Σύμφωνα με μια πρόσφατη παρουσίαση ασφαλείας, επιτιθέμενοι μπόρεσαν
να μολύνουν συστήματα Macintosh με ένα ιδιαίτερο είδος κακόβουλου
λογισμικού χρησιμοποιώντας τη θύρα Thunderbolt του υπολογιστή. Η επίθεση
ονομάστηκε Thunderstrike, και παρουσιάστηκε
από τον ερευνητή ασφάλειας Trammell Hudson στο Chaos Communications
Congress στη Γερμανία. Ο Hudson είναι αρκετά γνωστός στην κοινότητα
ασφαλείας, ιδιαίτερα για την αντίστροφη μηχανική του σε διάφορες
συσκευές ......και συστήματα.MacBook Thunderstrike Thunderstrike
Παρακάτω μπορείτε να παρακολουθήσετε ολόκληρη την παρουσίαση του
Hudson ή και να διαβάσετε μια σχολιασμένη έκδοση της ομιλίας του, αλλά η
ουσία είναι ότι η επίθεση εκμεταλλεύεται ένα ελάττωμα της θύρας Thunderbolt που επιτρέπει την εισαγωγή προσαρμοσμένου κώδικα – όπως π.χ. ένα bootkit – στο σύστημα χρησιμοποιώντας τη θύρα.
Η ευπάθεια Thunderstrike εκμεταλλεύεται το Thunderbolt Option ROM, που περιγράφηκε για πρώτη φορά το 2012. Το PoC του Hudson όμως προχοράει αρκετά βήματα παρακάτω (απόπειρες εκμετάλλευσης του ελαττώματος στο παρελθόν για την εγγραφή νέου κώδικα στην ROM κατά την εκκίνηση απογοήτευσαν πολλούς ερευνητές).
Τελικά, το PoC του Hudson δείχνει πως ένας εισβολέας θα μπορούσε να χρησιμοποιήσει τη θύρα Thunderbolt για να εγκαταστήσει ένα προσαρμοσμένο bootkit. Αυτό bootkit θα μπορούσε να αναπαραχθεί και σε οποιαδήποτε άλλη συνδεδεμένη μέσω Thunderbolt συσκευή, πράγμα που σημαίνει ότι θα μπορούσε να εξαπλωθεί σε ολόκληρα δίκτυα.
Το τρομακτικό είναι ότι, επειδή αυτός ο κώδικας χρησιμοποιεί δικό του ξεχωριστό ROM, η επίθεση δεν μπορεί να ανακοπεί με την εκ νέου εγκατάσταση του OS X ή την εναλλαγή του σκληρού δίσκου.
Ο Hudson έδειξε επίσης ότι μπορούσε να αντικαταστήσει τα κλειδιά κρυπτογράφησης που χρησιμοποιεί η Apple χρησιμοποιεί για να υπογράψει με νέο κλειδί το firmware, κάτι το οποίο.....
Διαβάστε περισσότερα στο: www.secnews.gr
Η ευπάθεια Thunderstrike εκμεταλλεύεται το Thunderbolt Option ROM, που περιγράφηκε για πρώτη φορά το 2012. Το PoC του Hudson όμως προχοράει αρκετά βήματα παρακάτω (απόπειρες εκμετάλλευσης του ελαττώματος στο παρελθόν για την εγγραφή νέου κώδικα στην ROM κατά την εκκίνηση απογοήτευσαν πολλούς ερευνητές).
Τελικά, το PoC του Hudson δείχνει πως ένας εισβολέας θα μπορούσε να χρησιμοποιήσει τη θύρα Thunderbolt για να εγκαταστήσει ένα προσαρμοσμένο bootkit. Αυτό bootkit θα μπορούσε να αναπαραχθεί και σε οποιαδήποτε άλλη συνδεδεμένη μέσω Thunderbolt συσκευή, πράγμα που σημαίνει ότι θα μπορούσε να εξαπλωθεί σε ολόκληρα δίκτυα.
Το τρομακτικό είναι ότι, επειδή αυτός ο κώδικας χρησιμοποιεί δικό του ξεχωριστό ROM, η επίθεση δεν μπορεί να ανακοπεί με την εκ νέου εγκατάσταση του OS X ή την εναλλαγή του σκληρού δίσκου.
Ο Hudson έδειξε επίσης ότι μπορούσε να αντικαταστήσει τα κλειδιά κρυπτογράφησης που χρησιμοποιεί η Apple χρησιμοποιεί για να υπογράψει με νέο κλειδί το firmware, κάτι το οποίο.....
Διαβάστε περισσότερα στο: www.secnews.gr