Tin tặc phá vỡ mật khẩu của Apple và lừa đảo người dùng Microsoft
09:00 | 17/01/2017 | HACKER / MALWARE
Vào giữa tháng 12/2016, cơ chế mã hoá đĩa FileVault 2 của Apple đã bị phá trong lúc khởi động lại máy Mac, với thiết bị trị giá vài trăm đô la và quyền truy cập vật lý tới máy tính. Đồng thời, tin tặc có thể làm giả cảnh báo của Microsoft Edge để lừa người dùng.
Mật khẩu mã hoá đĩa của File Vault 2 có thể lộ lúc khởi động lại máy Mac
Trên website Apple thông báo, FileVault 2 sử dụng uses mã hoá XTS-AES-128 với khoá 256 bit để ngăn ngừa truy cập trái phép tới thông tin trên đĩa khởi động. Tuy nhiên, Ulf Frisk, một nhà nghiên cứu bảo mật Thuỵ Điển, đã phát hiện ra rằng ông có thể cắm một thiết bị tự lắp chạy phần mềm PCILeech vào máy Mac và lấy được mật khẩu mã hoá của FileVault 2 thông qua tấn công DMA (truy cập bộ nhớ trực tiếp) trong quá trình khởi động lại máy.
Cơ chế mã hoá của Apple không được bảo vệ trước các tấn công DMA thực hiện trước khi nạp macOS, tuy nhiên điều đó đã được khắc phục trong bản cập nhật macOS 10.12.2 hôm 13/12.
Khi chạy Extensible Firmware Interface (EFI) trong giai đoạn đầu của quá trình khởi động, máy Mac cho phép thiết bị kết nối với cổng Thunderbolt 2 (cổng USB-C chưa được kiểm tra) đọc và ghi bộ nhớ.
Khả năng ghi vào bộ nhớ cho phép kẻ xấu phá hoại hệ thống. Tuy nhiên, chỉ riêng quyền đọc bộ nhớ đã cho phép đọc mật khẩu của FileVault – vốn được lưu ở dạng rõ trong bộ nhớ và không được xoá cho tới khi mở khoá đĩa cứng. Chỉ cần cắm thiết bị cài PCILeech vào máy Mac rồi khởi động lại máy là có thể lấy được mật khẩu.
Trong lúc khởi động, biện pháp bảo vệ DMA của macOS bị gỡ bỏ và nội dung của bộ nhớ, trong đó có mật khẩu, có thể đọc được dễ dàng. Chỉ trong vài giây, bộ nhớ sẽ bị ghi đè với những nội dung mới.
Frisk phát hiện lỗ hổng này hồi tháng 7 và đã trình bày chi tiết tại hội thảo DefCon 24 hồi tháng 8. Apple nhận được cảnh báo và đã yêu cầu Frisk không công bố thông tin cho tới khi họ tìm được cách khắc phục vấn đề.
Mã độc có thể làm giả cảnh báo của Microsoft Edge để lừa người dùng
Những kẻ lừa đảo đã có thêm một biện pháp mới khi Microsoft Edge, trình duyệt mặc định của Windows 10, có thể bị lợi dụng để hiển thị các cảnh báo trông như hợp lệ. Lỗi nằm ở các giao thức ms-appx: và ms-appx-web: mà trình duyệt này dùng để hiển thị các cảnh báo khi phát hiện các trang web lừa đảo và phát tán mã độc.
Khi Edge phát hiện một trang web nghi là độc hại, trình duyệt này hiển thị màn hình màu đỏ bằng tính năng SmartScreen – một trong những tính năng bảo mật mạnh nhất của nó. Chuyên viên bảo mật web Manuel Caballero, tác giả blog Broken Browser, nói rằng những kẻ lừa đảo có thể tạo ra các cảnh báo giả cho bất kỳ website nào. Hơn thế, chúng còn có thể hiển thị các cảnh báo với những dòng chữ tuỳ ý, lừa người dùng gọi đến số của những tổng đài hỗ trợ kỹ thuật giả để “nhân viên hỗ trợ” ở đó thuyết phục họ trả phí cho những dịch vụ tưởng tượng. Caballero thậm chí còn tạo ra một trang demo để bất kỳ ai có thể tạo ra những cảnh báo giả bằng cách nhập tên miền tự chọn và các cảnh báo “hỗ trợ kỹ thuật” tuỳ ý.
Trình duyệt Edge lưu những thông điệp cảnh báo như “tài sản” trong thư mục cài đặt của nó. Và Caballero không chỉ tìm ra cách lấy được những tài sản đó, tuỳ biến tên miền và các đoạn text xuất hiện bên trong thông điệp cảnh báo ra, mà còn tìm ra cách giả địa chỉ URL hiển thị trong thanh địa chỉ của trình duyệt để lừa người dùng, khiến họ nghĩ rằng họ đang truy cập đúng địa chỉ.
