เหตุใด Windows จึงระบุแอปแบบสุ่มเป็นภัยคุกคาม

เจ้าของพีซี Windows บางรายตื่นขึ้นมาเมื่อต้นสัปดาห์นี้แล้วพบว่าคอมพิวเตอร์ของพวกเขากลับได้รับข้อความสแปมที่เตือน Windows Defender เกี่ยวกับ "HackTool" ใหม่ที่เรียกว่า WinRing0 แม้ว่าคำเตือนเหล่านี้จะน่าตกใจอย่างแน่นอน แต่มีโอกาสที่คอมพิวเตอร์ของคุณจะไม่ถูกโจมตีจริงๆ หรืออย่างน้อยก็ยังไม่ใช่ตอนนี้ นั่นไม่ได้หมายความว่าคุณควรละเลยคำเตือน

เหตุใด WinRing0 จึงเริ่มเปิดใช้งาน Windows Defender

ปัญหาในการแจ้งเตือนแบบสุ่มแบบนี้ก็คือ ไม่ชัดเจนเสมอไปว่าภัยคุกคามคืออะไร หรือทำไม Defender จึงถือว่ามันเป็นภัยคุกคาม ในกรณีของ WinRing0 เป็นผลมาจากการโจมตีในซอฟต์แวร์ระดับเคอร์เนลนี้ ซึ่งก่อนหน้านี้เชื่อมโยงกับมัลแวร์อันตราย (ตามที่ BleepingComputer รายงาน)

โดยพื้นฐานแล้วการเข้าถึงระดับเคอร์เนลหมายความว่า WinRing0 สามารถเข้าถึงส่วนประกอบหลักและทรัพยากรของระบบปฏิบัติการได้ ถือเป็นการพนันที่อันตรายหากซอฟต์แวร์นั้นสามารถถูกใช้ประโยชน์ได้ในทางใดทางหนึ่ง และดูเหมือนว่า WinRing0 คือตัวขับเคลื่อนหลักเบื้องหลัง การทำงาน ของมัลแวร์ SteelFoxและการเข้าถึงระบบที่ติดไวรัส

แม้ว่าคุณจะพยายามทำให้การรักษาความปลอดภัยของพีซี Windows ของคุณแข็งแกร่งยิ่งขึ้นด้วย Defender แต่มัลแวร์เช่น SteelFox ยังคงสามารถใช้ช่องโหว่ที่พบใน WinRing0 เพื่อหลบเลี่ยงการป้องกันของคุณได้

ปัญหาใหญ่ประการหนึ่งกับซอฟต์แวร์อย่าง WinRing0 ก็คือ มันมักจะแทรกซึมเข้าไปในซอฟต์แวร์ต่างๆ มากมาย นั่นเป็นกรณีเดียวกับคำเตือน Windows Defender ล่าสุด ซึ่ง The Verge รายงานว่าเป็นส่วนหนึ่งของแอปควบคุมพัดลมพีซีที่ใช้กันอย่างแพร่หลายหลายตัว รวมถึง Fan Control ที่ถูกกล่าวถึงเมื่อไม่กี่ปีที่ผ่านมา

นอกจากนี้ Windows Defender ดูเหมือนจะทริกเกอร์คำเตือนหากคุณติดตั้งซอฟต์แวร์ตรวจสอบของบริษัทอื่น ๆ รวมถึง Libre Hardware Monitor, MSI Afterburner , SteelSeries Engine, Razer Synapse, OmenMon เป็นต้น

เรื่องนี้ไม่น่าแปลกใจเลย

ผลกระทบโดยรวมของสิ่งนี้ต่อซอฟต์แวร์การตรวจสอบเช่น Afterburner และ Fan Control นั้นชัดเจน เว้นแต่ว่า Microsoft จะจัดเตรียมวิธีการบางอย่างเพื่อให้แอปเหล่านี้สามารถเข้าถึงสิทธิ์ระดับต่ำในอนาคต ไม่เช่นนั้น คุณจะเสี่ยงต่อความปลอดภัยอย่างมากหากติดตั้งและใช้งานแอปใดๆ ก็ตาม

อย่างไรก็ตาม การเคลื่อนไหวครั้งนี้ไม่ใช่เรื่องที่คาดไม่ถึงเลยเหตุการณ์ CrowdStrike ครั้งใหญ่เมื่อปีที่แล้ว ส่งผลกระทบร้ายแรงต่อบริษัทหลายแห่ง รวมถึงธุรกิจที่เน้นด้านการดูแลสุขภาพบางแห่งด้วย นับตั้งแต่เหตุการณ์นั้นเป็นต้นมา Microsoft อยู่ภายใต้แรงกดดันอย่างหนักในการปิดช่องโหว่ด้านความปลอดภัยที่ไม่ควรมีอยู่ เช่น ช่องโหว่ที่ WinRing0 ใช้ในการเข้าถึงสิทธิ์ในระดับเคอร์เนล

ไม่ชัดเจนว่าเหตุใด Microsoft จึงใช้เวลานานมากในการแก้ไขปัญหา WinRing0 อย่างไรก็ตาม นี่ไม่ได้หมายความว่าซอฟต์แวร์ที่ใช้นั้นไร้ประโยชน์โดยสิ้นเชิง คุณยังสามารถใช้มันได้หากคุณต้องการ อย่างไรก็ตาม การทำเช่นนั้นอาจทำให้ระบบของคุณมีความเสี่ยง

น่าเสียดายมีวิธีแก้ไข แต่โอกาสที่จะประสบความสำเร็จมีน้อยมาก ตามความคิดเห็นบน GitHub ช่องโหว่ที่พบใน WinRing0 ได้รับการแก้ไขแล้ว อย่างไรก็ตาม การขอให้ Microsoft อนุมัติและลงนามในเวอร์ชันนั้นมีโอกาสน้อย เนื่องจากชุมชนโอเพนซอร์สที่อยู่เบื้องห��ังไม่เชื่อว่าตนมีความสามารถเพียงพอที่จะขอให้ Microsoft ลงนามในเวอร์ชันล่าสุดได้ และหากไม่มีลายเซ็นของ Microsoft คุณจะไม่สามารถติดตั้งลงในระบบ Windows ได้

ทางเลือกอื่นเพียงทางเดียวคือให้ผู้พัฒนาแอปพลิเคชันแต่ละรายสร้างซอฟต์แวร์ของตัวเองเพื่อเข้าถึงการอนุญาตในระดับเคอร์เนล แต่เป็นความพยายามที่มีราคาแพงซึ่งหลายคนไม่สามารถจ่ายได้ แม้ว่าจะทำเช่นนั้น ก็มีแนวโน้มว่าจะส่งผลให้ผู้ใช้ซอฟต์แวร์ต้องเสียค่าใช้จ่ายเพิ่มเติมในการซื้อซอฟต์แวร์

หากคุณใช้ซอฟต์แวร์ตรวจสอบใดๆ ที่กล่าวไว้ข้างต้น หรือหากคุณสังเกตเห็นว่า Windows Defender แจ้งเตือนคุณเกี่ยวกับ WinRing0 บนระบบของคุณ ก็อาจไม่มีอะไรที่ต้องกังวลในตอนนี้ อย่างไรก็ตาม จะดีกว่าที่จะปลอดภัยไว้มากกว่าแก้ไข โดยเฉพาะอย่างยิ่งเมื่อเกี่ยวข้องกับซอฟต์แวร์ที่มีสิทธิ์การเข้าถึงระดับเคอร์เนล เช่นนี้