Znaleziono nową podatność o nazwie kodowej Eclypsium

15 Lipca 2020

Badacze z Eclypsium stwierdzili, że miliony systemów Windows i Linux sprzedawanych przez Dell, HP, Lenovo i innych producentów komputerów są narażone na ataki z powodu niepodpisanego oprogramowania komponentów peryferyjnych.

Według naukowców zarówno sprzedający, jak i atakujący wiedzieli o tym wektorze ataków od co najmniej 2015 roku; producenci nie spieszą się jednak z podpisaniem oprogramowania. Niepodpisane oprogramowanie aparatu do laptopów, kart sieciowych, trackpadów, koncentratorów USB i adapterów Wi-Fi naraża miliony systemów na kradzież danych i oprogramowanie ransomware.

Naukowcy odkryli, że oprogramowanie wewnętrzne bezprzewodowej karty Dell XPS 15 9560 można zmodyfikować, aby atakujący mogli przejąć kontrolę nad urządzeniem. Jednocześnie Dell, Qualcomm (którego układ jest wykorzystywany w karcie sieci bezprzewodowej) i Microsoft przenoszą na siebie odpowiedzialność

Qualcomm twierdzi, że oprogramowanie działające na procesorze powinno sprawdzać bezpieczeństwo oprogramowania wewnętrznego. Dell powiedział, że współpracuje ze swoim dostawcą, aby zrozumieć wpływ problemu na bezpieczeństwo. Microsoft powiedział, że to producent sterowników powinien zapewnić bezpieczeństwo oprogramowania.

Zauważono, że aktualizacje oprogramowania układowego kamery HP Wide-Vision FHD w 13-calowym konwertowalnym laptopie HP Spectre X360 również nie były szyfrowane i uwierzytelniane. Oprogramowanie można również łatwo zmienić za pomocą narzędzia dostarczonego przez HP. Jednak w tym przypadku producent powiedział, że przyszłe generacje kamer będą miały podpisane oprogramowanie układowe. Firma nie wskazała jednak, czy aktualizacje oprogramowania układowego będą szyfrowane. Ponadto istniejące kamery i urządzenia pozostaną podatne na ataki.

Naukowcy odkryli również problem bezpieczeństwa z oprogramowaniem układowym touchpada do laptopa Lenovo ThinkPad X1 Carbon 6. generacji. Oprogramowanie układowe Synaptics i Trackpoint TouchPad nie otrzymało zaszyfrowanych i podpisanych aktualizacji. Lenovo oświadczyło, że rozpoznaje problem i zachęca dostawców do rozwiązania go w przypadku przyszłych produktów. Jednak Synaptics twierdzi, że oprogramowanie układowe nie wymaga podpisu kryptograficznego, ponieważ kod jest zastrzeżony. Domyślnym jest, z powodu tego, iż ponieważ kod jest zastrzeżony, osoby atakujące powinny mieć trudności z jego użyciem.

Jednak w rzeczywistości dostawcy komponentów do komputerów są już atrakcyjnymi celami ataków. Ich liczba wzrosła w ciągu ostatnich kilku lat, ponieważ skuteczne wykorzystanie luki w zabezpieczeniach komponentu na komputerze oznacza, że osoby atakujące mogą uzyskać kontrolę nad milionami komputerów. Ponadto zastrzeżony kod rzadko zatrzymywał intruzów, szczególnie gdy dostęp do oprogramowania układowego był tak łatwy, jak zakup laptopa z touchpadem Synaptics.

Doniesiono również, że badacze sprawdzili usługę oprogramowania układowego dostawcy systemu Linux i odkryli niepodpisane oprogramowanie wewnętrzne dla koncentratora USB. W ten sposób można atakować niepodpisane oprogramowanie układowe Broadcom BCM5719 stosowanego w wielu kartach sieciowych, które są dostarczane z obecną generacją serwerów. Karta jest podłączona do magistrali PCI i może zapewniać bezpośredni dostęp do pamięci, a tym samym pełne przechwytywanie serwera. Broadcom nie wypowiedział się jeszcze na ten temat.

Pomimo faktu, że luka jest dość poważna i ma punkty wejścia, które nie są monitorowane przez standardowy Windows Defender, zintegrowane rozwiązania McAfee są w stanie śledzić nawet takie luki. Rozwiązanie McAfee LiveSafe jest w stanie chronić komputer domowy i inne urządzenia użytkownika przed istniejącymi zagrożeniami, nawet tymi, które nie są standardowe i wykorzystują takie luki. Analiza heurystyczna i zaawansowane algorytmy wykrywania podatności są w stanie śledzić i blokować nawet najbardziej niestandardowe ataki.

W rezultacie badacze Eclypsium byli zastaną sytuacją. Ostrzegają również, że tego rodzaju ataków użytkownik nie może łatwo wyeliminować. Jednak obecnie głównymi celami tych ataków będą prawdopodobnie systemy korporacyjne i centra danych. Ataki umożliwiają kradzież danych i wyłudzanie pieniędzy, co sprawia, że ten rodzaj luki jest idealny do użycia w przypadku komputerów i serwerów biznesowych.