Атаки DMA преодолевают аппаратную защиту корпоративных ПК

Исследователи из фирмы Eclypsium, выпускающей безопасное микропрограммное обеспечение, сообщили, что им удалось провести успешные атаки Direct Memory Access (DMA) с обходом встроенных систем защиты, таких как UEFI Secure Boot, Intel Boot Guard, HP Sure Start и Microsoft Virtualization-Based Security.

DMA-атаки позволяют злоумышленникам осуществлять напрямую, без участия центрального процессора и ОС компьютера, операции чтения и записи системной памяти. Благодаря этому преступники могут получать контроль над функциями ядра и делать все, что им нужно посредством так называемых атак Memory Lane.

По словам Джесси Майкла (Jesse Michael), главного исследователя Eclypsium, для этих атак требуется физический доступ к взламываемому лэптопу, десктопу, серверу либо к сетевым адаптерам или устройствам FireWire, подключаемым через порты PCIe.

В своих экспериментах, эксперты Eclypsium использовали лэптопы Dell XPS 13 7390 и HP ProBook 640 G4, а также программу PCILeech, которую разработал хакер Ульф Фриск (Ulf Frisk) для демонстрации DMA-атак. Их задачей было показать, что многие устройства с интегрированными средствами аппаратной безопасности всё ещё остаются уязвимыми к DMA-атаками.

В конфигурации BIOS ноутбука Dell они добились этого, выставив по умолчанию разрешать Thunderbolt и PCIe для модулей предзагрузки TBT. Лэптоп HP пришлось подвергнуть частичной разборке, и заменить беспроводной адаптер M.2 на FPGA-платформу прототипирования Xilinx SP605. Благодаря этому удалось изменить содержимое оперативной памяти в процессе загрузки и запустить исполнение произвольного кода в обход проверки целостности BIOS средствами HP Sure Start.

Для блокирования таких атак, по сведениями Eclypsium, необходимо, чтобы и прошивка безопасной загрузки UEFI, и ОС поддерживали аппаратную защиту DMA с помощью IOMMU (VT-d). В противном случае нормальное функционирование системы будет нарушено неправильной блокировкой операций DMA.

Референсный код UEFI с поддержкой firmware для защиты от DMA-атак вышел в 2017 г., а первые устройства с ним появились в 2019 г. Со стороны ОС Microsoft устранила эту уязвимость весной 2018 г. с выходом Windows 10 1803, оставляющей включённой защиту DMA во время загрузки.

HP выпустила обновленную версию BIOS с защитой от атак «с разборкой» 20 января 2020 г. Dell разослала соответствующее оповещение владельцам уязвимых ПК и подтвердила, что во всех остальных её платформах с поддержкой Thunderbolt, эта опция отключена по умолчанию.