Phát hiện lỗ hổng đe dọa tất cả máy tính Windows xuất xưởng từ năm 2012 tới nay

Các nhà nghiên cứu bảo mật vừa tìm thấy một lỗ hổng trong Bảng Nhị phân Nền tảng Windows Microsoft (WPBT). Lỗ hổng này có thể bị hacker lợi dụng để cài đặt các rootkit trên tất cả máy tính Windows được xuất xưởng từ năm 2012 đến nay.

Rootkit là một loại công cụ độc hại mà hacker tạo ra âm thầm chiếm quyền kiểm soát hoàn toàn hệ thống của nạn nhân. Nguy hiểm hơn, rootkit có thể ẩn sâu trong hệ điều hành để tránh bị phát hiện.

WPBT là bảng firmware cố định ACPI (Cấu hình Nâng cao và Giao điện Nguồn) được Microsoft giới thiệu từ Windows 8. Nhiệm vụ của nó là cho phép các nhà cung cấp thực thi các chương trình mỗi khi thiết bị khởi động.

Tuy nhiên, bên cạnh việc cho phép các OEM ép buộc cài đặt các phần mềm quan trọng không thể đi kèm với cài đặt WIndows, cơ chế này cũng cho phép hacker triển khai các công cụ độc hại. Chính Microsoft cũng đã cảnh báo về điều này trong các tài liệu hỗ trợ của họ.

Ảnh hưởng tới tất cả máy tính chạy Windows 8 trở lên

Lỗ hổng này được các nhà nghiên cứu bảo mật của hãng Eclypsium phát hiện ra. Để khai thác lỗ hổng, hacker có thể dùng các kỹ thuật khác như cho phép ghi vào bộ nhớ nơi đặt các bảng ACPI (bao gồm WPBT) hoặc sử dụng một bộ nạp khởi động chứa mã độc.

Hacker có thể tấn công thành công nhờ lạm dụng lỗ hổng BootHole cho phép bỏ qua Secure Boot hoặc tấn công qua DMA từ các thiết bị ngoại vi hoặc linh kiện dễ bị tấn công khác.

Dưới đây là video demo cách tấn công của Eclypsium:

Các biện pháp khắc phục

Sau khi nhận được thông báo từ Eclypsium, Microsoft đã khuyến nghị người dùng sử dụng chính sách Windows Defender Application Control (WADC) để kiểm soát những tệp nhị phân nào có thể chạy trên thiết bị Windows. Chính sách WDAC chỉ có thể được tạo trên các máy khách chạy Windows 10 phiên bản 1903 trở lên, Windows 11 hoặc Windows Server 2016 trở lên.

Trên các máy tính chạy Windows cũ hơn, bạn có thể sử dụng các chính sách AppLocker để kiểm soát những ứng dụng nào được phép chạy trên máy khách Windows.

Theo thống kê của Eclypsium, vấn đề này ảnh hưởng tới 129 mẫu latpop, máy tính để bàn và tablet dành cho người tiêu dùng thông thường cũng như doanh nghiệp, bao gồm cả các thiết bị được bảo vệ bởi Secure Boot và Dell Secured-core. Tính ra thì có khoảng 30 triệu thiết bị cá nhân có nguy cơ bị tấn công bởi lỗ hổng này.