Lỗ hổng Zero-day trên trình duyệt Web: Cách hacker xâm nhập

Lỗ hổng zero-day trên trình duyệt là lỗi bảo mật mà nhà phát triển chưa biết hoặc chưa kịp vá, trong khi kẻ tấn công đã biết và đang khai thác. Hacker thường xâm nhập qua trình duyệt bằng một "chuỗi khai thác": lỗi đầu tiên giúp chạy mã trong tiến trình hiển thị trang web, lỗi thứ hai giúp thoát khỏi hộp cát (sandbox) của trình duyệt, và có thể thêm lỗi thứ ba để chiếm quyền cao trên hệ điều hành. Nạn nhân đôi khi chỉ cần mở một trang web. Bài viết giải thích cơ chế này ở mức khái niệm, nhằm giúp người dùng và quản trị viên hiểu vì sao cập nhật trình duyệt khẩn cấp lại quan trọng đến vậy.

Vì sao trình duyệt là mục tiêu hàng đầu

• Có mặt ở mọi nơi: gần như mọi máy tính và điện thoại đều có trình duyệt, và các ứng dụng khác cũng nhúng thành phần trình duyệt.
• Tiếp xúc nội dung không tin cậy: nhiệm vụ của trình duyệt là tải và chạy mã từ bất kỳ trang web nào.
• Cực kỳ phức tạp: trình duyệt hiện đại gồm hàng chục triệu dòng mã, có bộ máy JavaScript với trình biên dịch tức thời (JIT), bộ giải mã hình ảnh, video, phông chữ, WebAssembly, đồ họa 3D.
• Cửa ngõ tới dữ liệu quý: phiên đăng nhập email, ngân hàng, hệ thống doanh nghiệp đều nằm trong trình duyệt.

Kiến trúc phòng thủ của trình duyệt hiện đại

Để hiểu cách tấn công, cần biết trình duyệt tự bảo vệ thế nào:

• Tách tiến trình: nội dung trang web được xử lý trong tiến trình hiển thị (renderer) riêng, tách khỏi tiến trình chính của trình duyệt.
• Hộp cát (sandbox): tiến trình hiển thị bị hệ điều hành hạn chế quyền: không đọc tệp tùy ý, không chạy chương trình khác.
• Cô lập trang (site isolation): các trang thuộc tên miền khác nhau nằm ở tiến trình khác nhau, hạn chế việc trang độc đọc dữ liệu trang khác.
• Cơ chế giảm thiểu khai thác: ngẫu nhiên hóa bố cục bộ nhớ, kiểm soát luồng thực thi, bộ cấp phát bộ nhớ an toàn hơn.

Chính vì các lớp này, một lỗi đơn lẻ thường không đủ. Kẻ tấn công cần ghép nhiều lỗi lại.

Chuỗi khai thác ở mức khái niệm

Bước 1: Đưa nạn nhân tới nội dung độc hại

• Tấn công "hố nước" (watering hole): xâm nhập một trang web mà nhóm mục tiêu hay truy cập, như trang tin ngành, diễn đàn chuyên môn, rồi cài mã khai thác.
• Đường link nhắm mục tiêu: gửi qua email, tin nhắn, mạng xã hội cho người cụ thể.
• Quảng cáo độc hại: mã khai thác ẩn trong mạng quảng cáo, xuất hiện trên trang hợp pháp.
• Chèn vào lưu lượng: trong một số trường hợp, đối tượng kiểm soát hạ tầng mạng có thể chèn chuyển hướng vào kết nối chưa mã hóa.

Bước 2: Chạy mã trong tiến trình hiển thị

Lớp lỗi phổ biến nhất là lỗi an toàn bộ nhớ: dùng vùng nhớ sau khi giải phóng, ghi tràn bộ đệm, nhầm lẫn kiểu dữ liệu, đặc biệt trong bộ máy JavaScript và trình biên dịch JIT. Khai thác thành công cho phép chạy mã tùy ý nhưng vẫn bị giam trong hộp cát.

Bước 3: Thoát hộp cát

Kẻ tấn công cần lỗi thứ hai trong tiến trình chính của trình duyệt, trong thành phần giao tiếp giữa các tiến trình, trong trình điều khiển đồ họa hoặc trong nhân hệ điều hành, để vượt ra ngoài các giới hạn.

Bước 4: Nâng quyền và duy trì

Từ đây, phần mềm gián điệp có thể được cài vào máy, đọc tin nhắn, email, kích hoạt micro, camera. Một số chuỗi khai thác cao cấp trên điện thoại thậm chí không để lại dấu vết lâu dài, chỉ tồn tại tới lần khởi động lại.

Ai sử dụng zero-day trình duyệt

Khai thác zero-day trình duyệt rất đắt, đòi hỏi kỹ năng cao. Các báo cáo công khai của nhóm nghiên cứu như Google Threat Analysis Group, Citizen Lab hay Amnesty Tech cho thấy người dùng chính là các công ty bán phần mềm gián điệp thương mại cho chính phủ và các nhóm tấn công có chủ đích, như mô tả trong bài APT tấn công hạ tầng quan trọng. Mục tiêu thường là nhà báo, nhà hoạt động, chính trị gia, quan chức và doanh nghiệp có giá trị chiến lược. Tuy nhiên, sau khi bản vá được phát hành, kỹ thuật có thể được tội phạm khác học lại và nhắm vào người dùng chưa cập nhật, gọi là khai thác n-day.

Vòng đời từ zero-day đến n-day

Khoảng thời gian giữa phát hành bản vá và khai thác hàng loạt đang ngắn lại, một phần do công cụ AI hỗ trợ phân tích, như đề cập trong bài xu hướng AI bị vũ khí hóa.

Giảm bề mặt tấn công

• Bật chế độ bảo vệ nâng cao như Lockdown Mode trên iPhone, Mac, hoặc tắt trình biên dịch JIT nếu trình duyệt hỗ trợ; nhiều chuỗi khai thác dựa vào JIT.
• Dùng trình duyệt riêng cho các hoạt động nhạy cảm, ít tiện ích mở rộng.
• Tor Browser ở mức bảo mật cao nhất tắt JavaScript, giảm đáng kể rủi ro; xem bài Tor Browser có an toàn không.
• Khởi động lại thiết bị định kỳ, vì một số phần mềm gián điệp không tồn tại qua lần khởi động lại.

Biện pháp hiệu quả nhất vẫn là cập nhật kịp thời. Hướng dẫn chi tiết cho cá nhân và quản trị viên doanh nghiệp có trong bài lỗ hổng zero-day trình duyệt và cách vá lỗi.