<h1>งานวิจัยแพร่กระจายมัลแวร์ผ่าน torrent โดยใช้ไฟล์ที่มีค่าแฮช SHA-1 ตรงกัน</h1>
ค่าแฮช (hash) เป็นสิ่งที่ใช้ระบุยืนยันคุณลักษณะเฉพาะของข้อมูล ซึ่งได้จากการนำข้อมูลไปคำนวณโดยใช้ฟังก์ชันทางคณิตศาสตร์เพื่อให้ได้ผลลัพธ์ออกมาเป็นค่าหนึ่ง โดยหลักการแล้วข้อมูลที่ไม่เหมือนกันจะมีค่าแฮชที่ไม่ซ้ำกัน แต่จากข้อจำกัดของขนาดผลลัพธ์ค่าแฮช ทำให้ฟังก์ชันแฮชบางรูปแบบ ถึงแม้จะใช้ข้อมูลเริ่มต้นเป็นคนละชุดแต่ก็อาจคำนวณค่าแฮชออกมาตรงกันได้ ปัญหาลักษณะนี้เรียกว่า hash collision

เมื่อปลายเดือนกุมภาพันธ์ 2560 ทาง Google ได้เผยแพร่งานวิจัยทดลองสร้างไฟล์สองไฟล์ที่มีค่าแฮช SHA-1 ซ้ำกันขึ้นมาได้ (<a href="https://shattered.io/">https://shattered.io/</a>) ซึ่งงานวิจัยนี้ทำได้สำเร็จเร็วกว่าที่คาดการณ์กันไว้ก่อนหน้านี้เป็นเวลาหลายปี

เนื่องจากค่าแฮชนิยมใช้ในการระบุว่าข้อมูลไม่ซ้ำกัน ระบบหรือซอฟต์แวร์จำนวนมากจึงนิยมใช้ค่าแฮชในการแยกไฟล์ อย่างไรก็ตาม หากค่าแฮชที่ใช้นั้นสามารถเกิด collision ได้ง่าย ก็จะเกิดปัญหาว่าสามารถถูกแทรกไฟล์อื่นที่มีค่าแฮชตรงกันเข้ามาโดยที่เนื้อหาของไฟล์เป็นคนละแบบกันได้

Torrent เป็นรูปแบบการแชร์ข้อมูลผ่านเครือข่ายโดยไม่จำเป็นต้องมีเซิร์ฟเวอร์กลาง รูปแบบการแชร์ข้อมูลโดยปกติจะเป็นการแชร์ผ่านไฟล์ .torrent โดยลักษณะของข้อมูลที่ระบุในไฟล์ .torrent จะเป็นการแบ่งเนื้อหาของแต่ละไฟล์ออกเป็นบล็อค บล็อคละ 32kb แล้วคำนวณค่า SHA-1 ของแต่ละบล็อคเพื่อใช้เปรียบเทียบความถูกต้องในขณะดาวน์โหลด

นักวิจัยพบว่าสามารถสร้างไฟล์ .exe สองไฟล์ที่มีเนื้อหาคนละแบบกับ แต่มีค่าแฮช SHA-1 ตรงกันได้ โดยหนึ่งในนั้นเป็นไฟล์ .exe ที่มีโค้ดมัลแวร์ จากนั้นสร้างไฟล์ .torrent เพื่อดาวน์โหลดไฟล์ .exe ดังกล่าวได้ สิ่งที่เกิดขึ้นคือ ผู้ประสงค์ร้ายสามารถใช้วิธีนี้เผยแพร่ไฟล์ .torrent จากนั้นเมื่อมีผู้เริ่มดาวน์โหลดไฟล์ ผู้ประสงค์ร้ายจะเปลี่ยนสลับไฟล์ .exe ที่เป็นมัลแวร์ออกมาให้ดาวน์โหลดแทน ซึ่งในฝั่งผู้ดาวน์โหลดไฟล์จะไม่พบความผิดปกติใดๆ เพราะระบบตรวจสอบแล้วพบว่าค่าแฮช SHA-1 ของทั้งสองไฟล์ตรงกัน

นักวิจัยเรียกการโจมตีแบบนี้ว่า BitErrant attack และได้เผยแพร่ข้อมูลงานวิจัยพร้อมเครื่องมือสำหรับสร้างไฟล์ .torrent ในลักษณะดังกล่าวให้ดาวน์โหลดได้ฟรีผ่านเว็บไซต์ <a href="http://biterrant.io/">http://biterrant.io/</a> อย่างไรก็ตาม ยังไม่พบรายงานว่าการโจมตีด้วยวิธีนี้ถูกนำมาใช้จริง

<strong>ที่มา: <a href="http://thcert.co/ag2L58">Bleeping Computer</a> l <a href="https://www.thaicert.or.th/newsbite/2017-03-07-02.html#2017-03-07-02">ThaiCERT</a></strong>