DejaBlue: Những lỗ hổng mới theo kiểu BlueKeep làm tăng nguy cơ của một loại sâu máy tính trên Windows

Trong suốt những tháng qua, các quản trị hệ thống đã nhanh chóng vá các hệ thống Windows của họ trước BlueKeep, một lỗ hổng quan trọng trong Giao thức Remote Desktop của Microsoft có thể tạo điều kiện cho một loại sâu toàn cầu ăn Internet nếu không được sửa trên hàng trăm nghìn máy tính có lỗ hổng. Sâu máy tính đó vẫn chưa xuất hiện. Nhưng bây giờ, Microsoft đã đặt lại đồng hồ trong cuộc đua đó, tiết lộ một bộ sưu tập các lỗ hổng mới về RDP, trong đó có hai lỗ hổng có thể dẫn đến cùng một loại sâu toàn cầu—lần này trên các phiên bản Windows mới hơn.

Microsoft hôm nay cảnh báo người dùng Windows về bảy lỗ hổng mới trong Windows, giống như BlueKeep, có thể bị tận dụng qua RDP, một công cụ cho phép quản trị viên kết nối với các máy tính khác trong mạng. Trong số bảy lỗ hổng đó, hãng cảnh báo rằng có hai lỗ hổng đặc biệt nghiêm trọng; giống như BlueKeep, chúng có thể được sử dụng để viết một loại sâu tự động nhảy từ máy này sang máy khác, có khả năng lây nhiễm hàng triệu máy tính. Như Simon Pope, giám đốc phản ứng sự cố của Trung tâm Phản ứng Bảo mật Microsoft viết, "mọi phần mềm độc hại sử dụng chúng có thể lan truyền từ máy tính có lỗ hổng đến máy tính có lỗ hổng mà không cần sự tương tác của người dùng".

Khác với BlueKeep, những lỗi mới—được các nhà nghiên cứu an ninh đặt tên đùa DejaBlue—không chỉ ảnh hưởng đến Windows 7 và trước đó, như lỗ hổng RDP trước đó đã làm. Thay vào đó, nó ảnh hưởng đến Windows 7 và các phiên bản mới hơn, bao gồm tất cả các phiên bản gần đây của hệ điều hành.

Marcus Hutchins, một nhà nghiên cứu an ninh đã theo dõi chặt chẽ các lỗ hổng RDP và viết một công cụ chứng minh cho việc khai thác BlueKeep, nói rằng có thể có nhiều máy tính có lỗ hổng với DejaBlue hơn là với BlueKeep. Ở điểm này, gần như mọi máy tính Windows hiện đại cần phải vá, trước khi hacker có thể đảo ngược các sửa lỗi đó để tìm gợi ý có thể giúp tạo ra các khai thác.

"Những người chưa nâng cấp từ rất lâu có thể an toàn hơn đôi chút với điều này, nhưng có một dải rộng hơn nhiều máy tính có lỗ hổng, tôi tưởng," Hutchins nói. "Tất nhiên, nếu bạn tính đến BlueKeep nữa, thì điều này chỉ làm tăng vấn đề."

Khác với BlueKeep, mà Microsoft đã ghi công của nó cho cơ quan tình báo Anh GCHQ, Microsoft nói rằng nó tự phát hiện và vá những lỗi mới này. "Các lỗ hổng này được Microsoft phát hiện trong quá trình củng cố dịch vụ Remote Desktop như một phần của sự tập trung liên tục của chúng tôi vào việc củng cố bảo mật sản phẩm của chúng tôi," Microsoft nói. "Hiện tại, chúng tôi không có bằng chứng nào cho thấy những lỗ hổng này đã được bất kỳ bên thứ ba nào biết." Microsoft không ngay lập tức phản hồi yêu cầu bình luận.

Kể từ khi BlueKeep được công bố công khai vào ngày 14 tháng 5, ngành công nghiệp an ninh đã khuyến khích người dùng vá lỗ hổng với kết quả đa dạng: Đến thời điểm đếm của tháng trước, khoảng từ 730.000 đến 800.000 máy tính vẫn có lỗ hổng BlueKeep. Rob Graham, một nhà nghiên cứu an ninh và người sáng lập Errata Security, xây dựng một công cụ quét để đo lường số lượng máy tính có lỗ hổng BlueKeep vào tháng 5 và ban đầu đã tìm thấy gần một triệu máy tính có lỗ hổng. Anh ấy bây giờ ước tính rằng số lượng máy tính có lỗ hổng với những lỗi RDP mới có khả năng ở trong khoảng tương tự. "Nó bắt đầu lại từ đầu," Graham nói.

