Эксперты компаний Embedi и Cylance обнаружили проблемы с безопасностью прошивок UEFI/BIOS в материнских платах нескольких производителей. Проблемы позволяют злоумышленникам обходить встроенные в BIOS защитные средства, такие как Intel Boot Guard и Intel BIOS Guard.

Низкоуровневые уязвимости
Средства защиты BIOS, разработанные Intel, можно обойти с помощью уязвимостей в прошивках материнских плат. Об этом свидетельствуют результаты исследований экспертов Embedi и Cylance.
Алекс Матросов (Alex Matrosov), представитель Cylance, в августе 2017 г. на Black Hat USA сообщил, что, по его данным, OEM-вендоры не вполне корректно используют разработанные Intel защитные технологии в своих продуктах. Матросов сам ранее работал в Intel, как раз в подразделении, занимавшемся вопросами безопасности firmware. По его словам, OEM-разработчики очень по-разному относятся к защите UEFI, и нередко допускают серьезные ошибки.
В конце прошлой недели эксперт Embedi Александр Ермолов представил собственное исследование, в котором продемонстрировал, что проблема может быть еще масштабнее, нежели предполагал Матросов.

Проблема в прошивках
Минувшим летом Матросов выявил шесть уязвимостей в программных оболочках сразу четырех разных материнских плат: ASUS Vivo Mini (уязвимость CVE-2017-11315), Lenovo ThinkCentre systems (CVE-2017-3753), MSI Cubi2 (CVE-2017-11312 и CVE-2017-11316) и в Gigabyte BRIX series (CVE-2017-11313 и CVE-2017-11314).
Прошивки этих материнских плат базируются на популярном программном комплекте AMI Aptio UEFI BIOS. Его используют MSI, Asus, Acer, Dell, HP и ASRock.

Как ни странно, некоторые производители материнских плат предпочитают оставлять неактивными защитные компоненты, реализованные Intel еще несколько лет назад. Речь идет, в частности, о средствах защиты флэш-памяти (BLE, BWE, PRx). Это, по мнению Матросова, делает материнские платы легкой добычей для злоумышленников.
Матросов выяснил, что с помощью этих уязвимостей злоумышленники могут повышать свои привилегии в атакованной системе, обходить средства защиты BIOS и устанавливать руткиты на самые современные операционные системы, например, Windows 10, для которой корпорация Microsoft долго и кропотливо разрабатывала защиту от руткитов.

Уязвимых плат может быть еще больше
Основываясь на выводах Матросова, исследователь Embedi Александр Ермолов продемонстрировал, что Intel Boot Guard можно обойти и на других материнских платах, например, Gigabyte GA-H170-D3H. Это может означать, что проблема имеет большие масштабы, нежели предполагалось изначально.
В своем исследовании Ермолов указывает, что наличие проблемы подтвердили в Dell, и, при помощи Embedi разработали обновление, которое исправляет уязвимость.
Разработчики AMI также заявили, что исправили проблему, и что в их базе кода для BIOS уязвимость отсутствует. Таким образом OEM-разработчики могут безболезненно выпускать обновления BIOS для конечных пользователей.
Однако, как выяснил Ермолов, они просто отключили один из уязвимых защитных компонентов.
«Если выводы Ермолова верны, то «исправления» AMI выглядят некорректными по отношению и к OEM-клиентам, и к конечным пользователям», — считает Олег Галушкин, эксперт по информационной безопасности компании SEC Consult Services. — «Нежелание OEM-поставщиков использовать все защитные механизмы, предоставленные Intel, также не способствует защищенности конечных пользователей, и очень хорошо, что эта проблема вообще вышла в публичное поле».

Источник: cnews.ru