ช่องโหว่สุดฮอต! ไดรเวอร์ของ Microsoft Defender ถูกใช้เป็นอาวุธลบซอฟต์แวร์ความปลอดภัย
นักวิจัยพบเทคนิคใช้ไดรเวอร์ BTR.sys ของ Microsoft Defender ซึ่งลงนามถูกต้อง ใช้ลบไฟล์และปิดการทำงานซอฟต์แวร์ความปลอดภัยบน Windows ทุกรุ่น
นักวิจัยจาก Check Point Research เปิดเผยเทคนิคการโจมตีที่ใช้ไดรเวอร์ BTR.sys ของ Microsoft Defender ซึ่งเป็นไดรเวอร์ที่ลงนามอย่างถูกต้องตามกฎหมาย ใช้สำหรับลบมัลแวร์ในระหว่างการบูตระบบ มาทำการลบไฟล์และแก้ไขรีจิสทรีในระดับเคอร์เนลบนระบบ Windows ตั้งแต่ Windows 7 ไปจนถึง Windows 11 25H2 โดยไม่ต้องใช้ช่องโหว่ซอฟต์แวร์ใด ๆ และไม่ต้องนำเข้าไดรเวอร์จากภายนอกเครื่อง
การโจมตีนี้เกิดขึ้นได้เพราะไดรเวอร์ BTR.sys มีสิทธิ์สูงสุดในการเข้าถึงระบบ แม้แต่ซอฟต์แวร์ความปลอดภัยอื่น ๆ ก็ไม่สามารถต้านทานได้ นักวิจัยชี้ว่าผู้โจมตีสามารถใช้ไดรเวอร์นี้เพื่อลบไฟล์สำคัญของระบบหรือปิดการทำงานของโปรแกรมป้องกันไวรัสได้ทั้งหมด
ไดรเวอร์ BTR.sys คืออะไร
BTR.sys หรือ Boot Time Removal Tool คือไดรเวอร์ที่ Microsoft สร้างขึ้นเพื่อใช้ในการลบมัลแวร์ที่ฝังลึกในระบบระหว่างการบูต โดยไดรเวอร์นี้จะทำงานก่อนที่ระบบปฏิบัติการจะโหลดเต็มรูปแบบ ทำให้สามารถเข้าถึงไฟล์และรีจิสทรีที่ซ่อนอยู่ได้ แม้แต่ไฟล์ที่ถูกล็อกโดยโปรแกรมอื่นก็ตาม
จุดแข็งของไดรเวอร์นี้คือการที่ Microsoft ลงนามรับรองความถูกต้อง ทำให้ระบบปฏิบัติการเชื่อถือและอนุญาตให้ทำงานได้โดยไม่มีการเตือนภัย แต่ในทางกลับกัน หากผู้โจมตีสามารถนำไดรเวอร์นี้ไปใช้ในทางที่ผิด ก็จะกลายเป็นอาวุธร้ายแรงที่ยากจะตรวจจับได้
วิธีการโจมตีที่ตรวจพบ
นักวิจัยค้นพบว่าผู้โจมตีสามารถใช้ประโยชน์จากไดรเวอร์ BTR.sys ในการดำเนินการระดับเคอร์เนลโดยไม่ต้องมีสิทธิ์ผู้ดูแลระบบระดับสูง เพียงแค่สามารถเรียกใช้ไดรเวอร์ได้ก็สามารถลบไฟล์ใด ๆ ในระบบ รวมถึงไฟล์ของซอฟต์แวร์ความปลอดภัยที่ติดตั้งอยู่
เทคนิคนี้ไม่ต้องใช้ช่องโหว่ซอฟต์แวร์ใด ๆ เนื่องจากไดรเวอร์ดังกล่าวถูกออกแบบมาให้มีความสามารถนี้อยู่แล้ว การโจมตีจึงไม่ทิ้งร่องรอยและยากต่อการป้องกัน ทางด้าน Microsoft ยังไม่ได้ออกแพตช์ใด ๆ เพราะถือเป็นคุณสมบัติของไดรเวอร์ที่ถูกต้องตามกฎหมาย
ผลกระทบต่อผู้ใช้ Windows
ผลกระทบหลักคือซอฟต์แวร์ความปลอดภัยที่ติดตั้งในระบบสามารถถูกปิดการทำงานหรือถูกลบออกได้ทั้งหมด ส่งผลให้คอมพิวเตอร์ไม่มีการป้องกันจากมัลแวร์และภัยคุกคามอื่น ๆ ซึ่งอาจนำไปสู่การขโมยข้อมูลหรือการเข้าควบคุมระบบจากระยะไกล
ผู้ใช้ทั่วไปอาจไม่ได้รับผลกระทบโดยตรง แต่ผู้ที่ดูแลระบบองค์กรหรือเซิร์ฟเวอร์ควรตรวจสอบและจำกัดสิทธิ์การเข้าถึงไดรเวอร์นี้อย่างเข้มงวด รวมถึงติดตามการอัปเดตจาก Microsoft อย่างใกล้ชิด
แนวทางป้องกันสำหรับองค์กร
องค์กรควรใช้โซลูชันความปลอดภัยที่สามารถตรวจจับพฤติกรรมผิดปกติของไดรเวอร์ได้ และจำกัดสิทธิ์การเข้าถึงไฟล์ระบบที่สำคัญ นอกจากนี้ ควรมีการตรวจสอบความสมบูรณ์ของระบบอย่างสม่ำเสมอ เพื่อให้แน่ใจว่าไม่มีไฟล์หรือรีจิสทรีถูกแก้ไขโดยไม่ได้รับอนุญาต
การจำกัดสิทธิ์ผู้ใช้งานและการใช้ Multi-Factor Authentication ก็เป็นมาตรการสำคัญที่ช่วยลดความเสี่ยงจากการโจมตีได้ โดยเฉพาะในสภาพแวดล้อมที่มีข้อมูลสำคัญหรือระบบที่ต้องใช้งานตลอด 24 ชั่วโมง
Reference
The Hacker News
หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม
💬 Line @monsteronline
☎️ Tel 02-026-6664
📩 Email [email protected]
🌐 ดูสินค้าเพิ่มเติม mon.co.th
แชทผ่าน LINE ดูสินค้าทั้งหมด