I ricercatori della IOActive hanno scoperto una vulnerabilità critica nei processori AMD che consente agli hacker di inserire malware praticamente impossibile da rimuovere. Il problema riguarda milioni di computer e server in tutto il mondo, la rivista Wired.
La vulnerabilità, chiamata Sinkclose, è stata individuata nella modalità di gestione del sistema (SMM) dei processori AMD. Questa modalità ha privilegi elevati ed è progettata per eseguire funzioni di sistema critiche. I malintenzionati possono sfruttare Sinkclose per inserire codice dannoso nei livelli più profondi del firmware, modificando la configurazione dell'SMM, rendendolo praticamente impossibile da rilevare e rimuovere.
Enrique Nissim e Krzysztof Okupski di IOActive, che hanno scoperto la vulnerabilità, prevedono di discuterne in dettaglio alla prossima conferenza per hacker Defcon di domani. Secondo loro, Sinkclose interessa praticamente tutti i processori AMD rilasciati dal 2006 in poi, e forse anche quelli precedenti.
I ricercatori avvertono che, per sfruttare la vulnerabilità, gli hacker necessitano di un certo livello di accesso a un computer o server basato su AMD, ma poi Sinkclose offrirà loro la possibilità di inserire codice dannoso ancora più in profondità. Nella maggior parte dei sistemi testati, dove la funzione di sicurezza Platform Secure Boot è stata implementata in modo errato, un virus installato tramite Sinkclose sarà praticamente impossibile da rilevare e rimuovere, anche dopo la reinstallazione del sistema operativo.
«Immaginate che hacker delle agenzie governative o qualcun altro voglia stabilirsi nel vostro sistema. Anche se pulite completamente il disco rigido, il virus rimarrà comunque», afferma Okupski. Secondo lui, l'unico modo per rimuovere un tale virus è collegarsi fisicamente alla memoria del computer tramite un programmatore SPI Flash e scandirla attentamente. «Nel peggiore dei casi, dovrete semplicemente buttare via il computer», conclude Nissim.
In una dichiarazione a Wired, la AMD IOActive ha identificato la vulnerabilità, ringraziando i ricercatori e comunicando che sono già stati rilasciati aggiornamenti per i processori EPYC e Ryzen, mentre le patch per i sistemi embedded verranno rese disponibili a breve. Tuttavia, AMD non ha fornito dettagli su come verrà eliminata la vulnerabilità Sinkclose e per quali dispositivi.
Allo stesso tempo, AMD sottolinea la complessità dell'exploitation di questa vulnerabilità, poiché per sfruttarla un attaccante deve avere accesso al kernel del sistema operativo. Tuttavia, Nissim e Okupski obiettano che per hacker esperti ottenere un tale accesso non rappresenta un problema, grazie ai bug che compaiono regolarmente in Windows e Linux.
I ricercatori avvertono che, dopo la presentazione al Defcon, nonostante i dettagli dell'exploit non verranno pubblicati, gli hacker esperti potrebbero dedurre come funziona la tecnologia, pertanto si raccomanda agli utenti di installare le patch AMD non appena diventano disponibili.
Fonti:
Fonte: 3dnews.ru
