Sandbox của IE vẫn bị phá vỡ

Sau hơn 4 năm phát triển, sandbox của IE nhằm chống lại các cuộc tấn công độc hại dựa trên nền tảng web bởi các mã khai thác cách mà thường được sử dụng trong các cuộc tấn công “Watering Hole” vẫn dễ dàng bị vượt qua.

Có một cách rất đơn giản để khai thác IE và dễ dàng qua mặt sandbox trong hầu hết các phiên bản của Internet Explorer. Microsoft đã thông báo rằng họ chưa có kế hoạch nào để vá lỗ hổng này. Cơ chế lợi dụng của lỗ hổng đã được đưa ra trong một blog vào thứ năm vừa qua kèm theo các gợi ý vô cùng dễ dàng cho các mã độc xâm nhập vào máy tính của người dùng.

Sandbox được tích hợp sẵn trong IE và Google Chrome, rất hiệu quả để chống lại các phần mềm độc hại. Các phần mềm độc hại thường khai thác bằng 2 cách, một là xuyên thủng sandbox và hai là nhắm tới các lỗ hổng trong phần xử lý của trình duyệt.

“Cơ chế xâm nhập này khiến kẻ tấn công có rất nhiều điều khiện thuận lợi để khai thác người dùng, cho phép hacker có quyền truy cập sâu hơn vào hệ thống, cao hơn mức bình thường trong IE hoặc vượt qua được cơ chế SandBox trong IE” theo Robert “Rsnake” Hansen, phó chủ tịch công ty bảo mật WhiteHat Labs.

Được biết đến với tính năng “Protect Mode”, các trang web mà bạn truy cập đều được chạy trong môi trường Sandbox. Quyền truy cập của trang web này đối với chương trình khác sẽ bị hạn chế và chỉ được chạy trong trình duyệt cũng như chỉ được can thiệp vào một phần nhỏ tài nguyên hệ thống. Những cuộc tấn công chỉ có thể khai thác để tạo ra các cuộc tấn công từ chối dịch vụ hay cài đặt những đoạn mã độc để tự động gửi tin rác. Thông thường thì chúng khó có thể tồn tại và lấy được nhiều quyền truy cập đối với hệ thống nó nhắm tới. Theo nghiên cứu của HP, tìm ra một cách dễ dàng để biến những mã tấn công thành những tiến trình có “mức độ tin cậy trung bình” được cấp cho người dùng Windows. Phương pháp tấn công trên được chứng minh lần đầu tiên bởi các nhà nghiên cứu đến từ Verizon năm 2010, khi mà IE 7 đang được ưa chuộng để sử dụng. Các nhà nghiên cứu của công ty HP cũng đóng góp một phần khi đưa ra những bằng chứng về sự tồn tại của lỗ hổng.

Phương pháp tấn công bao gồm việc thiết lập một trang web giả mạo thực hiện những công việc đáng tin cậy và khai thác lỗ hổng tại địa chỉ localhost của máy tính vốn được sử dụng để giao tiếp với những dịch vụ trong hệ thống. Bằng cách này, mã độc được thực thi với “mức độ tin cậy trung bình” và không phải đi qua sandbox. Cách tấn công này hoạt động trên hầu hết các trình duyệt IE trừ IE 11 trên Windows 8.1 do có tính năng Enhanced Protected Mode. Mặc định, tính năng bảo vệ Enhanced Protected Mode chống lại các xâm nhập được kích hoạt sẵn khi người dùng khởi chạy Internet Explorer 10 và 11 ở giao diện Modern UI. Nhưng với giao diện Desktop Mode, bạn sẽ phải tự mình kích hoạt tính năng này.

Microsoft không cho rằng đó là lỗ hổng bảo mật đối với tính năng Protected Mode. Protected Mode là một tính năng bảo vệ tích hợp sâu được giới thiệu từ Internet Explorer 7 năm 2006 và được phát triển thành Enhanced Protected Mode năm 2012. Enhanced Protected Mode là một tính năng mới trong Internet Explorer 11, chạy trên Windows 8.1, hoàn toàn xử lý được vấn đề trên. Phương pháp tấn công này không thể dùng để làm hại khả năng bảo mật của người dùng.

Một vài nghiên cứu khác

HD Moore, trưởng nhóm nghiên cứu tại Rapid7 cho rằng những nhà quản trị mạng nên chịu trách nhiệm trong việc hướng người dùng đến những trình duyệt web bảo mật hơn như Chrome, và tìm kiếm một cách thức bảo vệ sandbox khác cho những ai buộc phải dùng Internet Explorer. Những phần mềm sandbox của bên thứ 3 như Sandboxie và Invincea là những ứng cử viên sang giá.

“Kích hoạt những tiến trình có “mức độ tin cậy trung bình” là một vấn đề rất nghiêm trọng trong 4 vấn đề chính gặp phải của Internet Explorer.  Bạn không cần thiết phải yêu cầu một API (giao diện lập trình ứng dụng) để bảo vệ hay phải đối mặt với những lỗ hổng bảo mật này. Đơn giản hãy chuyển qua những cách khác liên quan đến JavaScript, Page reload …vv  nhà nghiên cứu công ty HP cho biết.