Theo Microsoft, cả hai lỗ hổng đang bị khai thác ở phạm vi hạn chế. Chúng nhắm và tác động đến tất cả các phiên bản được hỗ trợ của hệ điều hành Windows như Windows desktop (10, 8.1) và Server (2008, 2012, 2016 và 2019). Kể cả phiên bản Windows 7 đã kết thúc hỗ trợ vào ngày 14/1 vừa rồi cũng bị ảnh hưởng.
Hai lỗ hổng được phát hiện tồn tại trong Windows Adobe Type Manager Library (ATML). Đây là một phần mềm phân tích phông chữ có thể phân tích nội dung khi mở bằng phần mềm bên thứ 3. Nó cũng được Windows Explorer sử dụng để hiển thị nội dung của tệp trong ‘Preview Pane’ hay ‘Details Pane’ mà không cần mở tệp.
Các lỗ hổng xuất hiện trong hệ thống khi ATML thực hiện sai xử lý phông chữ multi-master có thiết kế đặc biệt, hay chính là phông Adobe Type 1 PostScript. Từ đó, cho phép kẻ tấn công từ xa thực thi mã độc tùy ý trên các hệ thống bằng cách lừa người dùng mở hoặc xem những tài liệu độc hại trong Windows Preview.
Microsoft cho biết, nếu các hệ thống sử dụng phiên bản Windows 10 bị tấn công thì sẽ dẫn đến việc chạy mã trong AppContainer sandbox với một số đặc quyền và khả năng hạn chế.
Hiện tại, vẫn chưa biết liệu việc đánh lừa người dùng truy cập trang web chứa phông chữ OTF độc hại có thể kích hoạt lỗi từ xa trên trình duyệt web hay không. Tuy nhiên, vẫn có nhiều cách khai thác lỗ hổng khác như thông qua hệ thống quản lý chứng thực và phiên bản trên web (Web Distributed Authoring and Versioning).
Microsoft cho biết họ ý thức được sự nghiêm trọng của vấn đề và vẫn đang cố gắng khắc phục lỗ hổng. Hãng sẽ phát hành bản vá cho tất cả người dùng Windows như một phần của bản cập nhật Patch Tuesday vào ngày 14/4 tới đây. Tuy nhiên, Microsoft cũng cho biết các cấu hình bảo mật nâng cao không có tác dụng với lỗ hổng này.
.jpg)
Để tạm thời phòng tránh việc khai thác lỗ hổng, hãng đưa ra 3 khuyến cáo đối với người dùng.
Khuyến cáo 1: vô hiệu hóa Preview Pane và Details Pane trong Windows Explorer
Người dùng Windows được khuyến nghị nên vô hiệu hóa tính năng Preview Pane và Details Pane trong Windows Explorer để giảm nguy cơ bị tấn công.
Để tắt tính năng Preview Pane và Details Pane, người dùng mở Windows Explorer, chọn Organize/ Layout. Bỏ lựa chọn Details pane và Preview pane. Tiếp tục lựa chọn Organize/ Folder and search options/ View tab. Trong Advanced settings, người dùng chọn Always show icons, never thumbnails box và đóng tất cả các tab của Windows Explorer để thay đổi được thực hiện.
Tuy nhiên, cách làm này chỉ ngăn các tệp độc hại được xem trong Windows Explorer chứ không chặn phần mềm hợp pháp của bên thứ 3 bất kỳ tải thư viện ATML.
Khuyến cáo 2: vô hiệu hóa dịch vụ WebClient
Bên cạnh đó, người dùng được khuyến cáo tắt dịch vụ Windows WebClient để ngăn chặn các cuộc tấn công mạng thông qua WebDAV.
Bằng cách, chọn Start/Run (hoặc nhấn tổ hợp Windows + R), nhập Services.msc rồi bấm Enter. Sau đó, người dùng bấm chuột phải vào WebClient/Properties, thay đổi loại Startup type thành Disable. Lưu ý, nếu dịch vụ đang chạy thì người dùng cần chọn trạng thái Stop trước khi thực hiện thay đổi. Cuối cùng, bấm chọn OK để lưu và thoát khỏi ứng dụng quản lý.
