Jedenaście starych programów rozruchowych podpisanych cyfrowo przez Microsoft mogło pozwolić cyberprzestępcom ominąć mechanizm UEFI Secure Boot. Wykorzystanie podatnych plików umożliwiało uruchomienie złośliwego kodu jeszcze przed startem systemu operacyjnego, a nawet instalację trudnego do wykrycia złośliwego oprogramowania. Microsoft unieważnił już podatne pliki po zgłoszeniu badaczy ESET.
Analitycy ESET odkryli jedenaście podatnych programów rozruchowych UEFI, które zostały wcześniej podpisane cyfrowo przez Microsoft. Pliki mogły posłużyć do ominięcia mechanizmu Secure Boot, chroniącego komputer przed uruchomieniem nieautoryzowanego oprogramowania podczas startu urządzenia.
UEFI to oprogramowanie odpowiadające za uruchomienie komputera jeszcze przed włączeniem systemu operacyjnego. Jednym z jego zabezpieczeń jest Secure Boot, który sprawdza, czy uruchamiane elementy są podpisane przez zaufanego dostawcę i nie zostały zmodyfikowane.
Analitycy ESET wykazali jednak, że w tym procesie można było wykorzystać stare wersje tzw. shimów – niewielkich programów pośredniczących pomiędzy UEFI a systemem operacyjnym. Choć zawierały znane od lat podatności, nadal posiadały ważny podpis cyfrowy Microsoftu, dlatego komputer mógł uznać je za zaufane.
Złośliwy kod uruchomiony przed systemem
Atakujący wykorzystujący jeden z podatnych plików mógł uruchomić nieautoryzowany kod na bardzo wczesnym etapie startu urządzenia. Otwierało to drogę do instalacji tzw. bootkita UEFI – złośliwego oprogramowania działającego przed uruchomieniem systemu operacyjnego. Tego rodzaju zagrożenie może być szczególnie trudne do wykrycia i usunięcia. Ponieważ działa poza standardowym środowiskiem systemu, może zachować dostęp do urządzenia pomimo ponownej instalacji systemu operacyjnego lub wymiany dysku.
Co istotne, zagrożenie nie ograniczało się do komputerów, na których wcześniej zainstalowano podatne oprogramowanie. Cyberprzestępca mógł sam dostarczyć kopię starego, podpisanego pliku na urządzenie, które ufało certyfikatowi Microsoft Corporation UEFI CA 2011. Problem mógł więc dotyczyć urządzeń korzystających z różnych systemów operacyjnych.
Do ataku nie była potrzebna nowa luka
– Niebezpieczeństwo nie wynikało z odkrycia nowej, skomplikowanej podatności. Atakujący potrzebował jedynie kopii starego programu, który nadal był uznawany przez urządzenie za zaufany, oraz podstawowej wiedzy o działaniu UEFI. To wystarczało, aby ominąć tak istotne zabezpieczenie jak Secure Boot – wyjaśnia Martin Smolár, analityk ESET, który odkrył podatne pliki.
Podatne programy pochodziły z różnych narzędzi i pakietów oprogramowania, w tym programów diagnostycznych, dystrybucji Linuksa i innych rozwiązań wykorzystujących UEFI. Sam proces podpisywania takich plików przez Microsoft był zgodny z założeniami mechanizmu. Problem polegał jednak na tym, że starsze, podatne wersje nie były wystarczająco szybko usuwane z listy zaufanych programów.
Co należy zrobić, aby pozostać bezpiecznym?
ESET zgłosił odkrycie do CERT/CC. Następnie podatne aplikacje UEFI zostały unieważnione przez Microsoft.
Na komputerach z systemem Windows odpowiednie zmiany dostarczane są wraz z aktualizacjami zawierającymi najnowszą bazę unieważnień Secure Boot. W przypadku systemów Linux aktualizacje oprogramowania układowego powinny być udostępniane za pośrednictwem Linux Vendor Firmware Service. Należy upewnić się, że na komputerze włączone są automatyczne aktualizacje lub pobrać i zainstalować wszystkie najnowsze łatki bezpieczeństwa.
Użytkownicy i administratorzy powinni przede wszystkim:
- regularnie instalować aktualizacje systemu i oprogramowania układowego,
- nie wyłączać mechanizmu Secure Boot bez wyraźnej potrzeby,
- korzystać z rozwiązań bezpieczeństwa potrafiących wykrywać zagrożenia działające na poziomie UEFI,
- w organizacjach kontrolować stan aktualizacji oprogramowania układowego urządzeń.
Obserwuj nas na Google News
Zobacz również:
- Kradzież pieniędzy z bankomatów – komentarz
- Myślisz, że nie nabierzesz się na deepfake?
- Czy Twój telefon Cię podgląda? Jakie sygnały mogą o tym świadczyć?
- Touroll J2 ST – praktyczny rower elektryczny do codziennej jazdy. Komfort, wygoda i rozsądna cena(test i opinia)
- Czy monitoring z 3. piętra ma sens? Testuję Reolink Floodlight F850W na dystansie 200 metrów!
Informacja prasowa: ESET
Zdjęcia:
