ช่องโหว่ DLL Injection และ Code Execution ใน v54.5.90 ช่วยให้แฮกเกอร์แพร่กระจายมัลแวร์

Dropbox

พบช่องโหว่ในการแทรกข้อมูลไฮแจ็ค DLL และการเรียกใช้โค้ดในโซลูชันการจัดเก็บข้อมูลบนคลาวด์: Dropbox ช่องโหว่นี้พบครั้งแรกเมื่อต้นสัปดาห์ที่ผ่านมาหลังจากพบว่ามีผลกับ Dropbox เวอร์ชัน 54.5.90 ตั้งแต่นั้นเป็นต้นมาช่องโหว่ได้รับการสำรวจและวิจัยทำให้ตอนนี้กลายเป็นข้อมูลแนวหน้าสำหรับผู้ใช้ที่ต้องระวัง

ตามรายละเอียดการใช้ประโยชน์ที่เผยแพร่โดย ZwX Security Researcher พบว่าช่องโหว่นี้มีอยู่ใน DropBox สำหรับ Windows ในแอปพลิเคชันเวอร์ชัน 54.5.90 ตามที่ระบุไว้ก่อนหน้านี้ ช่องโหว่ดังกล่าวมาจากช่องโหว่และความคลาดเคลื่อนใน 4 ไลบรารีโดยเฉพาะ ไลบรารีเหล่านี้ ได้แก่ cryptbase.dll, CRYPTSP.dll, msimg32.dll และ netapi32.dll ช่องโหว่ดังกล่าวเกิดขึ้นจากการคั่งค้างในไลบรารีเหล่านี้และกลับมาส่งผลกระทบและทำให้ไลบรารีเดียวกันเหล่านี้ทำงานผิดปกติเช่นกันส่งผลให้บริการคลาวด์ Dropbox กลับมาโดยรวม

ช่องโหว่นี้สามารถใช้ประโยชน์จากระยะไกลได้ ช่วยให้ผู้โจมตีที่เป็นอันตรายที่ไม่ได้รับการพิสูจน์ตัวตนสามารถใช้ประโยชน์จากช่องโหว่ในการโหลด DLL โดยการแก้ไขการเรียก DLL ที่เป็นปัญหาเพื่อให้ไฟล์ DLL ที่ออกแบบมาเพื่อประสงค์ร้ายถูกเปิดโดยไม่ได้ตั้งใจด้วยสิทธิ์ที่ยกระดับ (ตามที่ได้รับสำหรับไฟล์ DLL ของระบบ) ผู้ใช้ที่อุปกรณ์อยู่ระหว่างการใช้ประโยชน์นี้จะไม่รู้ตัวจนกว่าจะมีการใช้ประโยชน์จากกระบวนการเพื่อฉีดมัลแวร์เข้าสู่ระบบ การแทรก DLL และการดำเนินการทำงานในพื้นหลังโดยไม่ต้องป้อนข้อมูลผู้ใช้เพื่อเรียกใช้รหัสโดยอำเภอใจ

ในการสร้างช่องโหว่ขึ้นมาใหม่การพิสูจน์แนวคิดจะเป็นไปตามที่อันดับแรกต้องรวมไฟล์ DLL ที่เป็นอันตรายจากนั้นเปลี่ยนชื่อให้ดูเหมือนไฟล์ Dropbox DLL แบบเดิมที่โดยทั่วไปบริการเรียกใช้ในระบบ จากนั้นต้องคัดลอกไฟล์นี้ลงในโฟลเดอร์ Dropbox ในไดรฟ์ Windows C ภายใต้ Program Files เมื่อ Dropbox ถูกเปิดใช้งานในบริบทนี้ระบบจะเรียกใช้ไฟล์ DLL ของเนมเมกที่จัดการและเมื่อไฟล์ที่เป็นอันตรายถูกเรียกใช้งานในตำแหน่งโดยความสับสนของชื่อโค้ดบน DLL ที่สร้างขึ้นจะทำงานเพื่อให้ผู้โจมตีจากระยะไกลสามารถเข้าถึงระบบได้ เพื่อดาวน์โหลดและแพร่กระจายมัลแวร์เพิ่มเติม

เพื่อรับมือกับสิ่งเหล่านี้ทั้งหมดน่าเสียดายที่ยังไม่มีขั้นตอนเทคนิคหรือการอัปเดตที่เผยแพร่โดยผู้ขายในขณะนี้ แต่คาดว่าจะมีการอัปเดตในเร็ว ๆ นี้เนื่องจากความรุนแรงระดับวิกฤตของความเสี่ยงจากการใช้ประโยชน์ดังกล่าว