Apps & Game

Máy Mac có thể bị hack nhờ một định dạng tập tin xuất hiện từ thập niên 1980

Rate this post

Lỗ hổng hiện đã được vá này cho phép tin tặc nhắm mục tiêu vào Microsoft Office thông qua Symbolic Link – một loại tệp không phổ biến trong hơn 30 năm qua.

Macro của Microsoft Office từ lâu đã là một công cụ thô sơ nhưng hiệu quả nếu rơi vào tay tin tặc: bằng cách lừa ai đó mở tệp đính kèm và nhấp vào nút “Cho phép” để chạy macro, một tài liệu Word duy nhất có thể được lưu. Simple cũng có thể khởi chạy một chuỗi mã để dọn đường cho tin tặc chiếm quyền kiểm soát thiết bị. Trong khi thủ thuật macro này ngày càng được sử dụng rộng rãi hơn để nhắm mục tiêu vào Microsoft Office trên macOS, một hacker Mac đã tìm ra một phương pháp yên tĩnh hơn, đáng tin cậy hơn để tận dụng nó. Và mấu chốt là ở một định dạng tệp khó hiểu đã xuất hiện cách đây 30 năm.

Tại Hội nghị Bảo mật Black Hat ngày hôm qua, cựu hacker NSA Patrick Wardle đã trình bày chi tiết về một kỹ thuật mới khai thác một loạt lỗ hổng của Microsoft Office và macOS để có được quyền truy cập hoàn toàn vào máy Mac mục tiêu. Một trong những lỗi đó liên quan đến cách Excel xử lý loại tệp lỗi thời được gọi là Liên kết tượng trưng. SYLK đã không được sử dụng rộng rãi kể từ những năm 1980, nhưng nó có thể tạo ra một liên kết trong chuỗi để vượt qua hoàn toàn các cài đặt bảo mật macro của Microsoft Office. Kết hợp với các lỗ hổng khác trong macOS, kỹ thuật của Wardle – đã được Apple vá sau khi ông cảnh báo công ty vào đầu năm nay – sẽ cho phép tin tặc chiếm lấy máy tính mục tiêu mà không cần cảnh báo ngay lập tức. khi nạn nhân vừa nhấp vào tệp đính kèm độc hại.

Hệ thống sẽ được kiểm soát hoàn toàn và lây nhiễm”- Wardle, hiện là nhà nghiên cứu bảo mật của hãng bảo mật Jamf, cho biết.Và không có dấu hiệu nào cho thấy cuộc tấn công đang diễn ra“.

Wardle cho biết lần đầu tiên anh tò mò về các cuộc tấn công macro chống lại máy Mac vào năm 2017, khi các công ty bảo mật bắt đầu cảnh báo về các mã macro nhắm mục tiêu đến khách hàng của Apple thay vì các nạn nhân Windows thông thường. Nhiều cuộc tấn công macro nhắm mục tiêu vào máy Mac nổi lên trong năm 2018 và 2019, bao gồm cả việc Kaspersky phát hiện ra tin tặc Triều Tiên sử dụng macro để đánh cắp tiền điện tử từ người dùng Mac vào năm 2019. Khi máy Mac ngày càng phổ biến hơn trong các văn phòng, mối đe dọa từ các cuộc tấn công vĩ mô cũng đang xuất hiện.

Chúng tôi đang thấy các nhóm tin tặc quan tâm nhiều hơn đến macro. Vì vậy, tôi tự hỏi, liệu mọi thứ có thể trở nên tồi tệ hơn không? Đây có phải là điều mà chúng ta sẽ phải quan tâm nhiều hơn, hay đó chỉ là một số hành động phá hoại tạm thời?“- Wardle cho biết. Vì vậy, anh ta quyết định tìm hiểu xem liệu anh ta có thể tạo ra một cuộc tấn công macro mạnh mẽ hơn chống lại máy Mac hay không – một cuộc tấn công mà nạn nhân không phải nhấn” Cho phép “và không phải hộp cát, đó là một tính năng giới hạn quyền truy cập vào phần còn lại của hệ thống của ứng dụng, ngăn ứng dụng ăn cắp tệp hoặc cài đặt phần mềm độc hại. “Làm việc tại NSA khiến tâm trí tôi u ám và đầy rẫy những ý tưởng độc hại”- Wardle nói.Về cơ bản tôi muốn thực hiện một cuộc tấn công vĩ mô mà không thể bị cản trở“.

