Các chuyên gia bảo mật đang phải đối mặt với một phương thức mới mà kẻ tấn công sử dụng để che giấu hoạt động sau khi giành được quyền quản trị trên hệ thống Windows. Phương pháp này lợi dụng tính năng Windows bind links, một cơ chế hợp lệ cho phép chuyển hướng một đường dẫn tệp tin sang một đường dẫn khác mà không cần thay đổi tệp tin gốc trên đĩa. Kỹ thuật này tạo ra một khoảng cách đáng kể giữa những gì một tiến trình thực thi và những gì các công cụ bảo mật điểm cuối (EDR) tin rằng chúng đang kiểm tra, tạo ra một kỹ thuật né tránh EDR hiệu quả và tinh vi.
Tổng Quan về Kỹ Thuật Lạm Dụng Windows Bind Link
Bitdefender đã công bố một báo cáo chi tiết về vấn đề này, chỉ ra rằng nó ảnh hưởng đến các hệ thống Windows hiện đại. Vấn đề phát sinh khi kẻ tấn công đã có quyền quản trị cục bộ trên thiết bị.
Kỹ thuật lạm dụng bind link không phải là một loại mã độc độc lập hay một chiến dịch khai thác hàng loạt. Thay vào đó, nó là một phương pháp né tránh sau xâm nhập (post-compromise evasion).
Mục tiêu chính là giảm khả năng hiển thị của kẻ tấn công đối với các giải pháp bảo mật sau khi đã kiểm soát được thiết bị Windows. Điều này giúp các nhóm ransomware và những kẻ xâm nhập khác duy trì sự ẩn danh, làm tăng rủi ro bảo mật cho các tổ chức.
Bản Chất và Đặc Điểm của Bind Link
Windows bind link được xử lý bởi driver Windows Bind Filter. Chúng thường được sử dụng cho các tính năng ảo hóa, bao gồm Windows containers và môi trường Sandbox. Đây là một cơ chế hợp pháp của hệ điều hành, nhưng lại bị lạm dụng cho mục đích độc hại.
Điểm khác biệt chính giữa bind link và symbolic link là bind link được lưu trữ trong bộ nhớ, không phải dưới dạng một đối tượng hệ thống tệp tin có thể nhìn thấy. Điều này làm cho việc liệt kê tệp tin thông thường trở nên kém hiệu quả hơn rất nhiều trong việc phát hiện chúng.
Thay vì đặt một tệp tin thay thế có thể nhìn thấy hoặc sửa đổi phần mềm bảo mật trực tiếp, kẻ tấn công có thể khiến một đường dẫn đáng tin cậy trả về nội dung độc hại một cách “yên lặng”. Điều này đánh lừa các công cụ bảo mật rằng chúng đang kiểm tra một tệp tin hợp lệ.
Các nhà nghiên cứu đã chỉ ra rằng kỹ thuật này có thể làm suy yếu nhiều cơ chế bảo vệ điểm cuối. Bao gồm khả năng phát hiện của EDR, các biện pháp kiểm soát ứng dụng (application controls), hệ thống ghi nhật ký (logging) và các cơ chế quét mã độc (scanning mechanisms).
Tất cả các hệ thống này thường tin tưởng vào đường dẫn tệp tin như một định danh đáng tin cậy. Khi niềm tin này bị phá vỡ, hiệu quả của chúng sẽ bị giảm sút nghiêm trọng, mở ra lỗ hổng cho các cuộc tấn công mạng.
File-Binding: Kỹ Thuật Che Giấu Tệp Tin Độc Hại
Kỹ thuật File-Binding cho phép kẻ tấn công che khuất một tệp tin đã tồn tại trên hệ thống một cách hiệu quả. Một chương trình hợp lệ, đã được ký số và không có mã độc, có thể vẫn nguyên vẹn trên đĩa, không bị thay đổi vật lý.
Tuy nhiên, các tiến trình khi mở đường dẫn đến chương trình đó sẽ nhận được một tệp tin khác do kẻ tấn công kiểm soát. Tệp tin này được cung cấp thông qua lớp lọc (filter layer) của Windows, tạo ra sự sai lệch giữa tệp tin thực và tệp tin được hệ thống nghĩ là đang truy cập.
Cơ Chế Hoạt Động của File-Binding
Với File-Binding, một tác nhân đe dọa có thể chuyển hướng đường dẫn của một thư viện liên kết động (DLL) đáng tin cậy. Đường dẫn này sẽ trỏ đến một thư viện thay thế do kẻ tấn công tạo ra. Thư viện thay thế này vẫn cung cấp các chức năng dự kiến nhưng lại bỏ qua các kiểm tra bảo mật cần thiết.
Ví dụ, trong một minh họa thực tế, cách tiếp cận này đã khiến PowerShell tải một thành phần AMSI giả mạo. Điều này cho phép các script độc hại xuất hiện như là sạch mà không cần phải vá hay sửa đổi tệp tin Windows thực sự, qua đó vô hiệu hóa một lớp bảo vệ quan trọng. Đây là một ví dụ rõ ràng về cách kỹ thuật né tránh EDR được thực hiện.
