Adobe จังซี้มันต้องถอน ถอนโคัดที่ช่วยยืนยันตัวตน Malware
Adobe ได้เพิกถอน Code ที่ใช้สำหรับการ Signing Certificate หลังจากที่พบว่ามีมัลแวร์ 2 ตัวซึ่งถูก Sign ด้วย Code ของ Adobe ซึ่งคือ pwdump7 v7.1 และ myGeeksmail.dll ซึ่งพบว่าถูก Sign ด้วย digital certificate ของ Adobe
นาย Brad Arkin ผู้อำนวยการอาวุโสดฝ่ายความปลอดภัยของผลิตภัณฑ์ Adobe ได้เขียนเอาไว้บน Blog ของ “Adobe Secure Software Engineering Team” ว่า บริษัทได้ติดตาม Certificate ไปจนถึงเซิฟเวอร์ที่ถูกโจมตี ซึ่งเป็นจุดที่ทำให้ระบบโครงสร้างการ Signing Certificate ถูกยกเลิกการใช้งาน โดยมีกำหนดการว่าจะเพิกถอน Certificate ที่ได้รับผลกระทบในวันที่ 4 ตุลาคม สำหรับทุกๆซอลฟ์แวร์ที่ sign ด้วย code ดังกล่าวตั้งแต่วันที่ 10 กรกฎาคมเป็นต้นมา และในช่วงเวลาดำเนินการนี้ก็จะทำการยกเลิกผลิตภัณฑ์ต่างๆที่ได้รับผลกระทบจาก Certificate เหล่านั้นอีกด้วย
หลังจากที่การสืบสวนเริ่มขึ้น บริษัทได้ระบุถึงเซิฟเวอร์ที่ถูกโจมตีนั้นได้เคยถูกเข้าถึงระบบโครงสร้างการ Signing Certificate แต่เซิฟเวอร์ดังกล่าวไม่มีสิทธิ์ในหน้าที่ของระบบโครงสร้าง Public Key ใดๆ ทำได้แค่เพียงส่ง request ไปให้ Signing service เท่านั้นและไม่สามารถเข้าถึงผลิตภัณฑ์ใดๆของ Adobe ได้ จนถึงตอนนี้ก็ยังไม่พบหลักฐานใดๆที่เกี่ยวกับการโจมตีที่มีความเกี่ยวข้องกับข้อมูลที่สำคัญ เช่น Source Code ของ Adobe, ข้อมูลของลูกค้า, ข้อมูลการเงิน หรือ ข้อมูลของพนักงาน
การเพิกถอนในครั้งนี้มีผลเฉพาะซอลฟ์แวร์ของ Adobe ที่ Sign ด้วย Certificate ที่ได้รับผลกระทบซึ่งทำงานบน Windows และแอพพลิเคชั่น Adobe AIR 3 แอพพลิเคชั่น ได้แก่ Adobe Muse, Adobe Story AIR และ desktop services ของ Acrobat.com ซึ่งทำงานได้ทั้งบน Windows และ MAC OS X
นาย Wiebke Lips โฆษกของ Adobe กล่าวใน SecurityWeek ว่า “Adobe จะรอจนกว่าวันที่ 4 ตุลาคมเพื่อทำการเพิกถอน Certificate ดังกล่าวเพื่อให้เวลาสำหรับลูกค้า โดยเฉพาะกลุ่ม Administrator ซึ่งเป็นกลุ่มลูกค้าที่ต้องการเวลาในการดำเนินการจัดการในเรื่องต่างๆก่อนจะมีการเพิกถอน Certificate ดังกล่าว”
เซิฟเวอร์ที่ติดมัลแวร์นั้น อาจเป็นจุดแรกที่แฮกเกอร์สามารถเข้าถึงได้ และมันก็อาจจะเป็นไปได้เหมือนกันที่แฮกเกอร์จะเข้าถึงเซิฟเวอร์อื่นๆของ Adobe ก่อนและใช้เทคนิค APT (advanced persistent threat) เพื่อเข้าถึง เซิฟเวอร์ที่ได้ถูกโจมตีได้เช่นกัน
