Mới đầu năm 2021, Microsoft gặp phải 2 lỗi nguy hiểm ảnh hưởng đến người dùng. Một là lỗi trên phân vùng NTFS khiến ổ cứng bị hỏng, và mới đây xuất hiện thêm một lỗi chỉ với 1 câu lệnh Windows sẽ bị xuất hiện màn hình xanh chết chóc.
Phá hỏng Windows chỉ với một câu lệnh đơn giản
Một lỗi trong Windows 10 khiến hệ điều hành gặp sự cố với “Màn hình xanh chết chóc” (BSOD) chỉ bằng cách mở một đường dẫn trên thanh địa chỉ của trình duyệt hoặc sử dụng các lệnh Windows khác.
Vào tháng 10/2020, nhà nghiên cứu bảo mật Windows Jonas Lykkegaard đã đăng trên twitter nhiều lần về một đường dẫn có thể ngay lập tức khiến Windows 10 bị treo và hiển thị BSOD khi được nhập vào thanh địa chỉ Chrome.
Lykkegaard cho biết anh ta đã phát hiện ra có thể thay đổi đường dẫn trong không gian tên thiết bị Win32 làm đối số cho các lệnh gọi API Windows để tương tác trực tiếp với các thiết bị Windows. Đường dẫn này cho phép truy cập trực tiếp vào đĩa cứng vật lý, bỏ qua các hàm API của hệ thống tệp. Khi mở đường dẫn theo nhiều cách khác nhau, ngay cả từ những người dùng không có quyền Admin, vẫn sẽ khiến Windows 10 gặp sự cố.
Lykkegaard đã phát hiện ra nếu bạn cố gắng kết nối với đường dẫn mà không chuyển thuộc tính do kiểm tra lỗi không đúng cách, nó sẽ gây ra ngoại lệ gây ra lỗi BSOD trong Windows 10.
Đây là đường dẫn khiến Windows bị hỏng:
\\.\globalroot\device\condrv\kernelconnect
AnonyVIet đã khởi động Windows 10 20H2 (phiên bản Windows mới nhất của Microsoft). Sau đó, mình khởi chạy trình duyệt Google Chrome và nhập đường dẫn trên vào thanh địa chỉ trình duyệt. Ngay sau nhấn Enter để thực thi đường dẫn, Windows 10 thực sự đã gặp sự cố với BlueScreen.
Có nhiều cách để thực thi lệnh này khiến Windows bị lỗi, vì đường dẫn có thể được nhập trong Explorer, trong dấu nhắc lệnh của CMD (ví dụ: khi đăng nhập), v.v. Việc khai thác lỗi này không phụ thuộc vào đặc quyền của người dùng, nó hoạt động ngay cả với User bình thường. Mình đã chạy thử nghiệm qua Remote Desktop từ Windows 7 đến máy ảo Windows 10 20H2 sau đó đã Windows đã bị treo.
Một số người dùng phản ánh, lỗi này cũng xuất hiện trong Windows Server 2019 và Windows 10 V1507 LTSC. Riêng đối với Windows 8.1 và Windows Server 2012 không bị ảnh hưởng bởi lỗi đường dẫn này nên không gây ra hiện tượng treo Windows.
Kẻ xấu có thể lạm dụng lỗi này để phá máy tính của bạn
Mặc dù vẫn chưa xác định được lỗi này có thể bị khai thác để thực thi mã từ xa hoặc đặc quyền nâng cao hay không, nhưng ở dạng hiện tại, nó có thể được sử dụng như một cuộc tấn công từ chối dịch vụ trên máy tính.
Một file URL Windows (.url) hoặc một shortcut với đường dẫn với cài đặt trỏ tới \\.\globalroot\device\condrv\kernelconnect dễ dàng khiến Windows 10 bị treo. Khi file được tải xuống, Windows 10 sẽ cố gắng hiển thị biểu tượng (icon) của file URL là đường dẫn trỏ tới địa chỉ bên trên, Windows 10 sẽ treo ngay lập tức.
Tương tự như lỗi NTFS trên Windows 10, các chuyên gia bảo mật đã tìm ra nhiều cách khác để khai thác lỗi này, bao gồm các phương pháp gây ra BSOD tự động khi đăng nhập Windows.
Trong một kịch bản thực tế, lỗi này có thể bị lạm dụng bởi những người có ý đồ xấu có quyền truy cập vào mạng và muốn che dấu vết của chúng trong một cuộc tấn công.
Nếu họ có thông tin đăng nhập của Admin, Hacker có thể thực hiện từ xa một lệnh truy cập đường dẫn này trên tất cả các thiết bị Windows 10 trên mạng để khiến hệ thống gặp sự cố.
Vào năm 2017, một kịch bản tấn công tương tự đã được Hacker sử dụng trong một vụ trộm ngân hàng thuộc Ngân hàng Quốc tế Viễn Đông (FEIB) ở Đài Loan. Trong cuộc tấn công đó, Hacker đã triển khai ransomware Hermes trên mạng để làm gián đoạn các cuộc điều tra về vụ tấn công này.
Câu hỏi thường gặp
Đường dẫn “\.\globalroot\device\condrv\kernelconnect” là gì và tại sao nó lại gây ra lỗi?
Đó là một đường dẫn đặc biệt trong Windows cho phép truy cập trực tiếp vào các thành phần cấp thấp của hệ thống. Việc truy cập không đúng cách vào đường dẫn này có thể gây ra lỗi và khiến Windows 10 bị treo (BSOD).
Làm thế nào để tránh bị ảnh hưởng bởi lỗi này?
Tránh mở hoặc truy cập đường dẫn “\\.\globalroot\device\condrv\kernelconnect” bằng bất kỳ cách nào, bao gồm cả việc nhập nó vào thanh địa chỉ trình duyệt hay sử dụng trong các lệnh Windows. Cập nhật Windows thường xuyên cũng giúp giảm thiểu rủi ro.
Lỗi này có thể được khai thác như thế nào và tôi có nên lo lắng không?
Lỗi này có thể được dùng trong các cuộc tấn công từ chối dịch vụ (DoS), khiến máy tính của bạn bị treo. Tuy nhiên, nó không tự động cho phép truy cập trái phép. Hãy cảnh giác với các liên kết hoặc tệp tin đáng ngờ.