Tuy nhiên, Graham chỉ ra rằng một cài đặt có tên là Network-Level Authentication trên các máy tính Windows sẽ ngăn chặn việc khai thác bộ lỗi mới này. Trong các quét trước đó, anh ấy đã tìm thấy tổng cộng 1,2 triệu máy tính Windows có cài đặt này được kích hoạt. Nhưng không rõ rằng những phiên bản Windows nào đang chạy trên những máy tính đó, hoặc có bao nhiêu máy tính khác không bật NLA.

Thì ra là tin tốt là Windows mặc định cung cấp cập nhật tự động; những người có tính năng này được kích hoạt sẽ sớm được bảo vệ, nếu chưa. Những người đã tắt tính năng đó, tuy nhiên, nên bật NLA ngay bây giờ và tải xuống một bản vá chống lại những lỗi RDP mới tại đây.

Khi BlueKeep xuất hiện lần đầu, các nhà nghiên cứu an ninh và thậm chí Microsoft cũng cảnh báo rằng nó có thể được tích hợp vào một loại sâu phổ biến trong vòng vài tuần có thể nghiêm trọng như WannaCry hoặc NotPetya, khi hacker độc hại di chuyển nhanh hơn số lượng lớn người dùng có lỗ hổng cần được vá. Ba tháng đã trôi qua mà chưa có dấu hiệu của sâu, mặc dù có thể đã có những hacker tinh vi đang hack RDP một cách bí mật, trong các cuộc tấn công có mục tiêu. Việc không có sự xuất hiện của sâu dự kiến, theo một số nhà nghiên cứu, là do sự kiềm chế từ phía cộng đồng nghiên cứu an ninh, mà lớn phần từ chối công khai phát hành các công cụ hacking chứng minh thực tế khai thác BlueKeep. Ngoài ra, ít chi tiết đã trở thành công cộng về cách BlueKeep hoạt động cụ thể, và việc xây dựng một cuộc xâm nhập đáng tin cậy dựa trên nó dường như là khó khăn bất ngờ.

Khai thác DejaBlue có thể dễ hơn một chút so với BlueKeep, theo Hutchins, người nói rằng việc viết một công cụ khai thác BlueKeep mất gần một tuần làm việc toàn thời gian. Phần khó khăn, anh ấy nói, là thao tác bộ nhớ máy tính để lỗi RDP cho phép hacker chạy mã của họ thay vì làm đổ máy tính. Khi DejaBlue làm đổ máy tính, Hutchins nói rằng nó chỉ làm đổ dịch vụ RDP trên thiết bị mục tiêu thay vì làm đổ cả máy, cho phép hacker sử dụng nó một cách tinh vi hơn với một khai thác không đáng tin cậy. "BlueKeep đòi hỏi một loại kiến thức chuyên biệt," Hutchins nói. "Dường như điều này có thể thu hút một nhóm lớn hơn người có khả năng viết một khai thác."

DejaBlue có thể được vá nhanh hơn BlueKeep, Hutchins chú ý, vì người dùng có phiên bản Windows mới cũng thường vá đầy đủ hơn. Hutchins cũng nói rằng sau khi dự đoán sự xuất hiện của sâu BlueKeep trước ngày hôm nay, anh ấy sẽ đợi xem thêm về bất kỳ dự đoán nào khác. "Hoàn toàn có khả năng một sâu cho điều này có thể có khả năng hơn, nhưng chúng ta không thể thực sự dự đoán những gì mọi người sẽ làm," Hutchins nói. "Kẻ xấu sẽ làm những gì kẻ xấu sẽ làm."

Những câu chuyện tuyệt vời khác từ MYTOUR

• How smaller cities are trying to plug brain drain
• The radical transformation of the textbook
• How scientists built a “living drug” to beat cancer
• An iPhone app that protects your privacy—for real
• How white nationalists have co-opted fan fiction
• 📱 Torn between the latest phones? Never fear—check out our iPhone buying guide and favorite Android phones
• 📩 Hungry for even more deep dives on your next favorite topic? Sign up for the Backchannel newsletter