การใช้งาน RDP นั้นมีเศษภาพเหลือ เปิดทางให้แฮกเกอร์
การใช้งาน RDP นั้นมีเศษภาพเหลือ เปิดให้แฮกเกอร์เอามาประกอบกันเพื่อขโมยข้อมูลได้
RDP หรือ Remote Desktop Protocol นั้น มักจะเป็นวิธีการยอดนิยมสำหรับแผนกไอทีตามบริษัทต่าง ๆ ในการเข้าถึงหน้าเดสก์ท็อป (Desktop) ของพนักงาน เพื่อทำการซ่อมระบบ หรือติดตั้งซอฟต์แวร์ต่าง ๆ ของทางบริษัท แต่ทว่าช่องทางนี้ก็มีช่องโหว่อยู่มากมายที่แฮกเกอร์สามารถใช้งานได้ โดยบาง ช่องโหว่นั้นก็เกินคาดการณ์
จากรายงานโดยเว็บไซต์ Cyber Security News ได้กล่าวถึงการตรวจพบช่องโหว่ความปลอดภัยของโปรโตคอลแบบ RDP โดยทางทีมวิจัยจาก SCYTHE Labs บริษัทผู้เชี่ยวชาญด้านการวิเคราะห์ภัยไซเบอร์ ซึ่งช่องโหว่ดังกล่าวขึ้นภายในระบบการเก็บภาพหน้าจอเดสก์ท็อปในรูปแบบไฟล์ Bitmap ไว้ในหน่วยความจำชั่วคราวแบบแคช หรือ RDP Bitmap Cache ซึ่งวิธีการดังกล่าวนั้น จะเป็นการซอยภาพหน้าจอของเดสก์ท็อปที่ถูกถ่ายทอดมายังเครื่องของฝั่งผู้ควบคุมในรูปแบบคล้ายคลึงกับการบันทึกข้อมูลเว็บไซต์ไว้บางส่วนของเว็บเบราว์เซอร์ต่าง ๆ เพื่อให้ผู้ใช้งานสามารถเปิดเว็บไซต์ได้ไวขึ้น ซึ่งจุดอ่อนก็จะอยู่ในจุดนี้ เพราะระบบนี้จะทำการเก็บภาพหน้าจอทั้งหมดตลอดช่วง Session การใช้งาน RDP รวมทั้งภาพข้อมูลอ่อนไหวต่าง ๆ ที่ติดมาตรงหน้าจอด้วย ที่สำคัญคือ รูปแบบจะถูกเก็บไว้บนไดร์ฟบนเครื่อง (Local Drive) ของฝั่งควบคุมอย่างยาวนานหลังจากที่ Session การใช้งานจบไปแล้ว ทั้งตัวโฟลเดอร์ที่เก็บไฟล์นั้นก็ไม่ใช่โฟลเดอร์ที่ถูกจำกัดการเข้าถึง (Access Restriction) อีกด้วย
ทำให้ถ้าแฮกเกอร์สามารถเข้าถึงข้อมูลภาพดังกล่าวได้ แฮกเกอร์ก็จะสามารถทำการนำเอาข้อมูลดิบเหล่านั้น มาประกอบเป็นภาพหน้าจอที่สมบูรณ์ ซึ่งการขโมยก็ทำได้ง่ายมาก เพียงแค่ใช้คำสั่ง PowerShell เพื่อบีบอัดไฟล์ในโฟลเดอร์ดังกล่าวเป็นไฟล์ในรูปแบบ Zip แล้วลักลอบส่งไฟล์ออก (Exfiltration) ผ่านทางโปรโตคอลแบบ HTTPs ธรรมดา ซึ่งจะทำให้ข้อมูลนั้นปะปนไปกับการจราจร (Traffic) ของข้อมูลปกติจนถูกจับได้ยาก โดยหลังจากที่แฮกเกอร์ได้รับไฟล์แล้ว แฮกเกอร์ก็จะใช้งานเครื่องมือ 2 ตัวในการจัดการกับไฟล์ชุดดังกล่าว
เริ่มจากใช้เครื่องมืออย่าง BMC Tools ต่าง ๆ ในการประมวล (Parse) มาเป็นรูปภาพแบบบล็อกย่อย ๆ
ใช้เครื่องมือ RdpCacheStitcher เพื่อประกอบไฟล์รูปภาพที่เป็นบล็อกย่อย ๆ กระจัดกระจายเข้าด้วยกัน ซึ่งการประกอบนั้นจะคล้ายคลึงกับการต่อภาพจิ๊กซอว์ (Jigsaw)
