Malware Flame giả mạo chữ ký số của Microsoft

Jonathan Ness, một kỹ sư thuộc trung tâm đáp ứng bảo mật của Microsoft (MSRC) đã thông báo trên trang blog technet của hãng, khuyến cáo tất cả các khách hàng là cá nhân hay doanh nghiệp nhanh chóng cập nhật bản vá bảo mật để tránh attackers có khả năng tận dụng việc giả mạo chữ ký số của Microsoft để tấn công vào máy tính nạn nhân.

Theo thông lệ, Microsoft có ngày gọi là Patch Tuesday hàng tháng, ngày đó sẽ là ngày mà hãng sẽ phát hành tất cả các bản vá, bản cập nhật bảo mật,... trên tất cả các sản phẩm. Nhưng vào sáng nay (theo giờ VN), các bạn hẳn bất ngờ khi nhận được 1 bản cập nhật không theo lịch cập nhật mà Microsoft đã ấn định.

Mike Reavey - giám đốc cấp cao thuộc trung tâm MSRC cho biết, mã độc đã giả mạo chữ ký số trong quá trình cấp giấy chứng nhận cho dịch vụ đầu cuối (Terminal Services). Để làm được điều này, tác giả tạo ra malware này đã khai thác một vài điểm yếu trong thuật toán mật mã cũ của hãng.

Điều đó có nghĩa là CA của Microsoft sử dụng MD5 không còn an toàn. Bằng cách sử dụng hash collisions, kẻ tấn công có thể tạo chứng chỉ gian lận có cùng MD5 Hash giống như là một giấy chứng nhận chính thức của Microsoft. Sau đó, attacker sử dụng giấy chứng nhận thứ hai để đăng ký mã như thể là được cấp từ Microsoft do hàm Hash trùng khớp.

Sau khi nhóm kỹ sư thuộc MSRC điều tra, phân tích, xác định nguyên nhân vấn đề xảy ra. Hãng đã thu hồi lại tổng số 3 chứng chỉ để đảm bảo an toàn cho khách hàng, giảm thiểu rủi ro. Và họ cũng đã ngừng cấp giấy chứng nhận sử dụng mã đăng ký thông qua quá trình cấp giấy phép và kích hoạt Terminal Services.

Certificate	Issued by	Thumbprint
Microsoft Enforced Licensing Intermediate PCA	Microsoft Root Authority	2a 83 e9 02 05 91 a5 5f c6 dd ad 3f b1 02 79 4c 52 b2 4e 70
Microsoft Enforced Licensing Intermediate PCA	Microsoft Root Authority	3a 85 00 44 d8 a1 95 cd 40 1a 68 0c 01 2c b0 a3 b5 f8 dc 08
Microsoft Enforced Licensing Registration Authority CA (SHA1)	Microsoft Root Certificate Authority	fa 66 60 a9 4a b4 5f 6a 88 c0 d7 87 4d 89 a8 63 d7 4d ee 97

Tuy nhiên, người dùng không nên quá lo lắng vì Antivirus mạnh hiện nay đều loại bỏ được mã độc này. Còn những bạn nào vẫn chưa để ý gì đến bản cập nhật này, nhanh chóng vào Windows Update để update.

Những sản phẩm và thiết bị bị nhiễm

Hệ điều hành

Windows XP SP3
Windows XP Professional x64 Edition SP2
Windows Server 2003 SP2
Windows Server 2003 x64 Edition SP2
Windows Server 2003 SP2 Itanium-based Systems
Windows Vista SP2
Windows Vista x64 Edition SP2
Windows Server 2008 32-bit Systems SP2
Windows Server 2008 x64-based Systems SP2
Windows Server 2008 Itanium-based Systems SP2
Windows 7 32-bit Systems
Windows 7 32-bit Systems SP1
Windows 7 x64-based Systems
Windows 7 x64-based Systems SP1
Windows Server 2008 R2 x64-based
Windows Server 2008 R2 x64-based Systems SP1
Windows Server 2008 R2 Itanium-based Systems
Windows Server 2008 R2 Itanium-based Systems SP1Server Core installation option

Windows Server 2008 32-bit Systems SP2 (Server Core installation)
Windows Server 2008 x64-based Systems SP2 (Server Core installation)
Windows Server 2008 R2 x64-based Systems (Server Core installation)
Windows Server 2008 R2 x64-based Systems SP1 (Server Core installation)

Thiết bị

Windows Mobile 6.x
Windows Phone 7
Windows Phone 7.5

Tham khảo: http://www.h-online.com/, http://blogs.technet.com/

Tác giả bài viết:  Vương Lan Kiều
Source: http://baomathethong.blogspot.com/