WPAD Proxy Attack: Cơ chế, rủi ro và cách phòng tránh

WPAD Proxy Attack lợi dụng cơ chế tự động tìm proxy để đưa lưu lượng qua máy chủ do kẻ xấu kiểm soát. Bài viết dành cho người dùng cá nhân và quản trị mạng doanh nghiệp. Cùng ProxyVN tìm hiểu cơ chế, hậu quả, dấu hiệu và cách phòng ngừa dễ áp dụng.

WPAD Proxy Attack là gì và vì sao có thể xảy ra?

WPAD là viết tắt của Web Proxy Auto-Discovery Protocol, tức giao thức tự động phát hiện proxy web. Nó giúp thiết bị nhận cấu hình proxy mà người dùng không phải nhập địa chỉ thủ công.

Theo tài liệu cấu hình proxy trên Windows của Microsoft, WPAD có thể lấy thông tin qua DNS hoặc DHCP. Nhờ vậy, quản trị viên dễ phân phối một cấu hình chung cho nhiều máy.

Như vậy, WPAD Proxy Attack (tấn công thông qua Giao thức Tự động Phát hiện Proxy Web) là một kỹ thuật tấn công mạng dạng Man-in-the-Middle (MitM). Kẻ tấn công lợi dụng tính năng tự động tìm kiếm cấu hình proxy của hệ điều hành (đặc biệt là Windows) để chuyển hướng lưu lượng truy cập của nạn nhân qua máy chủ của chúng.

Tấn công Giao thức Tự động Phát hiện Proxy Web

WPAD và tệp PAC

Khi tự động phát hiện được bật, thiết bị tìm tệp PAC, thường mang tên wpad.dat. Tệp chứa quy tắc quyết định kết nối nào đi qua proxy hoặc truy cập trực tiếp.

Rủi ro xuất hiện khi thiết bị tin nguồn giả mạo. Kẻ tấn công có thể lợi dụng DNS, DHCP, LLMNR hoặc NBNS để cung cấp PAC độc hại.

WPAD là cơ chế quản trị hợp lệ. Tuy nhiên, việc tự động tin nhầm nguồn cấu hình có thể biến sự tiện lợi thành rủi ro.

Microsoft từng xếp các lỗ hổng WPAD trong bản tin MS16-077 ở mức Important. Bản tin mô tả khả năng kẻ tấn công phản hồi truy vấn NetBIOS cho WPAD và kiểm soát lưu lượng ngoài quyền hạn.

Cách WPAD Proxy Attack chuyển hướng lưu lượng

Cuộc tấn công thường diễn ra theo chuỗi gồm ba giai đoạn.

Giả mạo máy chủ WPAD

Đầu tiên, thiết bị gửi yêu cầu tìm cấu hình proxy. Kẻ xấu ở cùng mạng hoặc đã can thiệp hạ tầng sẽ cố phản hồi trước máy chủ hợp lệ.

Giả mạo máy chủ WPAD

Thiết bị có thể tin địa chỉ do đối tượng cung cấp là nơi lưu PAC.

Phân phối PAC giả

Tiếp theo, máy nạn nhân tải wpad.dat. Tệp có thể yêu cầu trình duyệt và một số ứng dụng gửi kết nối qua proxy lạ.

Chuyển hướng qua proxy giả

Sau khi PAC được áp dụng, proxy giả đứng giữa thiết bị và website đích. Chuỗi hoạt động gồm:

• Thiết bị hỏi mạng về vị trí cấu hình WPAD.

• Máy chủ giả trả về địa chỉ PAC do kẻ xấu quản lý.

• Thiết bị tự tải và áp dụng quy tắc proxy.

• Lưu lượng phù hợp bị chuyển qua proxy giả.

Như vậy, đối tượng không nhất thiết xâm nhập trình duyệt. Chúng khiến thiết bị tự chọn sai tuyến mạng bằng cấu hình trông có vẻ hợp lệ.

Hậu quả và dấu hiệu của WPAD Proxy Attack

Mức độ thiệt hại phụ thuộc loại kết nối và cấu hình bảo mật. Vì vậy, proxy lạ không đồng nghĩa mọi dữ liệu đã bị đọc.

Rủi ro với HTTP

Lưu lượng HTTP không mã hóa có thể bị đọc hoặc chỉnh sửa. Tên đăng nhập, biểu mẫu và dữ liệu phiên có nguy cơ bị lộ nếu website vẫn truyền chúng qua HTTP.

Đối tượng còn có thể thay nội dung hoặc dẫn người dùng tới trang đăng nhập giả.

HTTPS không tự động bị giải mã

Một proxy WPAD giả không mặc nhiên giải mã được phiên HTTPS hợp lệ. Nếu chứng chỉ được xác minh đúng, TLS vẫn bảo vệ nội dung giữa trình duyệt và máy chủ đích.

Đối tượng có thể dụ người dùng chuyển sang HTTP hoặc bỏ qua cảnh báo. Việc đọc HTTPS thường cần thêm điều kiện, như chứng chỉ giả đã được tin cậy.

