับต่ำสุด ช่องโหว่ MiniPlasma นี้จะช่วยให้พวกเขาสามารถควบคุมเครื่องได้ทั้งหมดอย่างเบ็ดเสร็จเด็ดขาด
ความน่ากลัวของมันคือ มันเคยเป็นช่องโหว่ที่ยังไม่มีการแก้ไข ซึ่งถูกใช้ในการโจมตีจริงก่อนที่ Microsoft จะออก แพตช์ อย่างเป็นทางการ ทำให้แม้แต่เครื่องที่อัปเดตซอฟต์แวร์อยู่เสมอ ก็ยังตกเป็นเหยื่อได้ในช่วงเวลาหนึ่ง
เจาะลึกกลไกการทำงานของช่องโหว่
MiniPlasma ซ่อนอยู่ในไดรเวอร์ชื่อ cldflt.sys ซึ่งเป็นส่วนหนึ่งของระบบจัดการไฟล์บนคลาวด์ เช่น OneDrive ที่เราใช้งานกันอยู่
หน้าที่ของ cldflt.sys คือการจัดการการสื่อสารระหว่างแอปพลิเคชันฝั่งผู้ใช้กับเคอร์เนลของระบบ
ช่องโหว่นี้เกิดขึ้นที่ฟังก์ชัน CldFltSendMessage ซึ่งรับข้อมูลจากฝั่งผู้ใช้เพื่อนำไปประมวลผล
โดยเฉพาะอย่างยิ่ง ข้อความประเภท CldFltPortMessage_UserLog ที่ใช้สำหรับบันทึกกิจกรรมต่างๆ ในระบบ
ปัญหาคือ กลไกการบันทึกเหตุการณ์ของ Windows หรือ ETW (Event Tracing for Windows) ที่เชื่อมโยงกับข้อความนี้ ไม่ได้ตรวจสอบขนาดของข้อมูลที่ส่งเข้ามาอย่างถูกต้อง
ผู้โจมตีจึงสามารถสร้างข้อมูลปลอมแปลง ที่มีขนาดใหญ่เกินกว่าที่ระบบจะรับมือได้
การกระทำนี้จะนำไปสู่สิ่งที่เรียกว่า Out-of-Bounds Write หรือการเขียนข้อมูลออกนอกขอบเขตที่จัดสรรไว้ในหน่วยความจำของ เคอร์เนล ซึ่งเป็นหัวใจสำคัญของระบบปฏิบัติการ
ผลลัพธ์ที่ตามมาคือ หน่วยความจำของเคอร์เนลอาจเสียหายอย่างร้ายแรง จนทำให้ระบบล่ม (หน้าจอฟ้ามรณะ หรือ BSOD) หรือที่เลวร้ายกว่านั้นคือ ทำให้ผู้โจมตีสามารถรันโค้ดใดๆ ก็ตามใน Kernel Mode ได้อย่างอิสระ
อันตรายที่เกิดขึ้นจริงจากการโจมตี
จากการสาธิตแนวคิดการโจมตี (Proof of Concept) ที่เผยแพร่ออกมา แสดงให้เห็นว่าสามารถใช้ช่องโหว่นี้ เพื่อให้ได้ SYSTEM shell หรือเรียกง่ายๆ ว่า ได้รับสิทธิ์สูงสุดในการควบคุมระบบคอมพิวเตอร์อย่างสมบูรณ์
การโจมตีนี้ใช้เทคนิคที่ซับซ้อนหลายอย่าง รวมถึงการควบคุมการจัดสรรหน่วยความจำภายในเคอร์เนล หรือที่เรียกว่า Type Isolation
เป้าหมายคือการแทรกแซงโครงสร้างข้อมูลภายในเคอร์เนล เพื่อยกระดับสิทธิ์จากผู้ใช้ธรรมดาไปเป็นผู้ดูแลระบบ
เมื่อผู้โจมตีสามารถเขียนข้อมูลลงในหน่วยความจำเคอร์เนลได้ตามใจชอบ พวกเขาก็จะสามารถแก้ไข Token ของโปรเซส เพื่อเปลี่ยนสิทธิ์ของผู้ใช้ในปัจจุบันให้กลายเป็น SYSTEM ได้ทันที
ซึ่งนั่นหมายถึง การควบคุมที่ไร้ขีดจำกัด การติดตั้งมัลแวร์ การขโมยข้อมูล หรือการสร้างแบ็คดอร์ได้โดยไม่ถูกตรวจพบ
สัญญาณเตือนภัยและการป้องกันตัว
สิ่งสำคัญที่สุดในตอนนี้คือ การตรวจสอบให้แน่ใจว่าระบบปฏิบัติการ Windows ได้รับการ อัปเดตแพตช์ แก้ไขช่องโหว่ CVE-2023-36036 ซึ่ง Microsoft ได้ปล่อยออกมาตั้งแต่เดือนพฤศจิกายน 2023 แล้ว
การอัปเดตเป็นสิ่งที่ไม่ควรมองข้าม เพราะมันคือเกราะป้องกันแรกที่สำคัญที่สุด
นอกจากนี้ การจำกัดสิทธิ์ผู้ใช้งานให้มีเท่าที่จำเป็น (Least Privilege) ก็เป็นมาตรการป้องกันที่สำคัญ
เพราะหากผู้โจมตีไม่สามารถเข้าถึงระบบในระดับผู้ใช้ได้ตั้งแต่แรก การใช้ช่องโหว่ LPE ก็จะทำได้ยากขึ้นมาก
การติดตั้งและใช้งานระบบ Endpoint Detection and Response (EDR) และโปรแกรมป้องกันไวรัสที่ทันสมัย ก็ช่วยตรวจจับและยับยั้งกิจกรรมที่น่าสงสัยที่อาจบ่งบอกถึงการโจมตี
และควรมีการเฝ้าระวังพฤติกรรมผิดปกติบนระบบ เช่น การสร้างโปรเซสที่ไม่คุ้นเคย หรือการพยายามเปลี่ยนแปลงสิทธิ์ของผู้ใช้งาน
การป้องกันภัยคุกคามไซเบอร์ต้องอาศัยทั้งการอัปเดตซอฟต์แวร์ การตั้งค่าความปลอดภัยที่รัดกุม และการเฝ้าระวังอย่างต่อเนื่องเพื่อลดความเสี่ยงจากการถูกโจมตีให้ได้มากที่สุด