Microsoft cảnh báo, hướng dẫn này sẽ giúp người dùng được cảnh báo trước khi mở các chương trình từ Internet. Tuy nhiên, tin tặc vẫn có thể khai thác thành công lỗ hổng này từ xa, khiến hệ thống chạy các chương trình nằm trên máy tính của người dùng được nhắm mục tiêu hoặc Mạng cục bộ (LAN)
Khuyến cáo 3: Đổi tên hoặc Vô hiệu hóa ATMFD.DLL
Một cách khác, Microsoft cũng đang kêu gọi người dùng đổi tên tệp Adobe Type Manager Font Driver (ATMFD.dll) để tạm thời vô hiệu hóa công nghệ phông chữ nhúng, điều này có thể khiến một số ứng dụng của bên thứ 3 ngừng hoạt động. Để vô hiệu hóa, người dùng thực thi các lệnh sau tại CMD với quyền quản trị.
Với hệ thống 32-bit
cd “%windir%\system32”
takeown.exe /f atmfd.dll
icacls.exe atmfd.dll /save atmfd.dll.acl
icacls.exe atmfd.dll /grant Administrators:(F)
rename atmfd.dll x-atmfd.dll
Với hệ thống 64-bit
cd “%windir%\system32”
takeown.exe /f atmfd.dll
icacls.exe atmfd.dll /save atmfd.dll.acl
icacls.exe atmfd.dll /grant Administrators:(F)
rename atmfd.dll x-atmfd.dll
cd “%windir%\syswow64”
takeown.exe /f atmfd.dll
icacls.exe atmfd.dll /save atmfd.dll.acl
icacls.exe atmfd.dll /grant Administrators:(F)
rename atmfd.dll x-atmfd.dll
Sau thực hiện, người dùng cần khởi động hệ thống để áp dụng các thay đổi.
Trí Công
The Hacker News
12:00 | 03/01/2021
11:00 | 07/05/2021
08:00 | 26/06/2020
16:00 | 26/03/2024
Theo nhận định của các chuyên gia, Công ty chứng khoán VNDIRECT có thể đã bị tin tặc tấn công bằng hình thức mã độc tống tiền. Cho đến chiều 26/3, hệ thống của VNDIRECT và một số hệ thống liên quan vẫn trong trạng thái ngừng trệ hoạt động.
08:00 | 12/03/2024
Mới đây, các nhà nghiên cứu từ Trung tâm Ứng phó khẩn cấp bảo mật AhnLab - ASEC (Hàn Quốc) phát hiện phần mềm độc hại mới có tên WogRAT, đang được các tác nhân đe dọa triển khai trong các cuộc tấn công lạm dụng nền tảng Notepad trực tuyến có tên là aNotepad để bí mật lưu trữ và truy xuất mã độc trên cả Windows và Linux.
11:00 | 07/02/2024
Ngày 02/02, nhà sản xuất phần mềm điều khiển máy tính từ xa AnyDesk (Đức) tiết lộ rằng họ đã phải hứng chịu một cuộc tấn công mạng dẫn đến sự xâm phạm hệ thống sản xuất của công ty.
10:00 | 31/01/2024
Các nhà nghiên cứu tại công ty an ninh mạng CloudSEK (Ấn Độ) cho biết: tin tặc đang phân phối phần mềm đánh cắp thông tin bằng cách lợi dụng điểm cuối Google OAuth có tên MultiLogin để chiếm quyền điều khiển phiên của người dùng và cho phép truy cập liên tục vào các dịch vụ của Google ngay cả sau khi đặt lại mật khẩu.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Một nhóm tin tặc được cho là từ Việt Nam đang nhắm mục tiêu vào các tổ chức tài chính ở châu Á để đánh cắp các dữ liệu tài chính.
10:00 | 24/04/2024
