ระวังช่องโหว่ ซอฟต์แวร์ไฟล์เอกสาร

โดย แคสเปอร์สกี้ แลป

ผู้เชี่ยวชาญของแคสเปอร์สกี้ แลป ค้นพบฟีเจอร์ในซอฟต์แวร์สร้างเอกสารยอดนิยม ถูกใช้โดยมิจฉาชีพเป็นช่องทางโจมตีแบบมีเป้าหมาย โดยใช้แอพพลิเคชั่นร้ายที่จะเริ่มการทำงานเมื่อเอกสารออฟฟิศธรรมดาๆ ถูกเปิดขึ้น จากนั้นข้อมูลเกี่ยวกับซอฟต์แวร์ที่มีติดตั้งอยู่บนเครื่องของเหยื่อจะถูกส่งต่อไปยังมิจฉาชีพโดยอัตโนมัติ พวกมิจฉาชีพจึงเข้าใจเครื่องของเหยื่อมากขึ้น และสามารถเลือกใช้ Exploit ที่เหมาะจะเจาะเข้าเป้าหมายอย่างได้ผล

มัลแวร์เหล่านี้มีเทคนิคการโจมตีได้ทั้งบนเดสก์ท็อปและเครื่องโมบาย ไม่ว่าไฟล์เอกสารธรรมดาๆ นั้นจะเปิดขึ้นมาบนอุปกรณ์ประเภทใดก็ตาม

แคสเปอร์สกี้ แลปสังเกตพบว่ารูปแบบการเหวี่ยงแหหาโปรไฟล์ของเหยื่อด้วยวิธีการเช่นนี้ ตัวแอ็กเตอร์จารกรรมไซเบอร์ ที่ทางแคสเปอร์สกี้ แลป เรียกว่า FreakyShelly เป็นตัวที่ใช้วิธีการนี้ และได้แจ้งเตือนไปยังซอฟต์แวร์เวนเดอร์แล้ว แต่ยังมิได้ทำการแก้ไขช่องโหว่เหล่านั้นให้เป็นที่เรียบร้อยแต่อย่างใด

ผู้เชี่ยวชาญของแคสเปอร์สกี้ แลปเคยตรวจจับการส่งอีเมลแบบ สเปียร์ฟิชชิ่งที่มีเอกสารในฟอร์แมต OLE2 ในช่วงที่กำลังสืบสวนการโจมตีแบบมีเป้าหมาย FreakyShelly อยู่ (ใช้เทคโนโลยี Object Linking และ Embedding ที่ช่วยบรรดาแอพทั้งหลายในการสร้าง Compound Documents ที่ภายในมีข้อมูลจากแหล่งที่ต่างกัน รวมทั้งที่มาจากอินเทอร์เน็ต)

จากการดูคร่าวๆ พบว่าตัวไฟล์นั้นไม่ได้น่าสงสัยหรือไม่น่าวางใจ เป็นไฟล์ที่มีเซตคำแนะนำวิธีการใช้กูเกิลเสิร์ชเอนจิ้นให้ได้ประโยชน์สูงสุดที่ดูเป็นประโยชน์ดีอยู่ แต่ไฟล์กลับแฝง Exploit หรือแมคโครไม่ดีที่ไม่เป็นที่รู้จักอยู่ด้วย และเมื่อศึกษาพฤติกรรมของไฟล์เอกสารเช่นนี้พบว่า เมื่อเปิดไฟล์เอกสาร จะทำการส่ง GET รีเควสต์เฉพาะ ไปหาเว็บเพจที่อยู่ภายนอกองค์กร ซึ่งเป็น GET รีเควสต์ที่มีข้อมูลเกี่ยวกับเบราเซอร์ และเวอร์ชั่นของระบบปฏิบัติการ ข้อมูลซอฟต์แวร์ที่อยู่บนเครื่องหรืออุปกรณ์ที่เปิดไฟล์เอกสารนั้นที่ได้ตกเป็นเหยื่อไปแล้ว ปัญหาคือเว็บเพจที่เอกสารได้ส่งรีเควสต์ไปนั้นไม่ใช่ที่ที่จะต้องส่งรีเควสต์ไป

สาเหตุที่การคุกคามเช่นนี้ได้ผล เพราะวิธีการประมวลผลข้อมูลเทคนิคอลขององค์ประกอบที่อยู่ในไฟล์และการเก็บข้อมูลนั่นเอง ไฟล์เอกสารแต่ละไฟล์จะประกอบด้วยเมตาดาต้าเฉพาะตัว เช่น สไตล์ เท็กซ์โลเกชั่นและต้นทาง รูปภาพประกอบในเอกสาร (ถ้ามี) มาจากที่ใด และพารามิเตอร์แวดล้อมอื่นๆ เป็นต้น เมื่อเปิดไฟล์ขึ้น ออฟฟิศแอพพลิเคชั่นจะอ่านค่าเหล่านี้ จากนั้นสร้างแปลน หรือ "Map" โดยอิงค่าพารามิเตอร์เหล่านี้ ซึ่งเป็นช่องทางที่มิจฉาชีพไซเบอร์จะเปลี่ยนโค้ดและส่งรายงานกลับไปยังเว็บเพจของผู้กระทำการนั่นเอง

"แม้ว่าฟีเจอร์ที่ถูกค้นพบนี้จะไม่ใช่ตัวเปิดฉากโจมตีของมัลแวร์ แต่ก็มีอันตรายมาก เพราะเป็นตัวสนับสนุนการคุกคามโดยที่ยูสเซอร์เจ้าของเครื่องไม่ต้องทำอะไรเลย แถมยังแพร่กระจายสู่คนหมู่มากได้ทั่วโลกด้วยช่วงระยะเวลาอันสั้น ด้วยความที่ซอฟต์แวร์เอกสารที่ว่านี้เป็นที่นิยมใช้กันทั่วไปนั่นเอง ยังดีที่ตอนนี้เราพบว่ามีการใช้ฟีเจอร์นี้เพียงครั้งเดียว แต่น่ากังวลใจเพราะว่าฟีเจอร์นี้ตรวจจับได้ยาก จึงคาดเดาได้ว่ามิจฉาชีพไซเบอร์จ้องหาทางใช้เทคนิคในอนาคตอันใกล้" อเล็กซานเดอร์ ลิสคิน ผู้จัดการกลุ่ม Heuristic Detection Group แคสเปอร์สกี้ แลป กล่าว

ผลิตภัณฑ์ของแคสเปอร์สกี้ แลปตรวจจับและบล็อกกั้นการคุกคามได้ด้วยการใช้เทคนิคต่อไปนี้ และเพื่อช่วยลดอัตราการตกเป็นเหยื่อของฟีเจอร์ดังกล่าว พร้อมแนะนำว่า ควรหลีกเลี่ยงการเปิดอีเมลที่ส่งมาจากแอดเดรสที่ไม่รู้จักคุ้นเคย และหลีกเลี่ยงการเปิดเอกสารที่แนบมากับ อีเมลนั้นๆ และติดตั้งใช้โซลูชั่นเพื่อความปลอดภัยที่ไว้วางใจได้ มีความเสถียร สามารถจะตรวจจับการคุกคามดังกล่าวได้