I dispositivi periferici che consentono l’esecuzione di firmware non firmato possono esporre sistemi Windows e Linux cui sono connessi ad attacchi.
I dispositivi periferici che consentono l’esecuzione di firmware non firmato possono esporre sistemi Windows e Linux cui sono connessi ad attacchi potenzialmente devastanti, avverte l’azienda Eclypsium.
Il firmware è un software integrato direttamente in un componente elettronico programmato, l’esecuzione di un software firmato digitalmente da una autorità attendibile consente ai suoi sviluppatori di certificarne l’autenticità e l’integrità.
I meccanismi di firma digitale del software sono comuni nei sistemi operativi che consentono l’installazione di componenti come driver software solo se firmati digitalmente da autorità attendibili o dallo stesso produttore del sistema operativo. Il discorso di complica se consideriamo il software che è in esecuzione su molteplici periferiche che connettiamo ai nostri sistemi.
Gli esperti dell’azienda di sicurezza del firmware Eclypsium hanno scoperto che molti produttori di dispositivi periferici non hanno implementato controlli di sicurezza per impedire l’installazione del firmware che provenga da fonti non attendibili e quindi potenzialmente malevoli.
Un utente malintenzionato può quindi sfruttare la mancanza di controlli per eseguire firmware malevole ed eseguire azioni dannose, come l’installazione di una backdoor persistente, su sistemi Windows e Linux.
“Il problema è che i dispositivi periferici spesso mancano delle stesse best practices di sicurezza che diamo per scontate nei sistemi operativi e in altri componenti più visibili, come UEFI o BIOS.” Recita il rapporto pubblicato da Eclypsium.
“Molti dispositivi periferici non verificano che il firmware che eseguoso sia correttamente firmato con una chiave pubblica / privata di alta qualità prima di eseguire il codice. Ciò significa che non vi è modo di verificare il firmware caricato dal dispositivo sia autentico e possa essere considerato attendibile. Un utente malintenzionato può semplicemente inserire un’immagine del firmware dannosa o vulnerabile, di cui il componente si fiderebbe ciecamente ed che verrebbe quindi eseguita”.
Gli esperti hanno sottolineato che gli attaccanti potrebbero manomettere il firmware di vari dispositivi, come schede di rete ed altri tipi di periferiche, per controllarli in remoto o per sabotaggio.
Questo tipo di attacco non è teorico, il gruppo APT collegato all’NSA e noto come Equation Group ha utilizzato queste tecniche per compromettere il firmware presente sui dischi rigidi.
I ricercatori hanno analizzato le falle presenti in quattro tipi di firmware eseguito su diverse periferiche, quali touchpad/trackpads, fotocamere, adattatori WiFi e hub USB.
I dispositivi periferici non implementano meccanismi per convalidare l’autenticità del firmware caricato dal dispositivo, ciò significa che un utente malintenzionato potrebbe semplicemente inserire un’immagine del firmware dannosa o vulnerabile, che il componente eseguirà.
Uno scenario di attacco vede hacker che installano firmware malevole su una scheda di rete per intercettare o alterare il traffico o compromettere i dispositivi PCI con l’intento di eseguire attacchi Direct Memory Access (DMA) che consentono di iniettare codice malevolo direttamente nella memoria del sistema ospite.
Eclypsium ha riscontrato problemi di sicurezza nei touchpad e TrackPoint utilizzati nei laptop Lenovo, nella fotocamera HP Wide Vision FHD (Sunplus) installata su laptop HP, nell’adattatore WiFi installato su un laptop Dell XPS e in un hub USB VLI.
Gli esperti hanno anche pubblicato un video che mostra un attacco ad un’interfaccia di rete, un chipset Broadcom, che esegue un firmware non firmato digitalmente.
Nell’attacco illustrato dagli esperti gli aggressori infettano la macchina bersaglio con un malware distribuito via e-mail o attraverso un sito Web malevolo. Il malware funge da vettore di attacco utilizzato per caricare il firmware malevolo su un dispositivo periferico connesso che non è in grado di convalidarne l’origine e l’autenticità.
Gli esperti hanno sottolineato che la difficoltà nell’esecuzione dell’attacco dipende dalle caratteristiche dei singoli dispositivi, per alcuni dei quali il firmware potrebbe essere addirittura aggiornato da utenti senza specifici privilegi, come nel caso del firmware della webcam Sunplus … un vero regalo per un hacker.
Come difendersi
Gli esperti hanno sottolineato l’urgenza di implementate su Linux e Windows un meccanismo per verificare la firma del firmware prima dell’esecuzione di un aggiornamento. Il rapporto evidenzia che per i dispositivi Apple il problema non sussiste in quanto si esegue una verifica della firma digitale di qualunque software relativo ai dispositivi quando essi sono installati.
“Il problema del firmware non firmato digitalmente nei dispositivi periferici è molto diffuso ed interessa un’ampia gamma di marchi e dei loro fornitori di ODM.” conclude il rapporto. “L’esecuzione di firmware non firmato nei dispositivi periferici resta un aspetto di sicurezza ancora molto trascurato. A seconda delle capacità del componente, il firmware senza firma potrebbe comportare la perdita di dati, e può consentire agli attaccanti di ottenere elevati privilegi ed eludere tradizionali controlli di sicurezza.”
