Nova Vulnerabilidade de Inicialização Segura UEFI Pode Permitir que Atacantes Carreguem Bootkits Mal-intencionados

ZNX Postagens

Detalhes surgiram sobre uma vulnerabilidade de segurança agora corrigida que poderia permitir um desvio do mecanismo de Inicialização Segura em sistemas Unified Extensible Firmware Interface (UEFI).

A vulnerabilidade, atribuída ao identificador CVE CVE-2024-7344 (CVSS score: 6.7), reside em um aplicativo UEFI assinado pelo certificado UEFI de terceiros da Microsoft “Microsoft Corporation UEFI CA 2011”, de acordo com um novo relatório da ESET compartilhada com The Hacker News.

A exploração bem-sucedida da falha pode levar à execução de código não confiável durante a inicialização do sistema, permitindo que os invasores implantem bootkits UEFI maliciosos em máquinas que tenham o Secure Boot ativado, independentemente do sistema operacional instalado.

Secure Boot é um padrão de segurança do firmware isso impede que o malware seja carregado quando um computador é iniciado, garantindo que o dispositivo seja inicializado usando apenas software confiável pelo Fabricante de Equipamentos Originais (OEM). O recurso alavanca assinaturas digitais para validar a autenticidade, a origem e a integridade do código carregado.

O aplicativo UEFI afetado faz parte de vários pacotes de software de recuperação de sistema em tempo real desenvolvidos pela Howyar Technologies Inc., Greenware Technologies, Radix Technologies Ltd., SANFONG Inc., Wasay Software Technology Inc., Computer Education System Inc., e Signal Computer GmbH

  • Howyar SysReturn antes da versão 10.2.023_20240919
  • Greenware GreenGuard antes da versão 10.2.023-20240927
  • Radix SmartRecovery antes da versão 11.2.023-20240927
  • Sistema Sanfong EZ-back antes da versão 10.3.024-20241127
  • WASAY eRecoveryRX antes da versão 8.4.022-20241127
  • CES NeoImpact antes da versão 10.1.024-20241127
  • SignalComputer HDD Rei antes da versão 10.3.021-20241127

“A vulnerabilidade é causada pelo uso de um carregador PE personalizado em vez de usar as funções UEFI padrão e seguras CarregarImagem e StartImage“, disse Martin Smolár, pesquisador da ESET. “Como resultado, a aplicação permite o carregamento de qualquer binário UEFI –, mesmo um não assinado – a partir de um ficheiro especialmente concebido para o efeito chamado cloak.dat, durante o arranque do sistema, independentemente do estado UEFI Secure Boot.”

Um invasor que utiliza o CVE-2024-7344 poderia, portanto, contornar as proteções do UEFI Secure Boot e executar código não assinado durante o processo de inicialização no contexto do UEFI, mesmo antes do carregamento do sistema operacional, concedendo-lhes acesso oculto e persistente ao host.

“O código executado nesta fase inicial de inicialização pode persistir no sistema, potencialmente carregando extensões maliciosas do kernel que sobrevivem a reinicializações e reinstalação do SO”, o CERT Coordination Center (CERT/CC) disse. “Além disso, ele pode evitar a detecção por medidas de segurança baseadas em SO e de detecção e resposta de endpoint (EDR).”

Atores maliciosos poderiam expandir ainda mais o escopo da exploração trazendo sua própria cópia do binário “reloader.efi” vulnerável para qualquer sistema UEFI com o certificado UEFI de terceiros da Microsoft inscrito. No entanto, privilégios elevados são necessários para implantar os arquivos vulneráveis e maliciosos na partição do sistema EFI: administrador local no Windows e root no Linux.

A empresa de segurança cibernética da Eslováquia disse que divulgou responsavelmente as descobertas ao CERT/CC em junho de 2024, após o que a Howyar Technologies e seus parceiros abordaram a questão nos produtos em questão. Em 14 de janeiro de 2025, a Microsoft revogou os binários antigos e vulneráveis como parte de sua Atualização do Patch Tuesday.

Fora da aplicação de revogações de UEFI, gerenciando o acesso a arquivos localizados na partição do sistema EFI Personalização de inicialização segura, e atestado remoto com um Módulo de Plataforma Confiável (TPMi) são algumas das outras formas de proteção contra a exploração de carregadores de inicialização UEFI assinados e vulneráveis desconhecidos e a implantação de bootkits UEFI.

“O número de vulnerabilidades UEFI descobertas nos últimos anos e as falhas em corrigi-las ou revogar binários vulneráveis dentro de uma janela de tempo razoável mostram que mesmo um recurso tão essencial como o UEFI Secure Boot não deve ser considerado uma barreira impenetrável”, disse Smolár.

“No entanto, o que mais nos preocupa em relação à vulnerabilidade não é o tempo necessário para corrigir e revogar o binário, o que foi muito bom em comparação com casos semelhantes, mas o fato de que esta não é a primeira vez que um binário UEFI assinado obviamente inseguro foi descoberto. Isso levanta questões sobre o quão comum é o uso de tais técnicas inseguras entre os fornecedores de software UEFI de terceiros e quantos outros carregadores de inicialização obscuros, mas assinados, semelhantes podem estar por aí.”

Fonte: https://thehackernews.com/