มัลแวร์ TrickBot เพิ่มฟีเจอร์ใหม่ TrickBoot ทำให้มัลแวร์สามารถเข้าควบคุมเฟิร์มแวร์ในระดับ UEFI ได้

นักวิจัยจากบริษัท Advanced Intelligence (AdvIntel) และ Eclypsium ได้ออกรายงานถึงการพบความสามารถใหม่ในโมดูล TrickBot ที่จะช่วยให้มัลแวร์ TrickBot สามารถเข้าถึงแล้วควบคุม BIOS หรือเฟิร์มแวร์ UEFI ของคอมพิวเตอร์ที่ติดไวรัสได้

ตามรายงานของนักวิจัยด้านความปลอดภัยซึ่งได้ระบุว่ามัลแวร์ TrickBot ได้ทำการปรับใช้โมดูล bootkit ซึ่งเป็นฟีเจอร์นี้จะช่วยให้มัลแวร์ TrickBot สามารถเข้าถึงแล้วควบคุม BIOS หรือเฟิร์มแวร์ UEFI ของคอมพิวเตอร์ที่ติดไวรัสและมัลแวร์สามารถคงอยู่ได้ต่อไปหลังจากผู้ใช้ทำการติดตั้งระบบปฏิบัติการ อีกทั้งภายในโมดูลยังมีความสามารถที่จะช่วยให้ผู้ประสงค์ร้ายสามารถทำได้ดังนี้

สามารถปิดการเข้าถึงอุปกรณ์จากระยะไกลที่ระดับเฟิร์มแวร์ผ่านการเชื่อมต่อระยะไกลของมัลแวร์ทั่วไป สามารถ Bypass ระบบ Security control เช่น BitLocker, ELAM, Windows 10 Virtual Secure Mode, Credential Guard, Endpoint Protection และซอฟต์แวร์ป้องกันไวรัส เป็นต้น
สามารถทำให้ผู้ประสงค์ร้ายกำหนดเป้าหมายการโจมตีช่องโหว่ Intel CSME หรือบางส่วนของ SPI controller ได้
สามารถ Reverse ACM หรือการอัปเดตไมโครโค้ดที่แก้ไขช่องโหว่ของ CPU เช่น Spectre, MDS เป็นต้น
นักวิจัยด้านความปลอดภัยยังกล่าวอีกว่ามัลแวร์มีโค้ดสำหรับอ่านเขียนและลบเฟิร์มแวร์ ซึ่งปัจจุบันโมดูลของ TrickBot ยังสามารถทำงานกับคอนโทรลเลอร์ SPI เท่านั้น ด้วยมัลแวร์ TrickBot มีความเกี่ยวเนื่องกับกลุ่ม Ransomware ในอนาคตอาจมีความเป็นไปได้ว่ากลุ่มผู้ประสงค์ร้ายนั้นจะใช้ฟีเจอร์ใหม่ของมัลแวร์ TrickBot นี้ทำการทำลายระบบของบริษัทหรือองค์กรต่างๆ ปฏิเสธการจ่ายเงินที่ถูกเรียกร้อง ทั้งนี้โมดูลนี้ยังสามารถใช้เพื่อป้องกันไม่ให้ทำการค้นหาหลักฐานทางนิติวิทยาศาสตร์ที่สำคัญได้โดยทำให้ความสามารถในการบู๊ตของระบบล้มเหลว

ผู้ใช้งานควรหลีกเลี่ยงการการดาวน์โหลดไฟล์จากเว็บไซต์ที่ไม่รู้จักและทำการอัปเดตซอฟต์แวร์ป้องกันไวรัสอยู่เสมอเพื่อป้องกันการตกเป็นเหยื่อของมัลแวร์

ที่มา: zdnet | thehackernews

 

Intel ได้ออกเเพตซ์แก้ไขช่องโหว่จำนวน 95 รายการในการอัปเดตเเพตซ์ประจำเดือนพฤศจิกายน 2020 โดยช่องโหว่ที่ได้รับการเเก้ไขภายในเดือนนี้มีช่องโหว่ที่สำคัญและส่งผลต่อผลิตภัณฑ์ Intel Wireless Bluetooth และ Intel Active Management Technology (AMT) ของ Intel

ช่องโหว่ทีมีความสำคัญและมีคะแนนความรุนเเรงของช่องโหว่จาก CVSS อยู่ที่ 9.4/10 ในผลิตภัณฑ์ Intel Active Management Technology (AMT) และ Intel Standard Manageability (ISM) คือ CVE-2020-8752 ซึ่งเป็นช่องโหว่ out-of-bounds write ในระบบ IPv6 subsystem ของ Intel AMT และ ISM ที่ช่วยให้ผู้โจมตีที่ไม่ได้รับการพิสูจน์ตัวตนจากระยะไกลสามารถเพื่อสิทธิ์ภายในระบบได้ ช่องโหว่นี้จะกระทบกับ AMT และ ISM เวอร์ชันก่อน 11.8.80, 11.12.80, 11.22.80, 12.0.70 และ 14.0 45

