Giới thiệu về BlackLotus
BlackLotus là mã độc được Kaspersky cho vào diện theo dõi chặt chẽ vào tháng 10/2022 và thu hút chú ý của truyền thông. Tương tự với mã độc BootHole công bố trong lỗ hổng CVE-2020-10713, BlackLotus được công bố trong CVE-2022-21894 là một dạng mã độc tiên tiến có khả năng vượt qua sự bảo vệ của trình khởi động an toàn (Windows Secure Boot) của hệ điều hành (HĐH) Windows với cơ chế “Baton Drop” để hướng tới việc kiểm soát thiết bị ngay từ khi khởi động.
Microsoft đã phát hành bản vá cho các HĐH Windows bị ảnh hưởng để sửa quy trình hoạt động của trình khởi động. Tuy nhiên, kể cả khi bản vá mới này được ban hành thì cơ sở dữ liệu danh sách phần mềm bị cấm khi khởi động (Secure Boot Deny List Database - DBX) của Windows vẫn tin tưởng vào các trình khởi động cũ chưa được vá lỗ hổng. Vì vậy, quản trị viên có thể coi rằng lỗ hổng trong trình khởi động này vẫn chưa được khắc phục hoàn toàn do các trình khởi động tồn tại “Baton Drop” vẫn được tin tưởng sử dụng.
BlackLotus giúp cho kẻ tấn công có thể kiểm soát hoàn toàn được hoạt động của trình khởi động trong HĐH máy mục tiêu, từ đó can thiệp được vào các cơ chế bảo mật của HĐH và tiến tới việc leo thang đặc quyền.
Điều đáng chú ý BlackLotus không phải là mã độc trong firmware mà là mã độc phần mềm chạy đầu tiên trong trình khởi động. Điều này giúp BlackLotus có khả năng trốn tránh các giải pháp tìm quét và duy trì lâu dài trên máy mục tiêu. Vì vậy, có một số tổ chức đã gọi mã độc này là: “unstoppable - không thể dừng lại” hay “unpatchable - không thể vá”.
Khuyến nghị của NSA
NSA đưa ra 4 khuyến nghị đối với quản trị viên và người dùng HĐH Windows để có thể chủ động phòng tránh mã độc BlackLotus. Cụ thể là:
- Cập nhật bản vá mới nhất của Microsoft: Bản vá mới nhất tháng 5/2023 chứa các tùy chọn phần mềm được giảm thiểu cho trình khởi động và nhân HĐH để chống lại BlackLotus.
- Cấu hình cài đặt các phần mềm phòng thủ cho phép kiểm tra, ngăn chặn các thay đổi đối với phân vùng khởi động EFI (Extensible Firmware Interface): Hoạt động BlackLotus có mục tiêu là thay thế một trình khởi động EFI cũ đã vô hiệu hóa quá trình kiểm tra toàn vẹn bộ nhớ, vô hiệu hóa BitLocker tới phân vùng ổ đĩa khởi động và sau đó khởi động lại thiết bị để chạy trình khởi động này. Vì vậy việc cài đặt phần mềm phòng thủ có khả năng kiểm tra và ngăn cấm sự thay đổi không hợp lệ của trình khởi động EFI giúp ngăn chặn được BlackLotus. Các phần mềm này có thể là EDR (Endpoint Detection and Response), bộ phần mềm bảo mật cho thiết bị Endpoint…
- Giám sát tính toàn vẹn hoặc bất kỳ sự thay đổi bất thường nào của phân vùng khởi động EFI: Các sản phẩm bảo mật cho thiết bị EndPoint và giám sát firmware cung cấp tính năng kiểm tra tính toàn vẹn của phân vùng khởi động EFI. Các công cụ này giúp tìm ra các thay đổi bất thường trong bootmgfw.efi, bootmgr.efi hay các dữ liệu thêm vào khác thường trong mã nhị phân EFI (ví dụ shimx64.efi hoặc grubx64.efi). Nếu có các thay đổi bất thường trong phân vùng EFI thì cần cài đặt luật để ngăn cấm hoặc hạn chế việc khởi động của thiết bị.
