Atak jeszcze przed startem Windowsa. ESET odkrył lukę w mechanizmie Secure Boot

Analitycy ESET wykryli jedenaście podatnych programów rozruchowych UEFI podpisanych cyfrowo przez Microsoft, które mogły zostać wykorzystane do uruchomienia złośliwego kodu jeszcze przed załadowaniem systemu operacyjnego. Problem dotyczył mechanizmu zaufania wykorzystywanego przez Secure Boot i mógł umożliwić instalację trudnego do wykrycia oprogramowania typu bootkit.

UEFI to oprogramowanie odpowiadające za uruchomienie komputera jeszcze przed włączeniem systemu operacyjnego. Jednym z jego zabezpieczeń jest Secure Boot, który sprawdza, czy uruchamiane elementy są podpisane przez zaufanego dostawcę i nie zostały zmodyfikowane. Analitycy ESET wykazali jednak, że w tym procesie można było wykorzystać stare wersje tzw. shimów – niewielkich programów pośredniczących pomiędzy UEFI a systemem operacyjnym. Choć zawierały znane od lat podatności, nadal posiadały ważny podpis cyfrowy Microsoftu, dlatego komputer mógł uznać je za zaufane.

Jak ominąć Secure Boot bez nowej podatności?

Atakujący wykorzystujący jeden z podatnych plików mógł uruchomić nieautoryzowany kod na bardzo wczesnym etapie startu urządzenia. Otwierało to drogę do instalacji tzw. bootkita UEFI – złośliwego oprogramowania działającego przed uruchomieniem systemu operacyjnego. Jak podkreślają eksperci ESET, tego rodzaju zagrożenie może być szczególnie trudne do wykrycia i usunięcia. Otóż działa ono poza standardowym środowiskiem systemu i może zachować dostęp do urządzenia pomimo ponownej instalacji systemu operacyjnego lub wymiany dysku.

Co istotne, zagrożenie nie ograniczało się do komputerów, na których wcześniej zainstalowano podatne oprogramowanie. Cyberprzestępca mógł sam dostarczyć kopię starego, podpisanego pliku na urządzenie, które ufało certyfikatowi Microsoft Corporation UEFI CA 2011. Problem mógł więc dotyczyć urządzeń korzystających z różnych systemów operacyjnych.

„Niebezpieczeństwo nie wynikało z odkrycia nowej, skomplikowanej podatności. Atakujący potrzebował jedynie kopii starego programu, który nadal był uznawany przez urządzenie za zaufany, oraz podstawowej wiedzy o działaniu UEFI. To wystarczało, aby ominąć tak istotne zabezpieczenie jak Secure Boot” – wyjaśnia Martin Smolár, analityk ESET, który odkrył podatne pliki.

Podatne programy pochodziły z różnych narzędzi i pakietów oprogramowania, w tym programów diagnostycznych, dystrybucji Linuksa i innych rozwiązań wykorzystujących UEFI. Sam proces podpisywania takich plików przez Microsoft był zgodny z założeniami mechanizmu. Problem polegał jednak na tym, że starsze, podatne wersje nie były wystarczająco szybko usuwane z listy zaufanych programów.

Jak pozostać bezpiecznym?

Badacze zgłosili problem do CERT/CC, a Microsoft unieważnił wskazane programy rozruchowe. Odpowiednie poprawki są udostępniane użytkownikom systemu Windows wraz z aktualizacjami bazy unieważnień Secure Boot, natomiast w systemach Linux za pośrednictwem Linux Vendor Firmware Service. Należy upewnić się, że na komputerze włączone są automatyczne aktualizacje lub pobrać i zainstalować wszystkie najnowsze łatki bezpieczeństwa.

Eksperci ESET zalecają, aby użytkownicy i administratorzy:

• regularnie instalowali aktualizacje systemu i oprogramowania układowego,
• nie wyłączali mechanizmu Secure Boot bez wyraźnej potrzeby,
• korzystali z rozwiązań bezpieczeństwa potrafiących wykrywać zagrożenia działające na poziomie UEFI,
• w organizacjach kontrolowali stan aktualizacji oprogramowania układowego urządzeń.