Tháng 10 năm ngoái, Wardle đã chứng kiến ​​các nhà nghiên cứu Hà Lan Stan Hegt và Pieter Ceelen tiết lộ một lỗi thú vị trong Microsoft Word. Excel không cảnh báo người dùng trước khi chạy bất kỳ macro nào có trong tệp ở định dạng tệp SYLK, một loại tệp hầu như bị lãng quên vẫn tương thích với Microsoft Word. Thủ thuật này hoạt động theo mặc định trên phiên bản Microsoft Office 2011 và bỏ qua tất cả các cảnh báo liên quan đến macro. Nhưng trớ trêu thay, nó vẫn hoạt động với các phiên bản gần đây nếu người dùng hoặc quản trị viên đã đặt chương trình ở mức an toàn nhất. Khi Excel được điều chỉnh để dừng tất cả các macro mà không cần thông báo cho người dùng, thay vào đó, Excel sẽ tự động chạy các macro trong tệp SYLK.

Hegt giải thích rằng lỗ hổng này bắt nguồn từ việc Microsoft sử dụng mã hoàn toàn khác để quản lý các tệp SYLK cũ hơn thay vì mã được sử dụng để xử lý các định dạng tệp mới hơn. “Có hai công cụ macro khác nhau trong một sản phẩm và đó là một tình huống rất hấp dẫn để bắt đầu nghiên cứuHegt nói.

Máy Mac có thể bị tấn công nhờ định dạng tệp có từ những năm 1980 - Ảnh 1.

Microsoft Office 2011 Suite dành cho Mac

Các nhà nghiên cứu Hà Lan đã cảnh báo Microsoft về lỗ hổng bảo mật này, nhưng công ty không phát hành bản vá, một phần vì tin tặc sử dụng nó sẽ vẫn bị mắc kẹt trong hộp cát của Microsoft Office. Nhưng Wardle nói rằng chỉ sau hai ngày nghiên cứu, anh đã có thể liên kết một loạt các thủ thuật để phá vỡ sự cô lập của Microsoft Office và xâm nhập vào phần còn lại của hệ thống.

Chuỗi của Wardle bắt đầu với một lỗi đã biết nhưng chưa được vá, cho phép anh ta sử dụng API để đặt một tệp bên ngoài hộp cát nếu nó có ký tự “~ $” ở đầu tên tệp. Anh ta định sử dụng lỗi này để thêm một mục nhập sẽ tự động chạy khi người dùng đăng nhập. Nhưng macOS có một biện pháp bảo mật khá khắt khe cho phép chỉ những mục đăng nhập đã được Apple chứng nhận và đã chặn đường dẫn đó. Vì vậy, Wardle phát hiện ra anh ta có thể phá vỡ rào cản này bằng cách nén tệp thành tệp ZIP. Điều này có nghĩa là Unarchiver, một ứng dụng cài sẵn, sẽ tự động chạy và giải nén tệp, sau đó nó sẽ cài đặt một “bộ khởi động” sẽ chặn vào lần máy tính khởi động lại tiếp theo. Trình khởi chạy sau đó sẽ sử dụng công cụ dòng lệnh Bash để cài đặt và chạy bất kỳ phần mềm độc hại nào mà nó muốn.

Như vậy, nạn nhân không chủ ý chỉ cần mở tệp đính kèm độc hại một lần. Sau khi họ khởi động lại hoặc đăng xuất khỏi tài khoản trên Mac hai lần, phần mềm độc hại sẽ kiểm soát hoàn toàn máy tính. “Nó yêu cầu người dùng đăng nhập lại hai lần”- Wardle nói.Nhưng tôi có thể đợi“.