- Tùy chỉnh trình UEFI Secure Boot để chặn các trình khởi động phiên bản cũ của Windows: Tiến hành cập nhật cơ sở dữ liệu DBX với việc thêm dữ liệu là các mã băm của các trình khởi động cũ có chứa lỗ hổng và xóa bỏ chứng thư số Microsoft Windows Production CA 2011 trên các thiết bị. Khuyến nghị này chỉ dành cho chuyên gia an ninh mạng và quản trị viên có kinh nghiệm.
Đinh Văn Hùng
(Học viện Kỹ thuật mật mã)
14:00 | 21/06/2023
16:00 | 21/07/2023
12:00 | 14/08/2023
09:00 | 16/06/2023
08:00 | 19/01/2024
11:00 | 21/03/2023
10:00 | 10/04/2024
Bộ Y tế Hoa Kỳ đã đưa ra cảnh báo rằng tin tặc hiện đang sử dụng các chiến thuật lừa đảo để nhắm mục tiêu vào các bộ phận trợ giúp công nghệ thông tin (CNTT) trong lĩnh vực Chăm sóc sức khỏe và Y tế Công cộng.
16:00 | 15/03/2024
Hàng năm, Microsoft phát hành Báo cáo phòng thủ kỹ thuật số. Đây là một bản đánh giá toàn diện về bối cảnh các mối đe dọa toàn cầu và các xu hướng lớn nhất trong lĩnh vực an ninh mạng. Năm 2023 tiếp tục ghi nhận sự gia tăng các mối đe dọa mạng cả về độ tinh vi cũng như tốc độ và quy mô, gây tổn hại đến các nhóm dịch vụ, thiết bị và người dùng. Các chuyên gia của Microsoft tin rằng trí tuệ nhân tạo (AI) có thể giúp tạo ra một sân chơi bình đẳng nhưng các nhóm bảo mật cần phải có hiểu biết sâu sắc và nguồn lực cần thiết để tận dụng tối đa tiềm năng của công nghệ này.
10:00 | 21/02/2024
Bộ Ngoại giao Hoa Kỳ đang treo giải thưởng lên tới 10 triệu USD cho thông tin dẫn đến việc nhận dạng hoặc vị trí của bất kỳ cá nhân nào giữ vị trí lãnh đạo chủ chốt của nhóm tin tặc xuyên quốc gia ALPHV/Blackcat. Ngoài ra, phần thưởng lên tới 5 triệu USD được đưa ra cho thông tin dẫn đến việc bắt giữ hoặc kết án ở bất kỳ quốc gia nào đối với bất kỳ cá nhân nào âm mưu tham gia hoặc cố gắng tham gia vào các hoạt động của nhóm tin tặc này.
13:00 | 20/02/2024
Hệ thống thi thử trực tuyến của cuộc thi "Học sinh với an toàn thông tin" mùa thứ ba dự kiến được mở cho học sinh trung học cơ sở cả nước tập dượt từ đầu tháng 3, trước khi bước vào các vòng thi chính thức.
Hội nghị quốc tế lần thứ 12 Lãnh đạo cấp cao phụ trách an ninh được tổ chức dựa trên sự cần thiết vì nó mở ra cơ hội để trao đổi kinh nghiệm, tìm kiếm những cách tiếp cận mới và các giải pháp tổng hợp chung cho các vấn đề cấp bách về an ninh khu vực và toàn cầu.
09:00 | 28/04/2024
Trong 02 ngày 25-26/4, Đoàn công tác của Ban Cơ yếu Chính phủ do đồng chí Nguyễn Hữu Hùng, Phó Trưởng ban làm Trưởng đoàn đã đến thăm và làm việc với các Tỉnh ủy: Đồng Nai, Bình Dương và Bình Phước về công tác cơ yếu, bảo mật và an toàn thông tin.
19:00 | 30/04/2024
Công ty được mệnh danh là “Google của Trung Quốc” - Baidu cho biết chatbot AI của hãng này, Ernie Bot đã có hơn 200 triệu người dùng trong bối cảnh cạnh tranh ngày càng khốc liệt.
19:00 | 30/04/2024