Когда компании заявляют, что их продукты не поддаются взлому или неуязвимы, это все равно, что размахивать красным флагом перед быками, поскольку практически они не осмеливаются доказывать обратное. Ранее Apple утверждала, что Mac не были уязвимы к тем же недостаткам прошивки, которые могли взломать ПК, поэтому исследователи доказали, что они могут удаленно заражать Mac с помощью червя, который так сложно обнаружить и избавиться от него, что они предположили, что он бросает ваш Mac в мусорной ситуации.

Кори Калленберг , Ксено Кова а также Траммелл Хадсон представит " Громовой удар 2 : Sith Strike »в Black Hat USA 6 августа.« Несмотря на то, что было проведено несколько атак на микропрограммное обеспечение Mac, в отличие от своих коллег на ПК, всем им требовалось физическое присутствие », - написали они в описании своего выступления. «Интересно, что, когда связывались с деталями ранее раскрытых атак на микропрограммы ПК, Apple систематически объявляла себя не уязвимой. Этот доклад предоставит убедительные доказательства того, что компьютеры Mac на самом деле уязвимы для многих программных атак, которые также затрагивают системы ПК. Кроме того, чтобы подчеркнуть последствия успешной эксплуатации этих векторов атак, мы продемонстрируем силу темной стороны, продемонстрировав, на что способно вредоносное ПО для микропрограмм Mac ».

Исследователи ранее использовали LightEater, когда они представили: Сколько миллионов BIOS вы хотели бы заразить ? »После того как они показал Apple утверждает, что около 80% ПК имеют уязвимости в прошивке. Но Кова сказал, что это не так; он сказал Wired: «Оказывается, почти все атаки, которые мы обнаружили на ПК, также применимы к Mac». Фактически, исследователи говорят, что пять из шести исследованных уязвимостей влияют на прошивку Mac.

Прошивка запускается при первой загрузке машины; запускает операционную систему. Для компьютеров Apple эта прошивка называется расширяемым интерфейсом прошивки (EFI). Большинство людей считают, что продукты Apple лучше, когда речь заходит о безопасности, но исследователи хотят «дать понять, что каждый раз, когда вы слышите о атаках с помощью встроенного ПО EFI, это почти все x86 [компьютеры]». Злоумышленникам требуется всего несколько секунд для удаленного доступа. заразить прошивку Mac. Маки, зараженные Thunderstrike 2, останутся зараженными, даже если пользователь вытирает жесткий диск и переустанавливает ОС, поскольку это не устраняет заражение микропрограммы.

Злоумышленники могут заразить цель с помощью фишинг-письма и вредоносного сайта. Вредонос может «автоматически распространяться с MacBook на MacBook без необходимости их подключения к сети». Злоумышленники могут удаленно атаковать компьютеры, даже с воздушным зазором, с помощью Thunderstrike 2, так как он предназначен для распространения путем заражения дополнительного ПЗУ на периферийных устройствах. , Вредоносное программное обеспечение «будет следить за любыми периферийными устройствами, подключенными к компьютеру, которые содержат дополнительное ПЗУ, такими как адаптер Apple Thunderbolt Ethernet, и заражать микропрограмму на них». объяснил Проводной доступ. «Затем червь будет распространяться на любой другой компьютер, к которому подключается адаптер».

Когда другая машина загружается с этим вставленным зараженным червем устройством, микропрограмма машины загружает дополнительное ПЗУ с зараженного устройства, вызывая червя для запуска процесса, который записывает свой вредоносный код в прошивку загрузочной флешки на компьютере. Если новое устройство впоследствии подключается к компьютеру и содержит дополнительное ПЗУ, червь также запишется на это устройство и будет использовать его для распространения.

Один из способов случайного заражения компьютеров - продажа зараженных адаптеров Ethernet на eBay или заражение их на заводе.

Неделю назад LegbaCore опубликовал «демоверсию», демонстрирующую, что Mac Mini не загружается из-за уязвимой прошивки.

Видео описание гласит:

Apple не следует рекомендациям Intel по защите своих прошивок. Следовательно, компьютеры Mac могут быть отключены таким образом, что их никогда не удастся сделать загрузочными снова, пытаясь загрузиться с внешнего носителя (например, DVD / USB) и переустановив ОС, или изменив весь HD / SSD с известным рабочий один. Единственный способ оправиться от таких атак - это перепрошить флэш-чип SPI с помощью известной чистой копии прошивки. Эта атака не требует физического присутствия. Его можно запустить через удаленное соединение с системой (например, SSH / VNC).

Apple была уведомлена о недостатках, но, естественно, уязвимости не обсуждаются в описании Apple Удар молнии Mac интерфейс и Периферийные устройства Thunderbolt , Хотя Apple, « частично исправлено Mac EFI в июне, исследователи сказал другие выявленные ими проблемы до сих пор не устранены. Apple решила не реализовывать защиту от одного недостатка, который помешал бы злоумышленнику обновить код OS X.

«[Атака] действительно трудно обнаружить, от нее очень трудно избавиться, и действительно трудно защитить от чего-то, что работает внутри прошивки», - сказал Кова. Перепрошивка чипа, содержащего прошивку, является единственным способом устранения вредоносного ПО Thunderstrike 2, встроенного в прошивку.

В Твиттере Хадсон ранее спросил если вы «уязвимы перед милыми котятами из Thunderstrike 2», и его твит включает изображение Mac с милым котенком и ссылку «скачать заставку с милым котом».

После презентации исследователи намерены выпустить некоторые инструменты, которые «позволят пользователям проверять дополнительное ПЗУ на своих устройствах, но инструменты не смогут проверить прошивку загрузочной флеш-памяти на компьютерах». Трио также продемонстрирует атаку на Def Con 8 августа

Похожие