Khi trình duyệt báo lỗi chứng chỉ sau lúc đổi Wi-Fi, anh em nên ngắt mạng, kiểm tra proxy và xác minh website bằng kết nối đáng tin hơn.

Dấu hiệu cần rà soát

Một biểu hiện riêng lẻ chưa đủ kết luận có tấn công. Nhiều dấu hiệu cùng xuất hiện mới là lý do để kiểm tra sâu:

• Website quen thuộc chuyển sang HTTP hoặc báo lỗi chứng chỉ.

• Trang đăng nhập có tên miền hay giao diện khác thường.

• Nhật ký DNS có nhiều truy vấn wpad ngoài dự kiến.

• Lưu lượng đi qua proxy mà quản trị viên không thiết lập.

Tóm lại, cảnh báo chứng chỉ và proxy lạ cần được xác minh, không nên bỏ qua để tiếp tục truy cập.

Cách phòng chống WPAD Proxy Attack

Trước tiên, cần xác định mạng có đang dùng WPAD hay không. Tắt thiếu kiểm tra có thể làm gián đoạn ứng dụng doanh nghiệp cần proxy tự động.

Phòng chống WPAD Proxy Attack

Dành cho người dùng cá nhân

Nếu không dùng proxy do cơ quan cung cấp, anh em có thể kiểm tra Windows theo trình tự sau:

• Mở Settings, chọn Network & Internet, rồi chọn Proxy.

• Tắt Automatically detect settings trong phần thiết lập tự động.

• Kiểm tra Use setup script và Use a proxy server; chỉ giữ cấu hình đã xác minh.

• Khởi động lại trình duyệt, kiểm tra tên miền và chứng chỉ HTTPS.

• Không đăng nhập tài khoản quan trọng trên Wi-Fi có dấu hiệu lạ.

Microsoft lưu ý tắt WPAD trong WinHTTP chưa bao phủ mọi ứng dụng bên thứ ba. Vì vậy, hướng dẫn vô hiệu hóa WPAD của Microsoft yêu cầu tắt thêm trong Windows Settings.

Dành cho mạng doanh nghiệp

Quản trị viên cần kiểm soát cả thiết bị đầu cuối, DNS và DHCP. Các việc nên ưu tiên gồm:

• Xác định hệ thống có dùng WPAD, PAC hoặc proxy tĩnh.

• Nếu không dùng WPAD, vô hiệu hóa bằng chính sách tập trung và trên hệ điều hành.

• Nếu vẫn dùng, chỉ cấp WPAD và PAC từ máy chủ nội bộ được quản lý.

• Ngăn phản hồi DNS, DHCP, LLMNR hoặc NBNS trái phép.

• Cập nhật hệ điều hành và phần mềm để nhận bản vá bảo mật.

• Theo dõi truy vấn wpad, nguồn tải PAC và thay đổi tuyến proxy.

• Tách mạng khách khỏi mạng nhân viên để hạn chế can thiệp.

• Cân nhắc proxy tĩnh khi cấu hình ít thay đổi và có phương án dự phòng.

Trên Windows 10 phiên bản 1809 và Windows Server 2019 trở lên, Microsoft cung cấp khóa DisableWpad cho WinHTTP. Việc chỉnh Registry nên được quản trị viên sao lưu và thử nghiệm trước.

Case kiểm tra WPAD Proxy Attack và bài học vận hành

Trong tình huống giả lập, nhân viên dùng Wi-Fi chung rồi gặp lỗi chứng chỉ. Đội phụ trách kiểm tra tuyến proxy, DNS và nguồn PAC.

Máy đang nhận cấu hình từ máy chủ ngoài danh sách quản lý. Quy trình xử lý gồm:

• Ngắt thiết bị khỏi mạng nghi ngờ.

• Không nhập mật khẩu trên trang báo lỗi chứng chỉ.

• Xóa cấu hình lạ và tắt tự động phát hiện nếu không cần.

• Đổi thông tin đăng nhập đã gửi qua trang đáng ngờ.

• Rà soát thiết bị, nhật ký DNS và lưu lượng mạng.

Bài học là kết nối ổn định chưa đủ chứng minh proxy an toàn. Nguồn cấp phát rõ ràng, công cụ ít lỗi và hỗ trợ 24/24 giúp giảm gián đoạn, nhưng không thay thế chính sách bảo mật.

WPAD Proxy Attack biến cơ chế cấu hình tiện lợi thành đường chuyển hướng lưu lượng khi thiết bị tin nhầm máy chủ. Anh em nên kiểm tra WPAD, bảo vệ DNS/DHCP và không bỏ qua cảnh báo HTTPS. Để duy trì kết nối ổn định, hãy tham khảo Proxy.vn - Nhà cung cấp dịch vụ proxy chất lượng hàng đầu Việt Nam và chủ động giảm rủi ro từ WPAD Proxy Attack.