Ảnh Hưởng đến Các Giải Pháp Bảo Mật
Nguyên lý tương tự có thể ảnh hưởng nghiêm trọng đến các cảm biến EDR ở chế độ người dùng (user-mode). Ngoài ra, các thành phần theo dõi sự kiện (event-tracing components), và các công cụ pháp y (forensic tools) mở lại tệp tin để phân tích sau này cũng bị ảnh hưởng. Tất cả đều có thể bị đánh lừa bởi việc chuyển hướng đường dẫn này.
Kỹ thuật File-Binding dựa trên những lo ngại đã được nêu ra trong các báo cáo trước đây về việc vượt qua Windows MiniFilter EDR. Trong đó, các thành phần hệ thống tệp tin kernel cũng được chứng minh là có thể tạo ra cơ hội làm gián đoạn khả năng hiển thị của điểm cuối. Điều này làm tăng thêm mức độ rủi ro bảo mật cho các hệ thống doanh nghiệp.
Process-Binding: Vượt Qua Kiểm Soát Tiến Trình
Kỹ thuật thứ hai, Process-Binding, áp dụng việc chuyển hướng tương tự cho một ảnh thực thi (executable image). Khi một tiến trình được tạo, Windows có thể báo cáo đường dẫn nguồn đáng tin cậy trong các nhật ký và thông tin hệ thống. Tuy nhiên, một tệp tin thực thi khác do kẻ tấn công kiểm soát lại đang cung cấp mã thực sự chạy.
Sự sai lệch này làm suy yếu các cơ chế cho phép dựa trên đường dẫn (path-based allowlisting), xác thực chữ ký (signature validation) và các bảng điều khiển bảo mật (security dashboards). Các hệ thống này thường dựa vào tên ảnh được báo cáo để đưa ra quyết định bảo mật. Đây là một kỹ thuật né tránh EDR nguy hiểm, phá vỡ niềm tin vào dữ liệu hệ thống.
Khai Thác Process-Binding và Tác Động
Các nhóm bảo mật trước đây đã theo dõi các kỹ thuật vượt qua EDR ở cấp độ người dùng tiêu chuẩn (low privileged EDR bypass). Các kỹ thuật này thường sử dụng phương pháp giả mạo (masquerading) và đường dẫn gây hiểu lầm. Tuy nhiên, bind link chuyển sự lừa dối này vào chính cơ chế phân giải tệp tin của Windows, làm cho việc phát hiện trở nên khó khăn hơn nhiều.
Tác động của Process-Binding là rất lớn. Nó có thể khiến các biện pháp kiểm soát ứng dụng dựa trên đường dẫn trở nên vô hiệu. Ví dụ, nếu một chính sách AppLocker cho phép chạy một ứng dụng từ một đường dẫn cụ thể, Process-Binding có thể lợi dụng điều này để thực thi mã độc, làm tăng rủi ro an toàn thông tin tổng thể.
Các giải pháp EDR dựa vào việc kiểm tra đường dẫn thực thi ban đầu sẽ bỏ qua hoạt động độc hại, bởi vì đường dẫn hiển thị là hợp lệ. Điều này khiến các cuộc tấn công mạng trở nên khó bị phát hiện hơn rất nhiều. Việc này đòi hỏi các giải pháp bảo mật phải có khả năng kiểm tra sâu hơn vào bản chất thực sự của tệp tin đang được thực thi, chứ không chỉ dựa vào đường dẫn.
Silo-Binding: Đỉnh Cao của Kỹ Thuật Che Giấu
Silo-Binding là biến thể tiên tiến nhất và phức tạp nhất được mô tả trong nghiên cứu. Kỹ thuật này sử dụng Windows silo, một ranh giới cách ly đứng sau các môi trường container và sandbox. Mục đích là để cùng một đường dẫn được phân giải khác nhau bên trong và bên ngoài nhóm tiến trình bị cách ly.
Bên trong silo, một đường dẫn thực thi trông đáng tin cậy có thể dẫn đến mã độc. Trong khi đó, bên ngoài silo, một nền tảng EDR, tiện ích pháp y hoặc quản trị viên kiểm tra cùng đường dẫn đó lại được chuyển hướng trở lại tệp tin hợp lệ. Điều này tạo ra một cái nhìn thuyết phục nhưng sai lệch hoàn toàn về hệ thống, một kỹ thuật né tránh EDR cao cấp.
Sự Khác Biệt và Hậu Quả của Silo-Binding
Silo-Binding tận dụng cơ chế cách ly của Windows để tạo ra sự “nhị phân” trong nhận thức của hệ thống. Kỹ thuật này cho phép kẻ tấn công duy trì quyền kiểm soát và hoạt động ẩn danh trong thời gian dài mà không bị phát hiện bởi các công cụ giám sát thông thường. Đây là một mối đe dọa mạng đáng gờm.
