Nabeel Ahmed นักวิจัยจาก Trend Micro Zero Day Initiative (ZDI – องค์กรชั้นนำทางด้านการวิจัยช่องโหว่ความมั่นคงปลอดภัย) ได้ออกมาเปิดเผยถึงช่องโหว่ใน Windows Remote Assistance (CVE-2018-0878) ที่ช่วยให้ Hacker สามารถขโมยข้อมูลจากเครื่องของเหยื่อได้
ช่องโหว่ที่พบนี้อยู่ใน feature ของ Microsoft ที่ชื่อว่า Windows Remote Assistance (Quick Assist) ซึ่งส่งผลกระทบถึง Windows ทุกเวอร์ชั่น ตั้งแต่ Microsoft Windows Server 2016, Windows Server 2012 และ R2, Windows Server 2008 SP2 และ R2 SP1, Windows 10 (ทั้ง 32 บิตและ 64 บิต), Windows 8.1 (ทั้ง 32 บิตและ 64 บิต) และ RT 8.1 และ Windows 7 (ทั้ง 32 บิตและ 64 บิต)
Windows Remote Assistance คือ โปรแกรมสนับสนุนของ Windows เป็นการให้ความช่วยเหลือระยะไกล โดยเป็นโปรแกรมที่มีมากับระบบปฎิบัติการ Windows
ช่องโหว่นี้ได้รับการแก้ไขจากทาง Microsoft และตอนนี้ได้มีแพทช์อัปเดตเรียบร้อยแล้ว ทางนักวิจัยจึงทำการเปิดเผยข้อมูลทางเทคนิค และการใช้ประโยชน์จากช่องโหว่นี้
ช่องโหว่นี้จะอยู่ใน MSXML3 parser ซึ่ง Hacker จะใช้เทคนิคการโจมตีแบบ “Out-of-Band Data Retrieval” โดยยื่นข้อเสนอให้เหยื่ออนุญาต Hacker เข้าถึงเครื่องของพวกเขาโดยผ่านทาง Windows Remote Assistance
ระหว่างที่ทำการตั้งค่า Windows Remote Assistanceระบบจะมีตัวเลือกมาให้ 2 ข้อ ได้แก่
- ผู้ที่จะเข้ามาช่วยเหลือผู้อื่น
- ผู้ที่ต้องการให้ผู้อื่นเข้ามาช่วยเหลือ
การเลือกข้อแรกจะช่วยให้ผู้ใช้สร้างไฟล์การเชิญ เช่น ‘invitation.msrcincident,’ ซึ่งประกอบด้วยข้อมูล XML ที่มีค่า parameters และค่าต่างๆ ที่ใช้ในการตรวจสอบสิทธิ์มากมาย และเนื่องจาก parser ไม่มีการตรวจสอบความถูกต้อง Hackerจะสร้างไฟล์คำเชิญที่เป็นอันตรายใน Remote Assistance ส่งไปหาเหยื่อ หลอกให้เครื่องรับไฟล์ที่ Hacker ส่งมา
ข้อมูลที่ขโมยนั้นอาจจะถูกส่งมาในรูปแบบ URL ตามที่ Hacker ได้ตั้งค่าไว้ ซึ่งในกรณีนี้ Hacker จะไม่สามารถบังคับให้เหยื่อดูเนื้อหาที่ Hacker ควบคุมไว้ แต่ Hacker จะโน้มน้าว หรือหลอกให้ผู้ใช้ดำเนินการแทน
ทาง Ahmed ได้กล่าวเตือนว่า ช่องโหว่ XXE นี้สามารถโจมตีแบบ phishing ได้ เป้าหมายก็คือผู้ใช้ที่คิด Hacker จะช่วยแก้ปัญหาที่เกิดขึ้นได้ โดยไม่มีใครคิดเลยว่า ไฟล์คำเชิญ .msrcincident นั้นจะทำให้ข้อมูลสูญหายได้ ในระหว่างที่รอแพทช์เพื่ออุดช่องโหว่นี้ ทาง Windows แนะนำให้ติดตั้ง Windows Remote Assistance เวอร์ชั่นล่าสุดให้เร็วที่สุด
ที่มา : The Hacker News