Xem thêm:  My Heroes Dungeon Raid cuối cùng đã ra mắt trên Android và iOS

Wardle đã cảnh báo cả Microsoft và Apple về kỹ thuật hack của họ vào tháng 11 năm ngoái và Apple đã phát hành bản vá cho macOS 10.15.3 vào đầu năm nay, nhưng cả hai công ty đều không làm rõ phần nào của chuỗi. Lỗ hổng của Wardle đã được vá và có phần không. Ví dụ: Microsoft đã loại bỏ lỗi định dạng tệp SYLK trong Microsoft Office, nhưng trong một thông cáo báo chí cho biết, macro vẫn có thể được sử dụng để phá hộp cát Office trên macOS. “Chúng tôi đã điều tra và xác định bất kỳ ứng dụng nào, ngay cả khi được đóng hộp cát, đều có khả năng bị các API đó khai thác. Chúng tôi đang thảo luận với Apple để cung cấp các giải pháp và hỗ trợ khi cần thiết. “

Nhưng Wardle nói rằng nghiên cứu của ông nên được coi là một ví dụ về mức độ dễ bị tấn công của Microsoft Office – đặc biệt là trên phiên bản Mac ít được xem xét – và dự đoán rằng sẽ còn nhiều hơn thế. Nhiều cuộc tấn công vĩ mô chống lại Mac xảy ra. “Tôi ngạc nhiên là mọi thứ lại dễ dàng như vậy” – Tôi đã nói. “Tôi có kinh nghiệm trong việc này, nhưng các nhóm hacker giàu tài nguyên cũng đã nghiên cứu về nó và có những kỹ thuật tương tự, nếu không muốn nói là nhiều hơn. Đây là một hướng tấn công rất rộng. Tin tặc có đủ tài nguyên và trí thông minh sẽ tìm mọi cách để giành quyền kiểm soát và tồn tại trên hệ thống Mac“.

Việc anh ấy tạo ra một chuỗi khai thác chắc chắn cho thấy vấn đề“- hacker Hà Lan Hegt cho biết. Anh ta nói rằng các lỗ hổng như SYLK, cho phép tấn công macro quy mô lớn trên macOS, vẫn chưa được vá.”Tôi khá chắc chắn nếu bạn tìm hiểu về Office, đặc biệt là trên máy Mac, sẽ có rất nhiều thứ khác để khám phá!

Tham khảo: Có dây


Vừa rồi, bạn vừa mới đọc xong bài viết về
Máy Mac có thể bị hack nhờ một định dạng tập tin xuất hiện từ thập niên 1980

tại Tips Tech.
Hy vọng rằng những kiến thức trong bài viết
Máy Mac có thể bị hack nhờ một định dạng tập tin xuất hiện từ thập niên 1980

sẽ làm cho bạn để tâm hơn tới vấn đề
Máy Mac có thể bị hack nhờ một định dạng tập tin xuất hiện từ thập niên 1980

hiện nay.
Hãy cũng với Tip Techs khám phá thêm nhiều bài viết về
Máy Mac có thể bị hack nhờ một định dạng tập tin xuất hiện từ thập niên 1980

nhé.

Bài viết
Máy Mac có thể bị hack nhờ một định dạng tập tin xuất hiện từ thập niên 1980

đăng bởi vào ngày 2022-05-30 16:07:09. Cảm ơn bạn đã bỏ thời gian đọc bài tại Tips Tech

Nguồn: genk.vn

Xem thêm về
Máy Mac có thể bị hack nhờ một định dạng tập tin xuất hiện từ thập niên 1980

#Máy #Mac #có #thể #bị #hack #nhờ #một #định #dạng #tập #tin #xuất #hiện #từ #thập #niên
Lỗ hổng nay đã được vá này cho phép các hacker nhắm vào Microsoft Office thông qua Symbolic Link – một loại tập tin không phổ biến cho lắm trong hơn 30 năm qua.

