超惡漏洞!Thunderspy 可讓駭客無聲無息偷資料 設定開機密碼或硬碟加密都沒用!
荷蘭研究人員發現 Thunderbolt 連接埠介面有漏洞,可能讓數百萬台搭載 Thunderbolt 的電腦在 5 分鐘內就被駭入。
Thunderbolt 是英特爾和蘋果共同開發,可讓使用者以單一傳輸埠執行資料傳輸、充電和外接影像周邊裝置等。起初是由蘋果在 2011 年的 MacBook Pro 搭載,但隨後廣泛用於 Dell、HP 和聯想等 Windows PC。
荷蘭艾因霍溫大學安全研究人員 Bjorn Ruytenberg 在 Thunderbolt 中發現,而且不只一個,而是 7 個漏洞,他將之稱為 Thunderspy。這 7 大漏洞包括韌體檢驗機制不足、裝置驗證機制貧弱、使用未驗證的裝置 meta data、使用回溯相容的降階攻擊、使用未驗證的控制器組態、SPI (Serial Peripheral Interface) Flash 介面問題、Bootcamp 上的 Thunderbolt 不具安全性。另外他也發展出 9 種攻擊情境。
所有於 2019 年以前生產的 PC 或 Mac 電腦,至少數百萬台裝置都受影響。
研究人員也說明了 Thunderspy 攻擊方法。攻擊者必須能拿到電腦,撬開電腦背板,接上一台 Thunderbolt 裝置、編寫韌體(以控制 Thunderbolt 埠)後,把背板裝回去就好了,只要 5 分鐘。現在攻擊者就可以利用改寫過的韌體來變更 Thunderbolt 埠設定,可任意在電腦外接任何惡意裝置,而且即使在電腦設了密碼、硬碟加密或是關閉存取 Thunderbolt 埠的功能都可以使用這套攻擊手法。
Ruytenberg 並以影片示範其中一種 Thunderspy 攻擊。以螺絲起子撬開一台有 Thunderbolt 的 ThinkPad 筆電進行攻擊,接上 Thunderbolt 裝置和、SPI (Serial Peripheral Interface) 裝置在 Thunderbolt 控制器上動手腳,完成後不用輸入密碼也能成功打開上鎖的電腦。
他說,Thunderspy 手法很隱密,你幾乎無從發現攻擊痕跡,沒有釣魚連結,不需要使用惡意裝置,就算用戶的安全措施再完備,像是電腦鎖上短暫離開一下,又或是管理員啟動了電腦 Secure Boot、BIOS 或作業系統帳號使用強密碼,啟用全磁碟加密,都擋不住 Thunderskpy 攻擊。
研究人員將該批漏洞通報英特爾後,英特爾表示,雖然底層漏洞不是新漏洞,也已在去年在作業系統層解決,但研究人員展示了以特製周邊裝置進行實體攻擊的可能性。因此英特爾已加入了名為 Kernel Direct Memory Access Protection 的 Thunderbolt 安全系統來防止 Thunderspy 攻擊。
來源:CISOMAG