Nieusuwalny szpieg w BIOS-ie: jak ukryć się przed kimś, kto widzi całą pamięć?
Już jutro podczas konferencji CanSecWest dwóch badaczy pokażenam narzędzie do inwigilacji, przed którym praktycznie nie maobrony. Nic nie dają programy antywirusowe ani reinstalacja systemu.Nawet uruchamiane z USB systemy w rodzaju Tails są bezradne,ujawniając napastnikom klucze kryptograficzne. Inwigilacyjny implantkryje się bowiem w BIOS-ie, dowodząc, że te wszystkie opowieści oukrytych w firmware bootkitach to nie tylko fantazja akademickichekspertów, lecz coś, co jest wykorzystywane przez władze, a możeteż i przez najlepsze niezależne grupy hakerskie.
19.03.2015 16:42
W swoim wystąpieniu Corey Kallenberg i Xeno Kovah zapowiadająotóż przedstawienie całej gamy luk w BIOS-ie, które możnawykorzystać do umieszczenia w nim działającego rootkitu. W teoriinie powinny na to pozwolić zabezpieczenia przez nieuprawnionymimodyfikacjami, jednak jak twierdzą badacze, obejść można jedzięki analizie otwartych implementacji. Poszczególne wersjeoprogramowania systemowego różnią się od nich tylko szczegółami,więc udało im się proces ten zautomatyzować. Ze sporąniezawodnością tym samym kodem można obejść zabezpieczenia setek wersji BIOS-ów od pięciu najważniejszych producentów.
Instalowany w ten sposób implant szpiegowski wgrywany jest wobszar, będący całkowicie poza zasięgiem systemów operacyjnych.Jest to działający niezależnie od nich w firmware SystemManagement Mode, który zarządza sprzętem i ma bezpośredni dostępdo pamięci. Dzięki temu nie ma żadnego sposobu, by z poziomusystemu operacyjnego się go pozbyć. Co więcej, implant jest wstanie podsłuchać nawet szyfrowaną komunikację użytkownikówkorzystających z takich linuksowych dystrybucji jak Tails czyWhonix, które wszystkie połączenia z Siecią przekierowują przezTora.
Korzystając z bezpośredniego dostępu, implant wyczekuje nauruchomienie Tailsa, a następnie przeszukuje pamięć pod kątemwrażliwych danych, takich jak hasła, certyfikaty czy kluczeprywatne. Nawet stosowany przez Tailsa mechanizm wymazywania pamięcinie jest w stanie przed tym zabezpieczyć.
Umieszczenie takiego implantu w BIOS-ie zajmuje niecałą minutęi może być przeprowadzone nawet przez niewyszkolonego napastnika –np. celnika na granicy, który zażąda dostępu do naszegokomputera. To wszystko, co jest potrzebne, by przekonani o swojejodporności na inwigilację cyferpunkowie srodze się przeliczyli.
Zapewne w najbliższych miesiącach ujawnione przez Kallenberga iKovaha luki będą przez producentów łatane, ale czy to wystarczy,by powstrzymać napastników takich, jak np. odkryta przez KasperskyLab grupa Equation, najprawdopodobniej służąca amerykańskimwładzom? Przygotowana przez nią modularna platforma szpiegowskabyła w stanie już wiele lat temu przeprogramować firmwarewiększości producentów – i raczej nie należy sądzić, żejedna runda łatek BIOS-ów uniemożliwi dalszą inwigilację w tensposób.