#Máy #Mac #có #thể #bị #hack #nhờ #một #định #dạng #tập #tin #xuất #hiện #từ #thập #niên

Microsoft Office Macro từ lâu đã là một công cụ thô sơ nhưng hiệu quả nếu rơi vào tay các hacker: chỉ cần đánh lừa ai đó mở một tập tin đính kèm và bấm nút “Allow” để chạy macro, thì một tài liệu Word đơn giản cũng có thể khởi động một chuỗi mã lệnh nhằm dọn đường cho hacker chiếm quyền kiểm soát thiết bị. Dù mánh khoé macro này ngày càng được sử dụng rộng rãi hơn để nhắm vào Microsoft Office trên macOS, một hacker chuyên về Mac đã tìm ra một phương pháp âm thầm hơn, đáng tin cậy hơn, để tận dụng nó. Và chìa khoá nằm trong một định dạng tập tin khó hiểu đã xuất hiện từ 30 năm trước.Tại Hội thảo bảo mật Black Hat diễn ra vào hôm qua, cựu hacker NSA là Patrick Wardle đã nêu chi tiết về kỹ thuật mới, trong đó khai thác một loạt các lỗ hổng của Microsoft Office và macOS để chiếm quyền truy cập hoàn chỉnh vào máy Mac mục tiêu. Một trong những lỗi đó có liên quan đến cách Excel xử lý một loại tập tin đã lỗi thời gọi là Symbolic Link. SYLK không được sử dụng rộng rãi kể từ những năm 1980, nhưng nó có thể tạo ra một đường dẫn trong chuỗi nhằm qua mặt hoàn toàn những thiết lập giới hạn bảo mật đối với macro của Microsoft Office. Kết hợp với các lỗ hổng khác trong macOS, kỹ thuật của Wardle – vốn đã được Apple vá lại sau khi anh cảnh báo công ty vào đầu năm nay – sẽ cho phép hacker chiếm máy tính mục tiêu mà không phát ra cảnh báo nào ngay khi nạn nhân vừa bấm vào một tập tin đính kèm độc hại.”Hệ thống sẽ hoàn toàn bị kiểm soát và lây nhiễm” – Wardle, hiện là nhà nghiên cứu bảo mật tại công ty bảo mật Jamf, nói. “Và không có dấu hiệu nào cho thấy cuộc tấn công đang diễn ra”.Wardle nói rằng anh lần đầu tò mò về các cuộc tấn công macro nhằm vào Mac từ năm 2017, khi các công ty bảo mật bắt đầu cảnh báo về các mã macro nhắm vào khách hàng Apple thay vì các nạn nhân Windows thông thường. Nhiều cuộc tấn công macro nhắm vào Mac đã lộ diện trong năm 2018 và 2019, bao gồm việc Kaspersky phát hiện ra các hacker Triều Tiên sử dụng macro để đánh cắp tiền mã hoá từ người dùng Mac vào năm 2019. Khi Mac ngày càng phổ biến hơn ở các văn phòng, thì mối đe doạ từ các cuộc tấn công macro cũng nổi lên nhiều hơn.”Chúng ta thấy các nhóm hacker đang có hứng thú hơn với macro. Do đó tôi tự hỏi, mọi chuyện liệu có tồi tệ hơn không? Đây có phải một thứ chúng ta sẽ phải chú ý hơn, hay chỉ là trò phá phách nhất thời?” – Wardle nói. Thế là anh quyết định tìm hiểu xem liệu mình có thể tạo ra một cuộc tấn công macro mạnh mẽ hơn nhằm vào máy Mac hay không – một cuộc tấn công mà nạn nhân không cần phải bấm “Allow” và không bị đưa vào sandbox, vốn là một tính năng nhằm giới hạn quyền truy xuất vào phần còn lai của hệ thống của ứng dụng, ngăn ứng dụng đánh cắp tập tin hay cài đặt malware. “Làm việc tại NSA khiến đầu óc tôi trở nên đen tối và chứa đầy những ý tưởng độc địa” – Wardle nói. “Tôi về cơ bản muốn thực hiện một cuộc tấn công macro mà không thể bị cản trở”.Hồi tháng 10 năm ngoái, Wardle đã chứng kiến các nhà nghiên cứu người Hà Lan là Stan Hegt và Pieter Ceelen tiết lộ một lỗi thú vị trong Microsoft Word. Excel không hề cảnh báo người dùng trước khi chạy bất kỳ macro nào chứa trong một tập tin ở định dạng tập tin SYLK, một loại tập tin hầu như đã bị lãng quên nhưng vẫn tương thích với Microsoft Word. Mánh khoé này mặc định sẽ hiệu quả trên phiên bản Microsoft Office 2011, và vượt mặt được mọi cảnh báo liên quan macro. Nhưng trớ trêu thay nó còn hiệu quả với các phiên bản gần đây nếu người dùng hay admin thiết lập chương trình ở mức bảo mật nhất. Khi Excel được điều chỉnh để ngừng mọi macro mà không