ShieldBreak: เมื่อผู้พิทักษ์กลายเป็นผู้โจมตีอย่างไม่น่าเชื่อ
ShieldBreak: กลวิธีใหม่ที่ทำให้ Microsoft Defender เป็นช่องทางโจมตี
เคยจินตนาการไหมว่าโปรแกรมป้องกันไวรัสที่ออกแบบมาเพื่อปกป้องคอมพิวเตอร์ของคุณ อาจถูกผู้ไม่หวังดีใช้เป็นเครื่องมือในการโจมตีเสียเอง นี่ไม่ใช่เรื่องสมมติ แต่เป็นความเป็นจริงที่เกิดขึ้นได้จริงกับกลวิธีที่เรียกว่า ShieldBreak ซึ่งกำลังเป็นที่จับตาในแวดวงความปลอดภัยไซเบอร์
โดยปกติแล้ว Microsoft Defender เป็นด่านหน้าสำคัญในการป้องกันภัยคุกคาม แต่ ShieldBreak ได้เปิดเผยช่องโหว่ในการตั้งค่า ที่ทำให้แฮกเกอร์สามารถใช้คุณสมบัติบางอย่างของ Defender ในทางที่ผิด เพื่อซ่อนการโจมตีและหลีกเลี่ยงการตรวจจับ การโจมตีแบบนี้จะทำให้ผู้ใช้งานเข้าใจผิดว่ากำลังถูกโจมตีผ่านโปรแกรมที่เชื่อถือได้ ซึ่งเป็นเรื่องที่อันตรายอย่างยิ่ง
กลไกการโจมตีทำงานได้อย่างไร
หัวใจสำคัญของ ShieldBreak อยู่ที่การใช้คุณสมบัติ Attack Surface Reduction (ASR) rules ของ Microsoft Defender ASR rules ถูกสร้างขึ้นมาเพื่อป้องกันพฤติกรรมที่น่าสงสัยและลดพื้นที่ผิวการโจมตีบนระบบวินโดวส์
แต่ผู้โจมตีกลับพบวิธีสร้าง ASR rules ที่กำหนดเอง ซึ่งสามารถแทรกโค้ดอันตรายเข้าไปได้ หากผู้โจมตีสามารถยกระดับสิทธิ์เป็น SYSTEM privileges ได้สำเร็จ พวกเขาก็จะสามารถสร้างหรือแก้ไขกฎเหล่านี้ได้
เมื่อกฎ ASR ที่ถูกปรับแต่งนี้ทำงาน แทนที่ Defender จะป้องกันการโจมตี มันกลับกลายเป็นตัวกลางที่ใช้ในการรันโค้ดอันตรายนั้นเสียเอง การดำเนินการทั้งหมดจะเกิดขึ้นภายในกระบวนการที่เชื่อถือได้ของ Defender (MsMpEng.exe) ซึ่งทำให้การโจมตีนี้น่ากลัวและตรวจจับได้ยากขึ้นไปอีกหลายเท่า
ทำไม ShieldBreak ถึงอันตรายและหลบเลี่ยงการตรวจจับได้เก่ง
ความร้ายกาจของ ShieldBreak คือความสามารถในการหลีกเลี่ยงการตรวจจับจากระบบรักษาความปลอดภัยหลายชั้น
ประการแรก เมื่อโค้ดอันตรายถูกรันโดยกระบวนการของ Microsoft Defender เอง ทำให้ระบบ Endpoint Detection and Response (EDR) และโปรแกรมป้องกันไวรัสอื่นๆ ตรวจจับได้ยาก เพราะดูเหมือนเป็นการทำงานปกติของระบบ
ประการที่สอง ShieldBreak สามารถ หลีกเลี่ยง AppLocker และ Windows Defender Application Control (WDAC) ได้อย่างง่ายดาย เนื่องจาก MsMpEng.exe เป็นไฟล์ปฏิบัติการของ Microsoft ที่เชื่อถือได้ ซึ่งโดยปกติแล้วจะถูกอนุญาตให้ทำงานเสมอ
นอกจากนี้ การโจมตีแบบนี้ยังทิ้งร่องรอยไว้สำหรับการวิเคราะห์ทางนิติวิทยาศาสตร์ (forensic analysis) น้อยมาก ทำให้การสืบสวนหาที่มาของการโจมตีเป็นเรื่องที่ท้าทายอย่างยิ่ง
ข้อควรระวังและการป้องกันเพื่อความปลอดภัยของคุณ
แม้ ShieldBreak จะดูน่ากลัว แต่ก็มีแนวทางป้องกันและลดความเสี่ยงได้ หากเข้าใจถึงเงื่อนไขที่จำเป็นต่อการโจมตี
ประการแรก การโจมตีนี้ต้องอาศัย SYSTEM privileges ดังนั้น การป้องกันไม่ให้ผู้โจมตีเข้าถึงสิทธิ์ระดับสูงสุดนี้ตั้งแต่แรก จึงเป็นสิ่งสำคัญที่สุด
ประการที่สอง ควรมีการ ตรวจสอบการเปลี่ยนแปลงใน Registry อย่างสม่ำเสมอ โดยเฉพาะในส่วนที่เก็บค่า ASR rules (HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\ASR) การเปลี่ยนแปลงที่ไม่ได้รับอนุญาตควรถูกตรวจสอบและแจ้งเตือนทันที
การเปิดใช้งาน Tamper Protection ของ Microsoft Defender จะช่วยป้องกันไม่ให้ผู้โจมตีแก้ไขการตั้งค่า Defender ได้ง่ายๆ นอกจากนี้ การใช้ระบบ EDR ขั้นสูง ที่สามารถตรวจจับพฤติกรรมที่ผิดปกติได้ แม้จะมาจากโปรแกรมที่น่าเชื่อถือ ก็เป็นสิ่งจำเป็นอย่างยิ่งในการรับมือกับภัยคุกคามรูปแบบใหม่นี้
การอัปเดตระบบปฏิบัติการและโปรแกรมป้องกันไวรัสอยู่เสมอ ก็เป็นพื้นฐานสำคัญในการปิดช่องโหว่และเสริมสร้างความปลอดภัยโดยรวมของระบบ