Sự phân tách này có thể ảnh hưởng nghiêm trọng đến AppLocker, Windows Firewall, cơ chế băm của Sysmon và các quy trình quét bị trì hoãn (delayed scanning workflows). Nó là một mối đe dọa mạng đáng kể, làm giảm đáng kể khả năng phát hiện của các công cụ bảo mật hiện có và tăng nguy cơ bảo mật.
Phát hiện này đặc biệt đáng chú ý khi xét đến một lỗ hổng chính sách Microsoft AppLocker gần đây. Lỗ hổng đó cũng cho thấy cách các giả định về kiểm soát ứng dụng có thể tạo ra lỗ hổng cho việc thực thi trái phép. Sự kết hợp giữa các kỹ thuật này làm tăng thêm rủi ro bảo mật và thách thức đối với an ninh mạng.
Với Silo-Binding, Sysmon có thể ghi lại tên chương trình đáng tin cậy và giá trị băm của tệp tin sạch thay vì mã thực sự được thực thi trong silo. Các nhà điều tra tìm kiếm một giá trị băm độc hại đã biết có thể không tìm thấy bất kỳ sự kiện nào trùng khớp, trong khi nhật ký vẫn hiển thị bình thường. Điều này làm cho việc phát hiện xâm nhập và điều tra pháp y trở nên vô cùng khó khăn, tạo ra một thách thức lớn cho an toàn thông tin.
Khuyến Nghị và Biện Pháp Đối Phó Chống Lại Kỹ Thuật Né Tránh EDR
Để chống lại kỹ thuật né tránh EDR tinh vi này, các nhà cung cấp giải pháp bảo mật và các tổ chức cần áp dụng các biện pháp phòng ngừa và phát hiện nâng cao. Báo cáo của Bitdefender đưa ra một số khuyến nghị quan trọng, nhấn mạnh tầm quan trọng của việc hiểu sâu về các cơ chế hệ thống Windows.
Đối Với Nhà Cung Cấp Giải Pháp Bảo Mật
Các nhà cung cấp giải pháp bảo mật nên ưu tiên phân giải tệp tin gốc thực sự thay vì chỉ tin tưởng vào các đường dẫn tạo tiến trình. Điều này yêu cầu một sự thay đổi trong cách EDR và các công cụ bảo mật khác kiểm tra các tiến trình và tệp tin. Việc xác thực danh tính tệp tin là rất quan trọng để đảm bảo an ninh mạng.
Họ cần lặp lại quá trình xác thực này trong suốt các hoạt động băm bị trì hoãn (delayed hashing), quét (scanning) và khắc phục (remediation). Ngoài ra, việc liệt kê các ánh xạ bind link đang hoạt động để xác định các chuyển hướng trong phạm vi silo là cần thiết để cải thiện khả năng phát hiện.
Các nhà cung cấp cũng nên phát triển các cơ chế mới để theo dõi các sự kiện liên quan đến driver Windows Bind Filter và các hoạt động tạo hoặc sửa đổi bind link. Điều này sẽ cung cấp khả năng hiển thị sâu hơn vào các hoạt động có thể là độc hại.
Một nguồn thông tin hữu ích và chi tiết về kỹ thuật này có thể được tìm thấy trong báo cáo của Bitdefender tại: Bitdefender: Bind Link Abuses Windows Feature for EDR Evasion Technique.
Đối Với Các Tổ Chức và Đội Ngũ SOC
Các tổ chức nên chủ động hỏi các nhà cung cấp giải pháp bảo mật điểm cuối của mình về khả năng phát hiện kỹ thuật này. Đặc biệt, cần biết liệu sản phẩm của họ có xác thực danh tính tệp tin gốc khi khởi chạy và trong quá trình kiểm tra tệp tin sau này hay không. Việc này là thiết yếu để đánh giá mức độ bảo vệ hiện có.
Các đội ngũ an ninh mạng và SOC có thể tăng cường các quy trình điều tra bằng cách đối chiếu hoạt động của tiến trình với việc tạo container hoặc silo. Đồng thời, tìm kiếm các hành động quản trị bất thường và các dấu hiệu né tránh phòng thủ khác, bao gồm cả các phương pháp vượt qua nhật ký PowerShell đã biết.
Việc triển khai giám sát chặt chẽ các hoạt động hệ thống ở cấp độ thấp hơn, chẳng hạn như driver file system và kernel callbacks, có thể giúp phát hiện những bất thường liên quan đến bind link. Cần chú ý đến các hoạt động tạo hoặc sửa đổi các điểm tái phân tích (reparse points) hoặc các liên kết hệ thống tệp tin.
Nghiên cứu các phương pháp tấn công và phòng thủ mới là điều cốt yếu để duy trì một môi trường an toàn thông tin vững chắc. Việc hiểu rõ các kỹ thuật né tránh EDR như File-Binding, Process-Binding và Silo-Binding giúp các đội ngũ bảo mật xây dựng chiến lược phòng thủ hiệu quả hơn và chủ động hơn trong việc bảo vệ tài sản số.