thông báo cho người dùng, nó thay vào đó lại chạy các macro trong tập tin SYLK một cách tự động.Hegt giải thích rằng lỗ hổng này bắt nguồn từ việc Microsoft sử dụng mã hoàn toàn khác biệt để quản lý các tập tin SYLK cũ thay vì mã được sử dụng để xử lý các định dạng tập tin mới hơn. “Có hai engine macro khác nhau trong một sản phẩm, và đó là một tình huống rất hấp dẫn để bắt đầu nghiên cứu” – Hegt nói.Bộ Microsoft Office 2011 dành cho máy MacCác nhà nghiên cứu người Hà Lan đã cảnh báo Microsoft về lỗ hổng, nhưng công ty không tung ra bản vá nào, một phần bởi các hacker sử dụng nó vẫn sẽ bị mắc kẹt trong sandbox của Microsoft Office. Nhưng Wardle nói rằng chỉ sau 2 ngày nghiên cứu, anh đã có thể liên kết một loạt các thủ thuật để phá vỡ vòng cách ly của Microsoft Office và đi vào phần còn lại của hệ thống.Chuỗi của Wardle bắt đầu với một lỗi đã biết nhưng chưa được vá, cho phép anh sử dụng một API để cấy một tập tin bên ngoài sandbox nếu nó có các ký tự “~$” ở đầu tên tập tin. Anh dự định sử dụng lỗi này để thêm vào một mục sẽ tự động chạy khi người dùng đăng nhập. Nhưng macOS có một biện pháp bảo mật khá cứng rắn khi chỉ cho phép chạy các mục đăng nhập đã được chứng nhận bởi Apple, và đã chặn con đường đó. Vì vậy, Wardle phát hiện ra anh có thể phá vỡ hàng rào chắn này bằng cách nén tập tin thành tập tin ZIP. Có nghĩa là Unarchiver, một ứng dụng có sẵn, sẽ chạy tự động và giải nén tập tin, để rồi nó sẽ cài đặt một “trình khởi động” có chức năng khởi chặn vào lần tiếp theo khi máy tính khởi động lại. Trình khởi động sau đó sẽ sử dụng công cụ dòng lệnh Bash để cài đặt và chạy bất kỳ malware nào theo ý muốn.Như vậy, một nạn nhân vô ý chỉ cần mở tập tin đính kèm độc hại một lần. Sau khi họ khởi động lại hoặc đăng xuất khỏi tài khoản trên máy Mac hai lần, malware sẽ chiếm quyền kiểm soát hoàn toàn máy tính. “Nó đòi hỏi người dùng phải đăng nhập lại hai lần” – Wardle nói. “Nhưng tôi có thể chờ được”.Wardle đã cảnh báo cả Microsoft và Apple về kỹ thuật hack của mình vào tháng 11 năm ngoái, và Apple đã tung một bản vá cho macOS 10.15.3 hồi đầu năm nay, tuy nhiên không công ty nào làm rõ những phần nào trong chuỗi lỗ hổng của Wardle đã được vá, và phần nào chưa. Ví dụ, Microsoft đã loại bỏ lỗi định dạng tập tin SYLK trong Microsoft Office, nhưng nói trong một bản tin rằng macro vẫn có thể được dùng để phá bỏ sandbox của Office trên macOS. “Chúng tôi đã điều tra và xác định được bất kỳ ứng dụng nào, kể cả khi đã bị đưa vào sandbox, vẫn có khả năng bị lợi dụng bởi các API kia. Chúng tôi đang thảo luận với Apple để đưa ra các giải pháp và hỗ trợ khi cần thiết.”Nhưng Wardle nói rằng nghiên cứu của anh nên được xem là một ví dụ cho thấy Microsoft Office dễ bị lợi dụng để tấn công thế nào – đặc biệt trên phiên bản dành cho Mac vốn ít được quan tâm hơn – và dự báo rằng sẽ còn nhiều cuộc tấn công macro nhằm vào Mac xảy ra. “Tôi ngạc nhiên vì mọi thứ quá dễ dàng” – anh nói. “Tôi có kinh nghiệm trong việc này, nhưng các nhóm hacker giàu tài nguyên cũng đã nghiên cứu nó và có những kỹ thuật tương tự, nếu không nói là hơn. Đây là một hướng tấn công rất rộng. Các hacker đủ tài nguyên và trí thông minh sẽ tìm mọi cách để chiếm quyền kiểm soát và tồn tại trên các hệ thống Mac”.”Việc anh ấy tạo ra một chuỗi khai thác được chắc chắn cho thấy vấn đề” – hacker Hà Lan Hegt nói. Anh này cho biết những lỗ hổng như SYLK vốn cho phép một cuộc tấn công macro diện rộng lên macOS, vẫn chưa được vá hết. “Tôi khá chắc là nếu bạn đào sâu vào Office, đặc biệt trên Mac, còn nhiều thứ hay ho nữa để khám phá đấy!”Tham khảo: WiredNăm 2013, Microsoft bị hack bởi … lỗ hổng bảo mật trên một cái máy Mac

