🥇Sinkclose haavatavus AMD kiipides võib muuta miljonid arvutid taastamatuks

IOActive'i teadlased avastasid AMD protsessorites kriitilise haavatavuse, mis võimaldab häkkeritel installeerida peaaegu kustutamatuid pahavara. Probleem mõjutab miljoneid arvuteid ja servereid üle kogu maailma, teatab ajakiri Wired.

Haavatavus, mida nimetatakse Sinkclose'iks, leiti AMD protsessorite süsteemi halduse režiimis (SMM). See režiim on kõrgendatud õigustega ja mõeldud kriitiliste süsteemifunktsioonide täitmiseks. Kurjategijad saavad kasutada Sinkclose'i pahavara koodi sisestamiseks sügavale tarkvarakihisse, muutes SMM-i konfiguratsiooni, mistõttu on selle tuvastamine ja eemaldamine peaaegu võimatu.

Enrique Nissim ja Krzysztof Okupski IOActive'ist, kes avastasid haavatavuse, kavatsevad sellest põhjalikult rääkida homme toimuval Defcon'i häkkerikonverentsil. Nende sõnul mõjutab Sinkclose peaaegu kõiki AMD protsessoreid, mis on välja antud alates 2006. aastast või isegi varem.

Teadlased hoiatavad, et haavatavuse ärakasutamiseks vajavad häkkerid teatud taset juurdepääsu AMD-põhisele arvutile või serverile, kuid seejärel annab Sinkclose neile võimaluse pahavara sügavamalt sisestada. Enamikul testitud süsteemidest, kus on valesti rakendatud Platform Secure Booti turvafunktsioon, on Sinkclose kaudu installeeritud viirus peaaegu tuvastamatu ja eemaldamisele vastupidav, isegi pärast operatsioonisüsteemi uuesti installimist.

„Kujutage ette, et häkkerid (nt riiklikud teenistused) soovivad teie süsteemis jalgu kinnitada. Isegi kui te kustutate kõvaketta täielikult, jääb viirus siiski alles,” ütleb Okupski. Tema sõnul on ainus viis sellise viiruse eemaldamiseks füüsiliselt ühenduda arvuti mäluga SPI Flash programmeerija abil ja hoolikalt seda skannida. „Halvimal juhul peate lihtsalt arvuti välja viskama,” lõpetab Nissim.

AMD teatas Wiredile, kinnitanud IOActive'i avastusest, tänades teadlasi ja teavitades, et nad on juba välja andnud parandused EPYC ja Ryzen protsessoritele, ning et järgmise kuu jooksul saavad ka integreeritud süsteemid värskendusi. Kuid AMD ei avalikustanud üksikasju, kuidas Sinkclose'i haavatavus täpselt kõrvaldatakse ning milliste seadmetega see seotud on.

Samal ajal rõhutab AMD, et selle haavatavuse ärakasutamine on keeruline, kuna ründajal peab olema juurdepääs operatsioonisüsteemi tuumale. Kuid Nissim ja Okupski vastavad, et kogenud häkkerite jaoks ei ole sellise juurdepääsu saamine probleem, arvestades Windowsi ja Linuxi pidevalt ilmnevaid vigu.

Uurijad hoiatavad, et pärast esitluse tegemist Defconil, hoolimata sellest, et eksploidimise üksikasju ei avaldata, võivad kogenud häkkerid aimata, kuidas tehnoloogia töötab, seetõttu soovitatakse kasutajatel paigaldada AMD plaastrid kohe, kui need saadaval on.

Allikad:

Allikas: 3dnews.ru