Вы используете устаревший браузер!

Страница может отображаться некорректно.

Слабые звенья

Слабые звенья

Другие выпуски этой рубрики (35)
  • добавить в избранное
    Добавить в закладки

Когда лучшее – враг хорошего

Прочитали: 4859 Комментариев: 65 Рейтинг: 159

24 апреля 2017

Если вы используете современный компьютер, то наверняка слышали про аббревиатуру UEFI. А даже если и не слышали, то, скорее всего, эта технология используется на вашем ПК. Что же это такое и чем это может помочь злоумышленникам?

UEFI (Unified Extensible Firmware Interface) – технология достаточно старая, разработана еще в 2005 году. На данный момент планируется, что UEFI станет заменой BIOS (Basic Input Output System). То есть UEFI – это BIOS нового поколения, и в качестве такового в момент включения компьютера он ищет доступное аппаратное обеспечение, проверяет его конфигурацию и инициирует начало загрузки операционной системы. Но, в отличие от традиционного BIOS, UEFI BIOS обладает гораздо более широкими возможностями.

Например, в UEFI входит SecureBoot – программная технология, при помощи которой UEFI-совместимая прошивка может проверить подлинность исполняемых внешних компонентов (загрузчиков, драйверов и UEFI OptionROM'ов) с помощью цифровой подписи. В случае отсутствия подписи или ее нелегитимности это позволяет отказаться от загрузки недоверенных компонентов.

Предполагалось, что наличие SecureBoot полностью исключит возможность использования вредоносных компонентов – ведь они не будут иметь цифровой подписи! Но гладко оказалось лишь на бумаге, и возможности атаки на загрузчик были найдены.

Дмитрий Олексюк в процессе изучения прошивки ноутбука Lenovo ThinkPad T450s выявил серьезную уязвимость в реализации UEFI, позволяющую выполнить код в режиме SMM (System Management Mode), более приоритетном, чем режим гипервизора и нулевое кольцо защиты, и имеющем неограниченный доступ ко всей системной памяти. Выполнение кода в режиме SMM позволяет отключить блокировку записи во Flash и модифицировать прошивку для отключения проверки Secure Boot или обхода ограничений гипервизора.

Изначально проблема появилась в эталонном коде прошивки для восьмой серии чипсета Intel, после чего была перенесена в прошивки Lenovo и других производителей. При этом в оригинальных прошивках Intel проблема была устранена еще в 2014 году. Кроме Lenovo проблема уже подтверждена в ноутбуках HP Pavilion и материнских платах Gigabyte. По данным компании Lenovo уязвимая прошивка была разработана одним их трех крупнейших производителей BIOS (имя поставщика не называется).

Рабочий прототип эксплойта подготовлен для UEFI-драйвера SystemSmmRuntimeRt и работает на всех сериях ноутбуков Lenovo ThinkPad, начиная с X220. Эксплойт оформлен в виде приложения UEFI, запускаемого из UEFI shell, но не исключается возможность создания эксплойтов, выполняемых из окружения операционной системы (для запуска требуются права администратора).

https://www.opennet.ru/opennews/art.shtml?num=44740

Чем больше кода, тем больше уязвимостей — это аксиома.

Начнем, пожалуй, с той самой SMM Incursion Attack, о которой тов. maseal упомянул в комментарии к первой части. Я специально поставил слово «современные» в кавычки, ибо этой атаке — сто лет в обед, впервые о ней сообщали еще в 2008 году как проблему тогдашних BIOS'ов, но в 2015 ее вновь переоткрыли Corey Kallenberg и Xeno Kovah. Атака простая как мычание — если обработчик SMI вызывает какой-либо код, находящийся вне SMRAM, то атакующий с правами на запись в физическую память может подменить вызываемый код на свой, и выполнить его таким образом в режиме SMM. А т. к. разработчики UEFI привыкли к доступности EFI Runtime-сервисов, то эти самые сервисы стабильно вызывались из обработчиков SMI на каждый чих (чаще всего это были вызовы GetVariable, SetVariable и ResetSystem). Уязвимости оказалось подвержено столько систем, что проще сказать, где их не было. По моей грубой оценке, если ваш UEFI старше мая-июня 2015 года по build date, в нем гарантированно имеется пара уязвимых к этой атаке обработчиков SMI. Вычистить систему от таких глючных обработчиков достаточно сложно, и т. к. раньше такое поведение вообще не считалось уязвимостью («какой дурак полезет сервисы хукать-то?!») и о том, что так делать нельзя, не было известно простым IBV'шным кодерам — даже сейчас периодически приходят обновления для runtime-драйверов, подверженные этой проблеме. Все очень грустно, в общем.

https://habrahabr.ru/post/267197

https://habrahabr.ru/post/267237

https://habrahabr.ru/post/267953

Возможностей атак очень много и, к сожалению, перечислить их все в формате выпуска нереально. Тем более что описание уязвимостей на таком низком уровне требует подробного рассказа почти о каждом термине.

#технологии #эксплойт #уязвимость

Антивирусная правДА! рекомендует

Почему мы посвятили целый выпуск этой проблеме? История UEFI – это отличный пример того, как перспективная идея, развивавшаяся в течение многих лет до того, как продукты на ее основе вышли на рынок, и, по предположениям ее разработчиков, обеспечивающая многоуровневую безопасность, предоставила злоумышленникам возможности, о которых во времена BIOS они и не мечтали. Эти возможности реализуются крайне редко, но исключительно потому, что зарабатывать на Adware и шифровальщиках куда проще. Вирусописатели, как и все преступники, тоже исповедуют акуну матату.

Оцените выпуск

Сделайте репост

Необходимо войти на страницу выпуска через аккаунт на сайте «Доктор Веб» (или создать аккаунт). Аккаунт должен быть связан с вашим аккаунтом в социальной сети. Видео о связывании аккаунта.


Нам важно ваше мнение

Чтобы оставить комментарий, нужно зайти через свой аккаунт на сайте «Доктор Веб». Если аккаунта еще нет, его можно создать.

Комментарии пользователей

Комментарии к другим выпускам | Мои комментарии

 
На страницу: