<span class="headnews"><strong><span style="font-size: medium;">นักวิจัยสาธิตการโจมตีช่องโหว่ใน UEFI ปลอมไฟล์อัปเดตเพื่อยึดเครื่องเรียกค่าไถ่</span></strong></span>

นักวิจัยด้านความมั่นคงปลอดภัยจากบริษัท Cylance ได้นำเสนอในงาน Black Hat Asia 2017 เรื่องการฝังมัลแวร์ลงไปใน UEFI ของเครื่องคอมพิวเตอร์ โดยในงานได้สาธิตตัวอย่างการฝังมัลแวร์เรียกค่าไถ่ซึ่งทำให้ผู้ใช้ไม่สามารถเปิดเครื่องขึ้นมาใช้งานได้เลยจนกว่าจะใส่รหัสปลดล็อก

อุปกรณ์ที่ถูกใช้ในการโจมตีคือ Gigabyte BRIX ซึ่งเป็นพีซีขนาดมินิสำหรับใช้ในงานที่ต้องการประหยัดพื้นที่ เช่น โรงงานทดสอบชิ้นส่วนรถยนต์ ตู้ ATM ตู้ขายสินค้าอัตโนมัติ เป็นต้น (อ้างอิงข้อมูลจากเว็บไซต์ Gigabyte) โดยรุ่นที่พบว่ามีช่องโหว่คือ GB-BSi7H-6500 และ GB-BXi7-5775

ช่องโหว่ที่พบนี้อยู่ในระบบอัปเดตเฟิร์มแวร์ UEFI โดยระบบดังกล่าวไม่มีการตรวจสอบความถูกต้องของไฟล์อัปเดต และไม่มีการป้องกันการอัปเดตโดยไม่ได้รับอนุญาต ส่งผลให้ผู้ใช้ที่ได้สิทธิ์ผู้ดูแลระบบ (ได้บัญชีผู้ดูแลระบบหรือใช้ช่องโหว่ที่สามารถยกระดับสิทธิ์ได้) สามารถติดตั้งเฟิร์มแวร์ UEFI ปลอมได้ โดยภายในงานได้มีการสาธิตการส่งมัลแวร์ฝังไปกับไฟล์ Microsoft Word ซึ่งทันที่ที่ผู้ใช้เปิดไฟล์ดังกล่าว ก็จะถูกติดตั้งมัลแวร์เรียกค่าไถ่ลงใน UEFI ของเครื่องคอมพิวเตอร์ทันที

ทาง Gigabyte รับทราบและได้แก้ไขปัญหานี้แล้ว โดยในรุ่น GB-BSi7H-6500 จะมีเฟิร์มแวร์เวอร์ชัน F7 ออกมาให้อัปเดตเพื่อแก้ไขปัญหาดังกล่าว แต่รุ่น GB-BXi7-5775 นั้นได้สิ้นสุดการสนับสนุนไปแล้ว จึงไม่มีวิธีอัปเดตและแก้ไขช่องโหว่

การโจมตีช่องโหว่เพื่อฝังมัลแวร์ลงในเฟิร์มแวร์ (BIOS/UEFI) ของตัวอุปกรณ์นั้นเคยมีมาก่อนหน้านี้แล้ว ทั้งในรูปแบบงานวิจัยและเครื่องมือสำหรับใช้ในการโจมตีจริง

<strong>ที่มา:</strong> <a href="http://thcert.co/l5OjGP">CERT</a> l <a href="http://thcert.co/n6m5Vr">Cylance</a> l <a href="http://thcert.co/Y9t5HG">Slide</a> l <a href="https://www.thaicert.or.th/newsbite/2017-04-03-02.html#2017-04-03-02">ThaiCERT</a>