Xem thêm:  Đây là chiếc giường "tối thượng" cho game thủ, ngủ dậy là chiến game luôn và ngay

#Máy #Mac #có #thể #bị #hack #nhờ #một #định #dạng #tập #tin #xuất #hiện #từ #thập #niên
Lỗ hổng nay đã được vá này cho phép các hacker nhắm vào Microsoft Office thông qua Symbolic Link – một loại tập tin không phổ biến cho lắm trong hơn 30 năm qua.

#Máy #Mac #có #thể #bị #hack #nhờ #một #định #dạng #tập #tin #xuất #hiện #từ #thập #niên

Microsoft Office Macro từ lâu đã là một công cụ thô sơ nhưng hiệu quả nếu rơi vào tay các hacker: chỉ cần đánh lừa ai đó mở một tập tin đính kèm và bấm nút “Allow” để chạy macro, thì một tài liệu Word đơn giản cũng có thể khởi động một chuỗi mã lệnh nhằm dọn đường cho hacker chiếm quyền kiểm soát thiết bị. Dù mánh khoé macro này ngày càng được sử dụng rộng rãi hơn để nhắm vào Microsoft Office trên macOS, một hacker chuyên về Mac đã tìm ra một phương pháp âm thầm hơn, đáng tin cậy hơn, để tận dụng nó. Và chìa khoá nằm trong một định dạng tập tin khó hiểu đã xuất hiện từ 30 năm trước.Tại Hội thảo bảo mật Black Hat diễn ra vào hôm qua, cựu hacker NSA là Patrick Wardle đã nêu chi tiết về kỹ thuật mới, trong đó khai thác một loạt các lỗ hổng của Microsoft Office và macOS để chiếm quyền truy cập hoàn chỉnh vào máy Mac mục tiêu. Một trong những lỗi đó có liên quan đến cách Excel xử lý một loại tập tin đã lỗi thời gọi là Symbolic Link. SYLK không được sử dụng rộng rãi kể từ những năm 1980, nhưng nó có thể tạo ra một đường dẫn trong chuỗi nhằm qua mặt hoàn toàn những thiết lập giới hạn bảo mật đối với macro của Microsoft Office. Kết hợp với các lỗ hổng khác trong macOS, kỹ thuật của Wardle – vốn đã được Apple vá lại sau khi anh cảnh báo công ty vào đầu năm nay – sẽ cho phép hacker chiếm máy tính mục tiêu mà không phát ra cảnh báo nào ngay khi nạn nhân vừa bấm vào một tập tin đính kèm độc hại.”Hệ thống sẽ hoàn toàn bị kiểm soát và lây nhiễm” – Wardle, hiện là nhà nghiên cứu bảo mật tại công ty bảo mật Jamf, nói. “Và không có dấu hiệu nào cho thấy cuộc tấn công đang diễn ra”.Wardle nói rằng anh lần đầu tò mò về các cuộc tấn công macro nhằm vào Mac từ năm 2017, khi các công ty bảo mật bắt đầu cảnh báo về các mã macro nhắm vào khách hàng Apple thay vì các nạn nhân Windows thông thường. Nhiều cuộc tấn công macro nhắm vào Mac đã lộ diện trong năm 2018 và 2019, bao gồm việc Kaspersky phát hiện ra các hacker Triều Tiên sử dụng macro để đánh cắp tiền mã hoá từ người dùng Mac vào năm 2019. Khi Mac ngày càng phổ biến hơn ở các văn phòng, thì mối đe doạ từ các cuộc tấn công macro cũng nổi lên nhiều hơn.”Chúng ta thấy các nhóm hacker đang có hứng thú hơn với macro. Do