As descobertas de vulnerabilidades de software por pesquisadores de segurança vêm e vão e, na maioria das vezes, são prontamente seguidas por correções do fornecedor. Depois de cada susto nas manchetes, você lê os relatórios dos laboratórios, você ouve sobre as correções, e bem, todos podem relaxar, por pelo menos o momento.

Notícias de firmware sobre vulnerabilidades são outro assunto e preocupante. É por isso que uma descoberta do Espectro está sendo notícia este mês. Um observador de ameaças que já trabalhou com a Intel agora lidera o monitoramento de ataques de firmware do Eclypsium e relatou novas descobertas sobre vulnerabilidades.

O Bloomberg estava entre vários sites que relataram que o ex-pesquisador-chefe de ameaças da Intel encontrou novas vulnerabilidades baseadas nos bugs Spectre. Essas falhas foram reveladas por um ex-líder da equipe de pesquisa de ameaças avançadas da Intel, Yuriy Bulygin, que agora é CEO da Eclypsium.

A pesquisa mostrou que era possível realizar uma exploração de hacker para acessar o firmware de um computador.

Biping Computer disse que a nova variação de um ataque Spectre recupera dados do modo SMM protegido de uma CPU. SMM significa Modo de Gerenciamento do Sistema. É um modo operacional de unidades de processador central x86 (CPUs). Catlin Cimpanu explicou que o ataque pode recuperar dados armazenados dentro de uma área segura da CPU.

OSDev.org, uma comunidade de desenvolvedores de sistemas operacionais, disse que o modo foi "destinado ao uso do firmware / BIOS para executar operações de gerenciamento de sistema de baixo nível enquanto um sistema operacional está em execução".

Esta nova variante do Spectre pode expor o conteúdo da memória que normalmente não pode ser acessado pelo kernel do sistema operacional, escreveu Liam Tung, ZDNet .

Jordan Robertson em Bloomberg disse:"Com acesso à memória SMM, os hackers podem obter basicamente todos os dados que quiserem. "

Cimpanu disse que o SMM é um modo de processador x86 especial "que nem mesmo software altamente privilegiado, como kernels ou hipervisores, não pode acessar ou interromper". Cimpanu observou que "aplicativos de software de qualquer tipo não têm permissão para interagir com o SMM, por motivos de manutenção e segurança. "

O ataque pode expor o código SMM e os dados que deveriam ser confidenciais.

Robertson na Bloomberg acrescentou que "os hackers que acessam o firmware desses sistemas não só podem se mover entre os bancos de dados e roubar informações, mas também examinar o próprio código do firmware para revelar alguns dos segredos mais fortemente defendidos dos servidores, incluindo chaves de criptografia e senhas administrativas. "

Cimpanu disse, "Esta também não é a primeira variação da vulnerabilidade original do Spectre. Outros ataques relacionados ao Spectre incluem SgxSpectre, BranchScope, e SpectrePrime. "

Então, como Eclypsium executou o ataque? Cimpanu disse, em CPUs Intel, o acesso ao SMM é protegido por um tipo de registro de intervalo conhecido como System Management Range Register (SMRR).

Nós vamos, a equipe encontrou uma maneira de contornar o mecanismo SMRR. Eles podem acessar os dados armazenados na RAM de gerenciamento do sistema (SMRAM), e essa, disse Cimpanu, é a área onde o SMM executa seus dados de trabalho.

No quadro geral, Bloomberg refletiu sobre firmware. "A Eclypsium é uma das poucas empresas que desenvolvem tecnologia para procurar modificações maliciosas no firmware dentro dos data centers das empresas."

O próprio Elysium apontou que "Firmware em servidores, laptops, e o equipamento de rede tornou-se o novo alvo dos adversários que percebem que este é o ponto cego do defensor. "

Ponto cego, de que maneira? Robertson disse que essa classe de ataque de hardware era virtualmente indetectável. "Os hacks de software geralmente podem ser removidos com uma atualização de segurança, mas o código malicioso que entra no firmware pode estar lá para sempre devido ao seu papel no backbone de um chip ou processador ". Ele citou Bulygin, que disse que era "um ponto cego com uma enorme superfície de ataque". e essa, Bulygin adicionado, era "obviamente não é uma boa combinação."

"A placa-mãe principal, placas de rede, controladores de gestão, os dispositivos de armazenamento e dezenas de outros componentes no coração de nossos dispositivos dependem de firmware desenvolvido por diferentes fabricantes e podem estar comprometidos. Isso é verdadeiro para qualquer tipo de dispositivo e sistema operacional, desde laptops a servidores que executam nossos aplicativos na empresa, aos dispositivos de rede que operam nossa infraestrutura de rede, para sistemas industriais que operam nossa infraestrutura crítica, ", disse um post no Eclypsium." É uma grande superfície de ataque e os dispositivos podem ser colocados nos fundos da cadeia de abastecimento antes mesmo de você retirá-los da caixa. ".

Rob Williams em Hardware Quente disse que "Se houver uma vantagem para esses novos vetores de ataque, é que a Intel afirma que atenuar a variante 1 do Espectro em vigor resolve esse exploit SMM adicionado. "

Os pesquisadores notificaram a Intel sobre sua nova variação de ataque Spectre, disse Biping Computer . "A Intel diz que os patches originais para as variantes 1 e 2 do Spectre devem ser suficientes para bloquear a cadeia de ataque descoberta pela equipe do Eclypsium."

Com certeza, Declaração da Intel, conforme relatado em vários sites, disse, “'Nós revisamos a pesquisa da Eclypsium e, conforme observado em seu blog, acreditamos que a orientação existente para mitigar a Variante 1 e a Variante 2 será igualmente eficaz na mitigação desses cenários, "disse um porta-voz da Intel." Valorizamos nossa parceria com a comunidade de pesquisa e agradecemos o trabalho da Eclypsium nessa área '.

Seguindo em frente, Williams disse o seguinte:"tudo o que podemos fazer é esperar que os futuros microprocessadores não sofram um bug de tão amplo alcance. A IA poderia muito bem ajudar com esse tipo de coisa, detectar problemas muito antes de um ser humano. Precisamos dessa ajuda de backup mais cedo ou mais tarde. "

© 2018 Tech Xplore