Az IOActive kutatói kritikus sebezhetőséget fedeztek fel az AMD processzorokban, amely lehetővé teszi a hackerek számára, hogy szinte eltávolíthatatlan rosszindulatú szoftvert telepítsenek. A probléma világszerte millió számítógépet és szervert érint, jelenti a Wired.
A Sinkclose néven elhíresült sebezhetőséget az AMD processzorok rendszerkezelési üzemmódjában (SMM) találták. Ez a mód magas privilegizáltsággal rendelkezik, és kritikus fontosságú rendszerfunkciók végrehajtására szolgál. A támadók kihasználhatják a Sinkclose-t, hogy rosszindulatú kódot injektáljanak a firmware legmélyebb rétegeibe, megváltoztatva az SMM konfigurációját, ami gyakorlatilag lehetetlenné teszi a felfedezését és eltávolítását.
Enrique Nissim és Krzysztof Okupski az IOActive-tól, akik felfedezték a sebezhetőséget, részletesebben beszélni szeretnének róla az előttük álló holnapi Defcon hackerkonferencián. Elmondásuk szerint a Sinkclose gyakorlatilag minden AMD processzort érint, amelyet 2006 óta gyártottak, és lehet, hogy korábban is.
A kutatók figyelmeztetnek, hogy a sebezhetőség kihasználásához a hackereknek szükségük van bizonyos szintű hozzáférésre egy AMD alapú számítógéphez vagy szerverhez, de a Sinkclose lehetőséget ad nekik, hogy még mélyebben injektáljanak rosszindulatú kódot. A legtöbb tesztelt rendszeren, ahol a Platform Secure Boot biztonsági funkcióját hibásan valósították meg, a Sinkclose-on keresztül telepített vírus gyakorlatilag észlelhetetlen és eltávolíthatatlan, még az operációs rendszer újratelepítése után sem.
"Képzelje el, hogy hackerek a titkosszolgálatokból, vagy mások, szeretnék megerősíteni magukat a rendszerében. Még ha teljesen ki is tisztítja a merevlemezt, a vírus akkor is ott marad," mondja Okupski. Elmondása szerint az egyetlen módja egy ilyen vírus eltávolításának az, ha fizikailag csatlakozik a számítógép memóriájához egy SPI Flash programozó segítségével, és alaposan átvizsgálja azt. "A legrosszabb esetben egyszerűen meg kellene szabadulnia a számítógéptől," összegezte Nissim.
A Wirednek adott nyilatkozatában az AMD köszönetet mondott az IOActive felfedezéséért, megköszönve a kutatóknak, és bejelentette, hogy már kiadott javításokat az EPYC és Ryzen processzorokhoz, és az integrált rendszerekhez a javítások a közeljövőben érkeznek. Azonban az AMD nem hozta nyilvánosságra, hogy pontosan hogyan fogják megszüntetni a Sinkclose sebezhetőséget, és mely eszközökre vonatkozik.
Az AMD egyidejűleg hangsúlyozza ennek a sebezhetőségnek a kihasználásának bonyolultságát, mivel a kihasználásához a támadónak hozzáféréssel kell rendelkeznie az operációs rendszer magjához. Nissim és Okupski azonban arra figyelmeztetnek, hogy a tapasztalt hackerek számára ennek a hozzáférésnek a megszerzése nem jelent problémát, köszönhetően a Windows és Linux rendszerben rendszeresen megjelenő hibáknak.
A kutatók figyelmeztetnek, hogy a Defconon tartott bemutató után, annak ellenére, hogy a kihasználás részleteit nem hozzák nyilvánosságra, a tapasztalt hackerek kitalálhatják, hogyan működik a technológia, ezért a felhasználóknak javasolt, hogy telepítsenek AMD javításokat, amint azok elérhetőek.
Források:
Forrás: 3dnews.ru