ช่องโหว่ CVE-2020-12321 มี CVSS อยู่ที่ 9.6/10 โดยช่องโหว่เกิดจากข้อจำกัดของบัฟเฟอร์ที่ไม่เหมาะสมในผลิตภัณฑ์ Wireless Bluetooth เวอร์ชัน 21.110 ซึ่งช่องโหว่จะทำให้ผู้โจมตีที่ไม่ได้รับการพิสูจน์ตัวตนสามารถเพื่อสิทธิ์ภายในระบบ Local Area Network (LAN) ได้

นอกจากนี้ยังมีช่องโหว่ทีมีสำคัญที่อยู่ภายใน CPU ของ Intel คือ CVE-2020-8694 และ CVE-2020-8695 โดยช่องโหว่นี้ถูกเรียกว่า PLATYPUS เป็นช่องโหว่ที่ถูกเปิดเผยโดยกลุ่มนักวิจัยนานาชาติจาก Graz University of Technology, CISPA Helmholtz Center for Information Security และ University of Birmingham ซึ่งช่องโหว่ทั้งสองอาจทำให้เกิดการรั่วไหลของข้อมูลจากอินเทอร์เฟซ Running Average Power Limit (RAPL) ซึ่งใช้ในการตรวจสอบและจัดการ CPU และใช้จัดการพลังงานที่ถูกใช้หน่วยความจำ DRAM นักวิจัยได้ทำการแสดงการทดสอบให้เห็นว่าอินเทอร์เฟซ RAPL สามารถใช้เพื่อจับตาดูการใช้พลังงานของระบบเป้าหมายและยังสามารถตรวจสอบคำสั่งการดำเนินการของ CPU ได้ จึงทำให้ผู้โจมตีสามารถขโมยข้อมูลจากหน่วยความจำได้

ทั้งนี้ผู้ใช้และผู้ดูแลระบบควรทำการอัปเดตแพตซ์ให้เป็นเวอร์ชันล่าสุดเพื่อป้องกันผู้ประสงค์ร้ายใช้ประโยชน์จากช่องโหว่ทำการโจมตีระบบ สำหรับผู้ที่รายละเอียดของแพตซ์เพิ่มเติมสามารถดูได้ที่เเหล่งที่มา

ที่มา: bleepingcomputer

ในช่วงสัปดาห์ที่ผ่านมาถือว่าเป็นสัปดาห์ที่มีการเกิดขึ้นของหลายช่องโหว่ที่น่าสนใจ เช่น ไล่ไปตั้งแต่ช่องโหว่บนฟีเจอร์ RDP ในระบบปฏิบัติการวินโดวส์ที่ได้คะแนน CVSSv3 ไปถึง 9.8 คะแนน, ช่องโหว่ในโค้ดที่เกี่ยวข้องกับฟีเจอร์ VoIP ของ WhatsApp ที่ติดตั้งมัลแวร์ได้จากระยะไกล, ความปลอดภัยของ SHA1 และสี่ช่องโหว่บนซีพียูของ Intel นี้

สำหรับในบล็อกนี้นั้น ทีมตอบสนองการโจมตีและภัยคุกคาม (Intelligent Response) จากบริษัท ไอ-ซีเคียว จำกัด จะมาสรุปถึงการค้นพบสี่ช่องโหว่ใหม่ในฟังก์ชันการทำงานของซีพียู Intel ซึ่งผลลัพธ์ที่เป็นไปได้กรณีหนึ่งเมื่อมีการโจมตีช่องโหว่นี้นั้น คือทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลที่กำลังถูกประมวลผลโดยซีพียูแบบไม่มีขอบเขต และการป้องกันนั้นอาจทำให้ประสิทธิภาพการทำงานของซีพียูได้รับผลกระทบ โดยจากการตรวจสอบในเบื้องต้นนั้น ซีพียู Intel ตั้งแต่ปี 2011 จนถึงปัจจุบันจะได้รับผลกระทบจากช่องโหว่ทั้งหมด

เนื่องจากเนื้อหาที่อาจมีเป็นจำนวนมาก ทีมตอบสนองการโจมตีและภัยคุกคามจะขอสรุปเนื้อหาไว้ในรูปแบบของการตั้งคำถามและให้คำตอบเกี่ยวกับช่องโหว่แต่ละรายการไป หากใครมีคำถามเกี่ยวกับช่องโหว่เหล่านี้เพิ่มเติมสามารถส่งคำถามมาได้ที่เพจ i-secure Co., Ltd.