Los gestores de arranque olvidados hacen visible el punto ciego del arranque seguro

Los investigadores descubrieron recientemente 11 cargadores de arranque UEFI vulnerables pero aún confiables que podrían permitir a los atacantes evitar el arranque seguro en sistemas que confían en el certificado de firma UEFI de terceros de Microsoft.

La Interfaz de firmware extensible unificada (UEFI) consta de un software de placa base que conecta el sistema operativo y el hardware.

Microsoft revocó los cargadores de arranque vulnerables en junio a través de actualizaciones de revocación de arranque seguro ESET informó los hallazgos, pero los sistemas sin parches pueden continuar confiando en los componentes y seguir siendo vulnerables a ataques a nivel de arranque.

Cargadores de arranque de cuñas viejos y olvidados

A Calce el cargador de arranque es un pequeño programa creado por Firmware de interfaz de firmware extensible unificada (UEFI) en sistemas habilitados para Secure Boot, que actúa como puente entre el firmware y el gestor de arranque del sistema operativo. En Entornos LinuxShims permite que las distribuciones de Linux arranquen en sistemas UEFI habilitados para arranque seguro al actuar como un cargador de arranque confiable de primera etapa que verifica e inicia el resto del proceso de arranque de Linux.

Relacionado:Nigeria está intensificando sus esfuerzos de ciberseguridad a medida que los ciberdelincuentes obtienen más ganancias

Como explicó ESET en un informe Esta semana, un cargador de arranque UEFI shim es «un cargador de arranque pequeño y mínimo de primera etapa que Microsoft puede verificar y firmar una vez, y luego crea un ancla de confianza secundaria para el resto de la pila de arranque específica de la distribución de Linux, generalmente GRUB 2 y el kernel de Linux». Las cuñas eliminan la necesidad de que Microsoft firme cada gestor de arranque de Linux manteniendo al mismo tiempo la integridad del gestor de arranque. comienzo seguro Cadena de confianza.

Los 11 cargadores de arranque descubiertos por ESET eran de la versión 0.9 o anterior, muchas generaciones por detrás de las versiones actuales. El proveedor de seguridad descubrió que las correcciones estaban configuradas para arrancar cargadores de arranque vulnerables de segunda etapa, como: por ejemplo, las versiones anteriores de GRUB2 tenían errores conocidos, carecían de medidas de seguridad disponibles en las versiones más nuevas o contenían vulnerabilidades que podían permitir a los atacantes eludir la protección de arranque seguro.

A pesar de estos problemas, los cargadores de arranque shim siguieron siendo componentes confiables en la cadena de arranque seguro, lo que significa que un atacante podría haberlos aprovechado para eludir las protecciones de arranque seguro, ejecutar código malicioso en el arranque y establecer un acceso persistente por debajo del nivel del sistema operativo. Según ESET, todo lo que un atacante necesita para eludir el proceso de arranque seguro es una copia de uno de estos cargadores de arranque antiguos y comprender cómo funciona el arranque seguro.

“Lo que hace que estas viejas correcciones sean peligrosas no es una vulnerabilidad novedosa, sino el hecho de que no se requiere ninguna vulnerabilidad nueva para evitar el arranque seguro UEFI”, escribió el investigador de ESET Martin Smolár. “Un atacante no necesita primitivos de explotación complicados: solo una copia de un sistema antiguo y aún confiable. pero irrevocable Calce binario y una comprensión básica de cómo funcionan los calces UEFI. Esto es suficiente para evitar una característica de seguridad tan importante como UEFI Secure Boot”. El problema afecta a todos los sistemas UEFI que tienen habilitada la firma UEFI de terceros de Microsoft, aunque la opción normalmente debería estar deshabilitada de forma predeterminada en las PC con Windows 11 Secured-Core, dijo.

Relacionado:Gestione el riesgo de los proveedores en unos pocos pasos prácticos

Falta de retirada del fideicomiso

El descubrimiento de ESET ha llamado la atención sobre el desafío de evitar que el software antiguo y vulnerable siga siendo componente confiable en la cadena de arranque segura mucho después de que ya no se pueda confiar en él. «La conclusión clave es que esto no es sólo una falla en 11 productos oscuros. Es una falla en destruir la confianza», dice Jason Soroko, investigador principal de Sectigo.

Una firma de Microsoft convirtió viejos shims en componentes de arranque propietarios y portátiles que un atacante podría inyectar en cualquier computadora que todavía confiara en Microsoft Corporation UEFI CA 2011, independientemente del sistema operativo instalado, señala Soroko.

Las revocaciones de Microsoft en junio impiden que los sistemas con listas de denegación de arranque seguro actualizadas confíen en los shims vulnerables conocidos, dice Soroko. Sin embargo, las cuñas más antiguas firmadas antes de 2017 y cuyos registros están incompletos pueden dificultar la identificación y revocación de cada componente vulnerable del ecosistema. «La lección más importante es que el código de arranque firmado puede convertirse en un 'responsabilidad de arranque seguro' duradero si el inventario y la revocación van a la zaga del retiro del software».

Relacionado:Otros países están utilizando la red social «Ban Wagon».

Seemant Sehgal, fundador y director ejecutivo de BreachLock, dice que las arandelas que se pasan por alto son un recordatorio de cómo eso capa de firmware Es una de las partes menos estudiadas de la superficie de ataque. «Lo que hace que esta clase de vulnerabilidad sea particularmente grave es que se produce un exploit exitoso antes de que se cargue el sistema operativo, lo que significa detección de endpoints». [and response, or EDR] Las herramientas, los agentes EDR y los controles a nivel del sistema operativo se ven mal cuando es importante”.

La revocación de las correcciones por parte de Microsoft es la decisión correcta, pero la revocación sólo protege los sistemas que recibieron y aplicaron el parche del 9 de junio. «En la práctica, parchear la capa de firmware lleva mucho más tiempo que parchear una aplicación, especialmente en entornos empresariales con hardware heredado, sistemas aislados o infraestructura adyacente a OT donde los ciclos de control de cambios se ejecutan trimestralmente en lugar de diariamente», dice Sehgal. Por lo tanto, para muchas empresas se puede suponer que la ventana de riesgo es de varios meses o más.

«El verdadero valor de tales vulnerabilidades no reside en su destrucción inmediata, sino en su persistencia», recuerda John Strand, director ejecutivo de Black Hills Information Security. Demasiadas organizaciones están condicionadas a pensar en ransomware, donde el daño es casi instantáneo, pero los adversarios de los estados-nación a menudo tienen un objetivo completamente diferente. «Quieren pasar desapercibidos el mayor tiempo posible, recopilando información silenciosamente y manteniendo el acceso. Eso es lo que hace que vulnerabilidades como ésta sean tan preocupantes».