SignDrop เป็นช่องโหว่ Zero-day ที่ถูกเปิดเผยใหม่ ซึ่งสามารถทำให้ผู้โจมตีที่มีสิทธิ์ผู้ใช้มาตรฐานสามารถเข้าถึงระดับ SYSTEM ได้อย่างสมบูรณ์ โดยการใช้ประโยชน์จากกลไกความปลอดภัยที่ Microsoft ได้นำมาใช้เมื่อปีที่แล้ว
การพิสูจน์แนวคิด (proof-of-concept) ของ SignDrop ประสบความสำเร็จในการยกระดับสิทธิ์จากเซสชันผู้ใช้ Windows ทั่วไปไปเป็น NT AUTHORITY\SYSTEM และเปิดใช้งาน command prompt ระดับ SYSTEM ซึ่งนักวิจัยระบุว่าเทคนิคนี้อาจหลบเลี่ยงการป้องกันของ antivirus และ EDR ได้ เนื่องจากปฏิบัติการไฟล์ที่มีสิทธิ์นั้นมาจากกระบวนการรักษาความปลอดภัยที่ถูกต้องตามกฎหมาย
นักวิจัยอิสระจาก Cyderes ได้จำลองการโจมตีและได้รับ shell คำสั่งระดับ SYSTEM ซึ่งยืนยันว่าเทคนิคนี้ใช้ได้ภายใต้เงื่อนไขบางประการ
Naceri ได้ทดสอบ SignDrop กับ Windows 11 26H2, Windows 11 26H2 Experimental และ Windows Server 2025 Experimental และประเมินว่าการติดตั้ง Windows ประมาณ 80% อาจมีความเสี่ยง ในขณะที่บริษัทระบุว่า Microsoft Defender สามารถตรวจจับและบล็อกความพยายามในการโจมตีได้ และยังไม่พบหลักฐานการถูกโจมตีในโลกจริง
ศัพท์ที่ควรรู้
- Zero-day vulnerability – ช่องโหว่ที่ยังไม่มีแพตช์หรือการแก้ไขจากผู้ผลิต ณ ขณะที่ถูกค้นพบ
- SYSTEM Privileges – สิทธิ์ระดับสูงสุดของระบบปฏิบัติการที่ทำให้ผู้โจมตีควบคุมเครื่องได้ทั้งหมด
- NT AUTHORITY\SYSTEM – บัญชีผู้ใช้ที่มีสิทธิ์สูงสุดในระบบ Windows
- Proof-of-concept – การสาธิตทางเทคนิคที่พิสูจน์ว่าช่องโหว่หรือการโจมตีนั้นเป็นไปได้จริง
- EDR – Endpoint Detection and Response คือระบบรักษาความปลอดภัยที่ตรวจสอบและตอบสนองต่อภัยคุกคามในอุปกรณ์ปลายทาง
ที่มา: Wccftech