đó tôi tự hỏi, mọi chuyện liệu có tồi tệ hơn không? Đây có phải một thứ chúng ta sẽ phải chú ý hơn, hay chỉ là trò phá phách nhất thời?” – Wardle nói. Thế là anh quyết định tìm hiểu xem liệu mình có thể tạo ra một cuộc tấn công macro mạnh mẽ hơn nhằm vào máy Mac hay không – một cuộc tấn công mà nạn nhân không cần phải bấm “Allow” và không bị đưa vào sandbox, vốn là một tính năng nhằm giới hạn quyền truy xuất vào phần còn lai của hệ thống của ứng dụng, ngăn ứng dụng đánh cắp tập tin hay cài đặt malware. “Làm việc tại NSA khiến đầu óc tôi trở nên đen tối và chứa đầy những ý tưởng độc địa” – Wardle nói. “Tôi về cơ bản muốn thực hiện một cuộc tấn công macro mà không thể bị cản trở”.Hồi tháng 10 năm ngoái, Wardle đã chứng kiến các nhà nghiên cứu người Hà Lan là Stan Hegt và Pieter Ceelen tiết lộ một lỗi thú vị trong Microsoft Word. Excel không hề cảnh báo người dùng trước khi chạy bất kỳ macro nào chứa trong một tập tin ở định dạng tập tin SYLK, một loại tập tin hầu như đã bị lãng quên nhưng vẫn tương thích với Microsoft Word. Mánh khoé này mặc định sẽ hiệu quả trên phiên bản Microsoft Office 2011, và vượt mặt được mọi cảnh báo liên quan macro. Nhưng trớ trêu thay nó còn hiệu quả với các phiên bản gần đây nếu người dùng hay admin thiết lập chương trình ở mức bảo mật nhất. Khi Excel được điều chỉnh để ngừng mọi macro mà không thông báo cho người dùng, nó thay vào đó lại chạy các macro trong tập tin SYLK một cách tự động.Hegt giải thích rằng lỗ hổng này bắt nguồn từ việc Microsoft sử dụng mã hoàn toàn khác biệt để quản lý các tập tin SYLK cũ thay vì mã được sử dụng để xử lý các định dạng tập tin mới hơn. “Có hai engine macro khác nhau trong một sản phẩm, và đó là một tình huống rất hấp dẫn để bắt đầu nghiên cứu” – Hegt nói.Bộ Microsoft Office 2011 dành cho máy MacCác nhà nghiên cứu người Hà Lan đã cảnh báo Microsoft về lỗ hổng, nhưng công ty không tung ra bản vá nào, một phần bởi các hacker sử dụng nó vẫn sẽ bị mắc kẹt trong sandbox của Microsoft Office. Nhưng Wardle nói rằng chỉ sau 2 ngày nghiên cứu, anh đã có thể liên kết một loạt các thủ thuật để phá vỡ vòng cách ly của Microsoft Office và đi vào phần còn lại của hệ thống.Chuỗi của Wardle bắt đầu với một lỗi đã biết nhưng chưa được vá, cho phép anh sử dụng một API để cấy một tập tin bên ngoài sandbox nếu nó có các ký tự “~$” ở đầu tên tập tin. Anh dự định sử dụng lỗi này để thêm vào một mục sẽ tự động chạy khi người dùng đăng nhập. Nhưng macOS có một biện pháp bảo mật khá cứng rắn khi chỉ cho phép chạy các mục đăng nhập đã được chứng nhận bởi Apple, và đã chặn con đường đó. Vì vậy, Wardle phát hiện ra anh có thể phá vỡ hàng rào