Se puede abusar del componente de firmware Gigabyte como puerta trasera
Los investigadores advierten que el firmware UEFI en muchas placas base del fabricante de hardware de PC Gigabyte inyecta de manera insegura un código ejecutable en el kernel de Windows que los atacantes pueden explotar para comprometer los sistemas. Los grupos APT sofisticados abusan de implementaciones similares en la naturaleza.
«Aunque nuestra investigación en curso no ha confirmado la explotación por parte de ningún actor de amenazas específico, una puerta trasera activa y generalizada que es difícil de eliminar plantea un riesgo en la cadena de suministro para las organizaciones con sistemas de gigabytes», dijeron investigadores de la firma de seguridad Eclypsium. un informe.
Inyección de malware ejecutable desde firmware
Los investigadores de Eclypsium se toparon con la implementación vulnerable después de que su plataforma desencadenara detecciones de comportamiento que parecían consistentes con un rootkit BIOS/UEFI. Dichos rootkits, también conocidos como bootkits, son muy peligrosos y difíciles de eliminar porque residen en el firmware del sistema de bajo nivel e inyectan código en el sistema operativo cada vez que se inicia. Esto significa que reinstalar el sistema operativo o incluso reemplazar el disco duro no puede eliminar la infección y reaparecerá.
El firmware UEFI es un mini sistema operativo autónomo con varios módulos que maneja la inicialización del hardware antes de que la secuencia de arranque pase al cargador de arranque y al sistema operativo instalado.
El proceso de inyectar código del firmware en la memoria del sistema operativo se ha utilizado para varias implementaciones de características. Por ejemplo, algunos BIOS tienen una función antirrobo llamada Absolute LoJack, anteriormente conocida como Computrace, que permite a los usuarios rastrear y borrar sus computadoras de forma remota en caso de robo. Esto se implementa haciendo que un agente BIOS inyecte una aplicación en el sistema operativo incluso cuando se reinstala.
Los investigadores de seguridad han estado advirtiendo desde 2014 que el agente de Windows LoJack puede ser mal utilizado y engañado para conectarse a un servidor no autorizado. Luego, en 2018, los investigadores descubrieron que la tecnología estaba siendo secuestrada por APT28, también conocida como Fancy Bear, una rama de piratería de la agencia de inteligencia militar rusa.
De manera similar, el módulo de firmware de Gigabyte inserta un ejecutable de Windows en la tabla WPBT ACPI al iniciar el sistema, desde donde el subsistema Windows Session Manager (smss.exe) lo ejecuta automáticamente y escribe un archivo llamado GigabyteUpdateService en la carpeta .exe de Windows System32. El objetivo en este caso es que el BIOS implemente automáticamente un sistema Gigabyte y una aplicación de actualización de controladores cuando la característica del BIOS «Descarga e instalación del centro de aplicaciones» está habilitada.
Conexiones inseguras al servidor de descarga
La aplicación de actualización de Gigabyte busca automáticamente actualizaciones para descargar y ejecutar al verificar tres URL. Uno es un servidor de descarga de gigabytes a través de HTTPS, otro es el mismo servidor pero la conexión es a través de HTTP simple, y el tercero es una URL a un dominio no calificado llamado software-nas, que es un dispositivo en la red local que puede actuar.
Dos de los tres métodos de descarga de archivos son extremadamente problemáticos. Las conexiones HTTP sin cifrar son vulnerables a los ataques de intermediarios. Un atacante que está en la misma red o tiene el control de un enrutador en la red podría dirigir el sistema a un servidor bajo su control y la aplicación no tendría forma de saber que no se estaba comunicando con el servidor Gigabyte real.
La tercera URL es igualmente problemática e incluso más fácil de abusar, ya que un atacante podría alojar un servidor web en la misma red en un sistema comprometido y establecer el nombre de la computadora en software-nas sin siquiera recurrir a la suplantación de DNS u otras técnicas. Finalmente, incluso la conexión HTTPS es vulnerable a los ataques de intermediarios, ya que la aplicación de actualización no implementa correctamente la validación del certificado del servidor, lo que significa que los atacantes aún podrían falsificar el servidor.
Otro problema es que incluso si las herramientas y actualizaciones de Gigabyte están firmadas digitalmente con una firma válida, el firmware no verifica ni valida la firma digital en los archivos ejecutables, lo que facilita que los atacantes abusen de la función.
“La tasa de descubrimiento de nuevos rootkits UEFI se ha acelerado mucho en los últimos años, como lo demuestra el descubrimiento de LoJax (2018), MosaicRegressor (2020), FinSpy (2021), ESPecter (2021), MoonBounce (2022), CosmicStrand (2022) . . y BlackLotus (2023)”, dijeron los investigadores de Eclypsium. “La mayoría de estos se utilizaron para permitir la persistencia de otro malware basado en el sistema operativo. Estas imágenes de firmware de gigabytes y el ejecutable de Windows eliminado permanentemente permiten el mismo escenario de ataque. A menudo, los implantes anteriores hacían que sus ejecutables nativos de Windows parecieran herramientas de actualización legítimas”. En el caso de MosaicRegressor, la carga útil de Windows se llamaba IntelUpdater.exe.
Los investigadores aconsejan a las organizaciones con sistemas Gigabyte que desactiven la función de descarga e instalación del Centro de aplicaciones en UEFI y bloqueen las tres URL en los cortafuegos. Las organizaciones también pueden buscar intentos de conexión a estas URL para averiguar qué sistemas de sus redes pueden verse afectados. Sin embargo, debe buscar conexiones más generales que puedan provenir de características similares de otros fabricantes. Incluso si las aplicaciones preinstaladas en las computadoras por los fabricantes de PC no se proporcionan en el firmware, pueden abrir vulnerabilidades. Este fue el caso con una aplicación de Lenovo llamada Superfish que proporcionaba un certificado raíz que no era de confianza y que los atacantes podían utilizar indebidamente.
Derechos de autor © 2023 IDG Communications, Inc.
Nos llegó este contenido de ciberseguridad de: CSO Online
Podrás encontrar la noticia original en el enlace que se encuentra a continuación: https://www.csoonline.com/article/3698189/gigabyte-firmware-component-can-be-abused-as-a-backdoor.html#tk.rss_news