และเมื่อถามถึง Certificate นั้นถูกขโมยไปหรือไม่ นาย Wiebke Lips กล่าวว่า “แน่นอนว่าไม่ได้ถูกขโมยไป เนื่องจาก private key ที่เกี่ยวกับการ Code Signing certificate ของ Adobe นั้นถูกเก็บอยู่ใน Hardware Security Modules (HSMs) ซึ่งเป็นการเก็บในเชิง Physical Security และทาง Adobe ยืนยันอีกว่าระหว่างการสืบสวนนั้น private key ที่เกี่ยวกับการ Code Signing certificate ของ Adobe ที่ถูกเก็บเอาไว้ใน HSMs นั้นจะไม่นำมาใช้อย่างแน่นอน
กลุ่มลูกค้าส่วนใหญ่ของ Adobe จะไม่ได้รับผลกระทบใดๆ เท่าที่เห็นมีเพียงโปรแกรมอันตราย 2 โปรแกรมเท่านั้นและหลักฐานที่ชี้ว่า Certificate ไม่ได้ถูกใช้ Sign มัลแวร์ในวงกว้าง ในขณะที่ Adobe ได้ทำการ sign แอพพลิเคชั่นใหม่โดยใช้การตรวจสอบด้วยคน เพื่อให้แน่ใจว่าทุกๆไฟล์เป็นผลิตภัณฑ์ของ Adobe จริงๆ และบริษัทเองก็กำลังอยู่ในขั้นตอนของการติดตั้งวิธีการแก้ไขการ Sign Certificate แบบถาวรใหม่
ผู้ดูแลระบบควรตรวจสอบการอัพเดทของซอลฟ์แวร์ด้านความปลอดภัยอย่างสม่ำเสมอ เพื่อป้องกันโปรแกรมอันตรายเหล่านั้น โดยพวกเขายังสามารถทำได้ด้วยการสร้าง Software Restriction Policy ด้วย Group Policy เพื่อไม่อนุญาตโปรแกรมอันตรายสามารถทำงานได้ แต่การย้าย Certificate ของ Adobe ที่ได้รับผลกระทบไปที่ยัง Windows Untrusted Certificate Store นั้นไม่สามารถป้องกันให้โปรแกรมอันตรายที่ sign ด้วย Certificate ของทำงานได้
ลูกค้าส่วนใหญ่ของ Adobe จะสามารถสังเกตุได้เมื่อขบวนการการเพิกถอน certificate เกิดขึ้น มีเพียง IT administrator บางส่วนเท่านั้นที่อาจจะต้องแก้ไขบางอย่าง
นาย Jeff Hudson ซึ่งเป็น CEO ของ Venafi กล่าวว่า การโจมตีด้วยการใช้ Certificate sign นั้นกำลังกลายเป็นการโจมตีทั่วๆไป เหมือนกับ Phishing และการติดมัลแวร์ ซึ่งการที่ Adobe ออกมายอมรับว่า certificate ของตนถูกขโมยออกไปก็เป็นตัวอย่างหนึ่งว่าทำไมองค์กรซึ่งต้องอาศัยเทคโนโลยีที่สร้างความไว้วางใจพื้นฐานที่มากที่สุดอย่างการ Sign Certificate นั้น ควรมีมาตรการรองรับเพื่อที่จะสามารถระบุได้อย่างรวดเร็ว และสามารถเพิกถอนและทดแทน Certificate เหล่านั้นได้เมื่อพวกเขาถูกโจมตีเช่นนี้ ซึ่งองค์กรส่วนใหญ่ก็มักจะรอให้เกิดปัญหาขึ้นเสียก่อนแล้วจึงแก้ไข จึงหวังว่าเหตุการณ์นี้จะเป็นสัญญาณที่บ่งบอกทุกๆองค์กร ไม่มีข้อแก้ตัวใดๆสำหรับการที่ไม่มีแผนการรองรับและแก้ไขเช่นนี้