chắn này bằng cách nén tập tin thành tập tin ZIP. Có nghĩa là Unarchiver, một ứng dụng có sẵn, sẽ chạy tự động và giải nén tập tin, để rồi nó sẽ cài đặt một “trình khởi động” có chức năng khởi chặn vào lần tiếp theo khi máy tính khởi động lại. Trình khởi động sau đó sẽ sử dụng công cụ dòng lệnh Bash để cài đặt và chạy bất kỳ malware nào theo ý muốn.Như vậy, một nạn nhân vô ý chỉ cần mở tập tin đính kèm độc hại một lần. Sau khi họ khởi động lại hoặc đăng xuất khỏi tài khoản trên máy Mac hai lần, malware sẽ chiếm quyền kiểm soát hoàn toàn máy tính. “Nó đòi hỏi người dùng phải đăng nhập lại hai lần” – Wardle nói. “Nhưng tôi có thể chờ được”.Wardle đã cảnh báo cả Microsoft và Apple về kỹ thuật hack của mình vào tháng 11 năm ngoái, và Apple đã tung một bản vá cho macOS 10.15.3 hồi đầu năm nay, tuy nhiên không công ty nào làm rõ những phần nào trong chuỗi lỗ hổng của Wardle đã được vá, và phần nào chưa. Ví dụ, Microsoft đã loại bỏ lỗi định dạng tập tin SYLK trong Microsoft Office, nhưng nói trong một bản tin rằng macro vẫn có thể được dùng để phá bỏ sandbox của Office trên macOS. “Chúng tôi đã điều tra và xác định được bất kỳ ứng dụng nào, kể cả khi đã bị đưa vào sandbox, vẫn có khả năng bị lợi dụng bởi các API kia. Chúng tôi đang thảo luận với Apple để đưa ra các giải pháp và hỗ trợ khi cần thiết.”Nhưng Wardle nói rằng nghiên cứu của anh nên được xem là một ví dụ cho thấy Microsoft Office dễ bị lợi dụng để tấn công thế nào – đặc biệt trên phiên bản dành cho Mac vốn ít được quan tâm hơn – và dự báo rằng sẽ còn nhiều cuộc tấn công macro nhằm vào Mac xảy ra. “Tôi ngạc nhiên vì mọi thứ quá dễ dàng” – anh nói. “Tôi có kinh nghiệm trong việc này, nhưng các nhóm hacker giàu tài nguyên cũng đã nghiên cứu nó và có những kỹ thuật tương tự, nếu không nói là hơn. Đây là một hướng tấn công rất rộng. Các hacker đủ tài nguyên và trí thông minh sẽ tìm mọi cách để chiếm quyền kiểm soát và tồn tại trên các hệ thống Mac”.”Việc anh ấy tạo ra một chuỗi khai thác được chắc chắn cho thấy vấn đề” – hacker Hà Lan Hegt nói. Anh này cho biết những lỗ hổng như SYLK vốn cho phép một cuộc tấn công macro diện rộng lên macOS, vẫn chưa được vá hết. “Tôi khá chắc là nếu bạn đào sâu vào Office, đặc biệt trên Mac, còn nhiều thứ hay ho nữa để khám phá đấy!”Tham khảo: WiredNăm 2013, Microsoft bị hack bởi … lỗ hổng bảo mật trên một cái máy Mac

Xem thêm:  Genshin Impact song kiếm hợp bích cùng OnePlus khi ra sản phẩm mới

Trần Tiến

Tôi là một người yêu công nghệ và đã có hơn 5 năm trong việc mày mò về máy tính. Mong rằng những chia sẻ về thông tin và thủ thuật công nghệ của tôi hữu ích đối với bạn.
Back to top button