Onderzoekers van IOActive hebben een kritieke kwetsbaarheid ontdekt in AMD-processoren, waarmee hackers vrijwel ondetecteerbare malware kunnen injecteren. Het probleem betreft miljoenen computers en servers over de hele wereld. het tijdschrift Wired.
De kwetsbaarheid, die de naam Sinkclose heeft gekregen, is ontdekt in de System Management Mode (SMM) van AMD-processoren. Deze modus heeft hoge privileges en is ontworpen voor het uitvoeren van cruciale systeemfuncties. Aanvallers kunnen Sinkclose gebruiken om malware diep in de firmware te injecteren door de SMM-configuratie te wijzigen, waardoor detectie en verwijdering vrijwel onmogelijk worden.
Enrique Nissim en Krzysztof Okupski van IOActive, die de kwetsbaarheid hebben ontdekt, zijn van plan om er morgen tijdens de aanstaande hackerconferentie Defcon in detail over te vertellen. Volgens hen raakt Sinkclose vrijwel alle AMD-processoren die sinds 2006 zijn uitgebracht, en mogelijk ook eerdere modellen.
Onderzoekers waarschuwen dat hackers voor het exploiteren van de kwetsbaarheid een bepaald niveau van toegang tot een computer of server op basis van AMD nodig hebben, maar daarna geeft Sinkclose hen de mogelijkheid om malware nog dieper te injecteren. Op de meeste geteste systemen, waar de beveiligingsfunctie Platform Secure Boot verkeerd is geïmplementeerd, is een virus dat via Sinkclose is geïnstalleerd vrijwel onmogelijk te detecteren en te verwijderen, zelfs na het opnieuw installeren van het besturingssysteem.
„Stel je voor dat hackers van inlichtingendiensten of iemand anders zich in jouw systeem willen vestigen. Zelfs als je de harde schijf volledig schoonmaakt, blijft het virus toch bestaan,“ zegt Okupski. Volgens hem is de enige manier om zo'n virus te verwijderen, fysiek verbinding te maken met het geheugen van de computer met behulp van een SPI Flash-programmeerder en deze zorgvuldig te scannen. „In het ergste geval zul je gewoon de computer moeten weggooien,“ concludeert Nissim.
In een verklaring voor Wired heeft AMD IOActive bedankt en meegedeeld dat er al patches zijn uitgebracht voor de EPYC- en Ryzen-processoren, en dat patches voor embedded systemen binnenkort beschikbaar komen. AMD gaf echter geen details vrij over hoe de kwetsbaarheid Sinkclose precies zal worden opgelost en voor welke apparaten.
Tegelijkertijd benadrukt AMD de complexiteit van het exploiteren van deze kwetsbaarheid, aangezien een aanvaller toegang moet hebben tot de kernel van het besturingssysteem. Echter, Nissim en Okupski wijzen erop dat het voor ervaren hackers geen probleem is om die toegang te krijgen door de regelmatig voorkomende bugs in Windows en Linux.
Onderzoekers waarschuwen dat na de presentatie op Defcon, hoewel de details van de exploit niet openbaar zullen worden gemaakt, ervaren hackers kunnen raden hoe de technologie werkt. Daarom wordt gebruikers aangeraden om AMD-patches te installeren zodra deze beschikbaar zijn.
Bronnen:
Bron: 3dnews.ru
