Un'infezione del computer che non può mai essere curata

Mentre la produzione di computer e altri gadget è migrata in Cina, una voce paranoica occasionale ha chiesto se il paese potrebbe essere tentato di preinstallare il software per la sorveglianza. Questa rimane un'idea inverosimile, ma ora un hacker francese ha almeno mostrato come potrebbe essere creata una backdoor così segreta.

Al Cappello nero conferenza sulla sicurezza a Las Vegas la scorsa settimana, Jonathan Brossard ha dimostrato un software che può essere nascosto all'interno dell'hardware di un PC, creando una backdoor che consentirebbe l'accesso remoto segreto su Internet. Il suo ingresso segreto non può essere chiuso nemmeno cambiando l'hard disk di un PC o reinstallando il suo sistema operativo.

Lo spionaggio informatico aziendale e sponsorizzato dal governo è un problema crescente e gli hacker utilizzano metodi sempre più sofisticati per aggirare i bastioni della sicurezza. Un rapporto del Congresso, pubblicato nel marzo di quest'anno , ha concluso che l'elettronica prodotta in Cina rappresentava una potenziale minaccia per i sistemi di comunicazione statunitensi, ma fino ad oggi non ci sono prove di tentativi di spionaggio nascondendo strumenti di sorveglianza all'interno di nuove apparecchiature.

Lo strumento backdoor di Brossard, soprannominato Rakshasa, deve essere installato nel chip BIOS sulla scheda madre di un PC, su cui sono montati il ​​processore principale e altri componenti principali. Il chip del BIOS di un computer contiene il primo codice, noto come firmware, che un computer esegue all'accensione per avviare il processo di avvio del sistema operativo. Brossard ha anche scoperto che poteva nascondere il suo codice dannoso all'interno di chip di altri componenti hardware come le schede di rete e farlo saltare nel BIOS quando necessario.

Se qualcuno mette un singolo firmware canaglia sulla tua macchina, praticamente ti possiede per sempre, ha detto Brossard a un pubblico di colleghi hacker e professionisti della sicurezza informatica di Black Hat.

Quando si accende un PC con installato Rakshasa, il software cerca una connessione Internet per recuperare la piccola quantità di codice necessaria per compromettere il computer. Se Rakshasa non riesce a ottenere una connessione Internet, non può funzionare.

Il design rende Rakshasa ancora più furtivo. Per una backdoor di qualità da stato nazionale, pensate a Flame o Stuxnet, vogliamo una negazione plausibile, ha spiegato Brossard, riferendosi al malware che gli esperti ritengono sia stato creato da hacker sponsorizzati dal governo. Se recuperi su Internet ogni volta, non lasciamo traccia sul file system.

Il codice che Rakshasa recupera viene utilizzato per disabilitare una serie di controlli di sicurezza che limitano le modifiche che il codice di basso livello può apportare al sistema operativo di alto livello e alla memoria di un computer. Quindi, quando il sistema operativo del computer viene avviato, Rakshasa utilizza i poteri che si è concesso per iniettare codice nelle parti chiave del sistema operativo. Tale codice può essere utilizzato per disabilitare i controlli utente o rubare password e altri dati da inviare alla persona che controlla Rakshasa.

In una dimostrazione sul palco al Black Hat, Brossard ha dimostrato che la sua idea funziona facendo avviare a Rakshasa un computer con Windows 7 installato e sovrascrivendo l'autenticazione della password. Una persona scelta dal pubblico è stata quindi in grado di utilizzare una password scelta casualmente per accedere all'account amministratore.

Brossard ha creato Rakshasa combinando diversi pacchetti software open source legittimi per alterare il firmware. Grazie agli sforzi dei programmatori che hanno contribuito a questi progetti, Rakshasa lavora su 230 diversi modelli di scheda madre, afferma Brossard. Probabilmente funziona su molti più modelli di PC, poiché è comune per un produttore utilizzare lo stesso modello di scheda madre in molti modelli di PC diversi.

Poiché Rakshasa risiede solo all'interno dei chip della scheda madre, è al sicuro fuori dalla vista del software antivirus e resiliente alle risposte più comuni del personale IT che ripulisce un PC gravemente infetto.

Anche se cambi il tuo disco rigido o cambi il tuo sistema operativo, sarai ancora molto posseduto, ha detto Brossard, che ha testato il codice che Rakshasa recupera contro una batteria standard di 43 programmi antivirus e ha scoperto che nessuno lo ha segnalato come pericoloso .

Ovviamente, l'implementazione di Rakshasa richiederebbe l'accesso alla scheda madre di un computer, magari in una fabbrica o in un magazzino. Un altro scenario di attacco è l'acquisto di una nuova scheda di rete e il ritorno a casa, ha affermato Brossard, a causa del modo in cui Rakshasa può saltare da altri componenti al BIOS.

Chiunque temesse un attacco in stile Rakshasa dovrebbe sostituire il firmware sui chip della scheda madre e altri componenti con versioni note per essere sicure.

L'attacco può funzionare su PC con qualsiasi tipo di processore, ma molte delle funzionalità standard delle schede madri per PC hanno avuto origine da Intel. Suzy Greenberg, una portavoce di quella società, ha affermato in una e-mail che il documento di Brossard era in gran parte teorico, dal momento che non specificava come un utente malintenzionato avrebbe inserito Rakshasa in un sistema e non ha tenuto conto del fatto che molti nuovi chip BIOS hanno crittograficamente codice verificato che ne impedirebbe il funzionamento.

Tuttavia, Brossard osserva che questo ulteriore livello di protezione è disponibile finora solo su una minoranza di PC e che un'organizzazione con accesso alla produzione o alla distribuzione di PC avrebbe molte opportunità di installare software in stile Rakshasa.

nascondere