Hacking Kiến thức

Sự nguy hiểm của file VHD và VHDX

A. Sơ lược về định dạng .vhd và .vhdx

Định dạng file ổ đĩa ảo (VHD), được giới thiệu chính thức với Connectix Virtual PC, có thể chứa nội dung của một ổ đĩa cứng hoàn chỉnh. Cuối cùng, Hyper-V đã chấp nhận định dạng đĩa này. Hệ điều hành Windows 7 trở lên được trang bị khả năng mount files VHD thủ công. Bắt đầu từ Windows 8, người dùng có thể mount file VHD chỉ bằng một cú click đúp chuột. Khi đã được Mount file VHD xuất hiện trong Windows như một ổ cứng vật lí kết nối với hệ thống. Phiên bản thứ hai (VHDX) có các chức năng tương tự VHD, nhưng đi kèm một số chức năng hiện đại hơn, ví dụ như hỗ trợ dung lượng lớn hơn và hỗ trợ thay đổi kích cỡ ổ đĩa

B. VHD, VHDX và việc file hệ thống bị hỏng

Sau khi vọc vạch các file ảnh hệ thống với BFF, tôi đã tìm ra một số cách có thể làm ngưng hoạt động Windows đó là cho mount một disk bị hỏng. Ví dụ như cắm USB với một file hệ thống bị hỏng cũng có thể khiến Windows Crash. nhưng điều này cần bạn phải đứng cạnh máy nạn nhân. VHD và VHDX có thể xử lí vấn đề này, nếu user chỉ cần mout một file VHD hay VHDX đặc biệt chứa một file hệ thống đặc biệt, nó sẽ khiến Windows bị crash hoặc tồi tệ hơn là BSOD

C. Mark of the Web

Mark of the Web (MOTW) được giới thiệu trong Windows XP SP2 cho phép WIndows đánh dấu các file trong ổ đĩa của bạn các thông tin dựa trên Internet Explorer security zone và nguồn gốc của các file đó. Điều này có nghĩa là các file được tải về từ Internet được đánh dấu là file có nguy cơ và cần phải cẩn trọng khi xem

Ví dụ như file Word dưới đây bị đánh tag bởi MOTW và và được mặc định mở trong Protected View.

Trên Windows 10, chúng ta có Windows Defender SmartScreen ngăn chặn các file không tin tưởng tải từ Internet thực thi

D. VHD/VHDX Files và MOTW

Nhìn từ phía người dùng, từ Windows 8 trở lên, file VHD và VHDX có chức năng tương tự một file ZIP. Nhưng file ZIP thì có thể bị đánh dấu từ MOTW còn file VHD, VHDX thì không. Do vậy chúng ta sẽ không có sự phòng vệ đủ cần thiết với các file có nguồn gốc từ Internet. Các bạn có thể xem ví dụ ở video sau

E. VHD/VHDX và Antivirus

Tôi chưa tìm ra được bằng chứng nào cho thấy Antivirus sẽ quét những file bên trong file VHD hoặc VHDX. Tôi đã thử tạo một file VHD chứa các file dùng để test các AntiMalaware từ EICAR và quét thử trên VirusTotal và đây là kết quả

F. File ISO và IMG

Giống như VHD/VHDX, các file chứa trong file ISO và IMG đều không bị đánh dấu bởi MOTW, tuy nhiên khác với VHD, một vài Antivirus vẫn có thể quét các file chứa trong file ISO hay IMG

Thử nghiệm tương tự, Tôi đã thử tạo một file ISO chứa các file dùng để test các AntiMalaware từ EICAR và quét thử trên VirusTotal và đây là kết quả

G. Phòng ngừa

Bài gốc: The Dangers of VHD and VHDX Files – Carnegie Mellon University

Lược dịch bởi Nguyễn Anh Kiệt

Bài hay nên đọc

Truy tìm tài khoản truyền thông xã hội bằng tên người dùng với công cụ: Sherlock

Hack Windows, Android, Mac với công cụ TheFatRat

Tổng hợp các Distro Linux tốt nhất dành cho các đối tượng khác nhau

Đánh giá Q4OS – Tái sử dụng chiếc máy tính cũ của bạn

Mời tải về Kali Linux 2019.3

Hits: 1134