ซึ่งถึงแม้ภาพที่ออกมาจะไม่ได้สมบูรณ์จนเต็มหน้าจอ แต่ก็เพียงพอในการขโมยข้อมูลต่าง ๆ ที่อยู่บนจอแล้ว โดยการขโมยข้อมูลด้วยวิธีนี้ก็ไม่ใช่ของที่ใหม่นัก เพราะมีแฮกเกอร์หลายกลุ่ม เช่น BianLian, Medusa, และ Scattered Spider ได้นำเอาวิธีการนี้มาใช้ในการขโมยข้อมูลมาอย่างยาวนานและบ่อยครั้งแล้ว ซึ่งในการขโมยข้อมูลแคชภาพชุดนั้น แฮกเกอร์มักจะทำการลบไฟล์แคชรูปภาพที่อยู่บนเครื่องของเหยื่อจนหมดเกลี้ยง ดังนั้นถ้าตรวจพบว่าโฟลเดอร์แคชรูปภาพของ RDP บนเครื่องว่างเปล่า มีความเป็นไปได้สูงว่าเครื่องจะถูกแฮกแล้ว
ถ้าคุณกำลังกังวลเรื่อง “discord leaked (หลุดจากดิส)” อยากให้ลองเช็กอีกจุดที่หลายคนไม่ทันคิด โดยเฉพาะคนที่ทำงานไอที/ทำงานรีโมต/ใช้เครื่องบริษัท: เวลาเราเข้าเครื่องผ่าน RDP แล้วเปิด Discord, อีเมล, Google Drive หรือแม้แต่หน้าเว็บที่มีข้อมูลสำคัญ ข้อมูลที่ “เห็นบนหน้าจอ” อาจไม่ได้จบแค่ตอนเรากดออกจาก session จากที่อ่านรายงานแนวนี้มา ประเด็นมันอยู่ที่ RDP Bitmap Cache ซึ่งเป็นระบบแคชภาพเพื่อให้ภาพบนหน้าจอส่งไวขึ้น มันจะเก็บ “เศษภาพ” เป็นบล็อก ๆ (นึกภาพเหมือนจิ๊กซอว์บล็อกสีน้ำเงิน/ขาวตามภาพประกอบ) แล้วทิ้งไว้ในเครื่องฝั่งที่ใช้ควบคุม (เครื่องเราที่ต่อ RDP) ต่อให้เลิกใช้งานไปแล้วบางทีก็ยังอยู่ได้นาน ถ้าเครื่องฝั่งควบคุมโดนเจาะ หรือมีมัลแวร์อยู่ แฮกเกอร์อาจดูดไฟล์แคชพวกนี้ออกไป แล้วเอาไป “ประกอบกลับ” เป็นภาพหน้าจอที่พออ่านข้อมูลได้ เช่น - แชท Discord ที่คุยเรื่องงาน/ส่งไฟล์/ส่งลิงก์ - โค้ด/คีย์/โทเคนที่เผลอเปิดค้าง - อีเมล, เอกสารลูกค้า, ข้อมูลส่วนตัว สิ่งที่อยากแนะนำแบบใช้งานได้จริง (เน้นลดความเสี่ยง ไม่ใช่สอนโจมตี) ถ้าคุณต้องใช้ RDP เป็นประจำ: 1) หลีกเลี่ยงเปิดข้อมูลอ่อนไหวบน RDP ถ้าไม่จำเป็น เช่น Discord DM, หน้าจอรหัสผ่าน, ไฟล์ความลับ (อย่างน้อยลด “สิ่งที่แสดงบนจอ”) 2) อัปเดต Windows และใช้ RDP แบบปลอดภัย: เปิด NLA, จำกัดการเข้าถึงด้วย VPN/ไฟร์วอลล์, และเปิด MFA ให้บัญชีที่ใช้ล็อกอิน 3) ปรับสิทธิ์เครื่องฝั่งควบคุมให้รัดกุม เพราะแคชมักไปอยู่ฝั่งนี้: อย่าใช้เครื่องส่วนตัวที่ลงโปรแกรมมั่ว ๆ มาเป็นเครื่องที่ RDP เข้าเซิร์ฟเวอร์งาน 4) ตั้งนโยบายล้างไฟล์ชั่วคราว/แคช และทำความสะอาดเครื่องเป็นระยะ (โดยเฉพาะเครื่องแอดมิน) 5) สัญญาณที่ควรสงสัย: ถ้าโฟลเดอร์แคชภาพของ RDP “ว่างผิดปกติ” หรือมีพฤติกรรมเหมือนถูกลบเกลี้ยง อาจเป็นร่องรอยการเก็บกวาดหลังขโมยข้อมูล สุดท้าย ถ้าคุณเจอเคส “หลุดจากดิส” จริง ๆ อย่ามองแค่ตัว Discord อย่างเดียว ลองไล่ดูเส้นทางการทำงานของตัวเองด้วยว่าเคยเปิด Discord ผ่าน RDP ไหม เคยให้ใครรีโมตเครื่องไหม หรือเครื่องฝั่งที่ใช้รีโมตมีความเสี่ยงแค่ไหน เพราะบางครั้งสิ่งที่หลุด ไม่ได้หลุดจากแพลตฟอร์มโดยตรง แต่อาจหลุดจาก “ภาพบนหน้าจอ” ที่ถูกเก็บเป็นเศษ ๆ แล้วโดนเอาไปต่อจิ๊กซอว์นั่นเอง
