Фундаментът на Secure Boot отново бе разклатен, след като изследователи от Eclypsium откриха подписани „бекдори“ в над 200 000 лаптопа и настолни компютри Framework. Механизмът, който би трябвало да предотвратява зареждането на зловреден софтуер при стартиране на системата, се оказва уязвим за заобикаляне чрез легитимно подписани UEFI компоненти.
Secure Boot има за цел да гарантира целостта на софтуера, зареждан по време на стартирането, като допуска само код, подписан с доверени сертификати. Но както показва случаят с Framework, цифровият подпис не е гаранция за сигурност.
Подписани UEFI shell-и като бекдори
Изследователите от Eclypsium описват откритите случаи като „подписани бекдори на 200 000 лаптопа и десктопа“. Те не са зловреден код, поставен от нападатели, а легитимни диагностични инструменти, подписани с доверени сертификати, които обаче позволяват заобикаляне на всички защитни механизми в процеса на зареждане.
Един от ключовите проблемни компоненти е командата mm, съдържаща се в UEFI shell-ите на някои модели Framework. Тя позволява директен достъп до системната памет – четене и запис на произволни адреси – още преди зареждането на операционната система. Това означава, че всички защити на ОС, включително kernel-level контроли, могат да бъдат напълно заобиколени.
Тези shell-и са подписани с валидни Microsoft сертификати, което означава, че се изпълняват без предупреждение или блокиране от Secure Boot. Според Eclypsium, това поставя под съмнение самия доверителен модел на Secure Boot.
Framework реагира с BIOS актуализации
След уведомяване от страна на Eclypsium, Framework започна разпространението на BIOS ъпдейти за засегнатите устройства – около 200 000 лаптопа и настолни компютри. Уязвимите модели включват Framework 13 и Framework 16 с Intel и AMD процесори, както и новия Framework Desktop.
Стар проблем, който не изчезва
Това не е първият случай, в който Secure Boot се оказва компрометиран. Минали уязвимости включват „копиран“ фърмуерен код с тестови master ключ, споделен публично в GitHub, който на практика „защитава“ милиони устройства по света.
Хакери и изследователи са успявали да заобиколят Secure Boot и в Linux системи чрез инжектиране на скриптове при зареждане. Известни атаки като BlackLotus, BootHole, и EFILock също използват подобни методи за компрометиране на boot процеса.
Eclypsium подчертава, че подобни инструменти вече се използват от т.нар. „сиви зони“ – включително от доставчици на геймърски измами, които продават UEFI-level античийт решения за около 40 евро на месец. Но същите механизми могат да бъдат използвани и от APT групи за шпионаж, саботаж или внедряване на рансъмуер.
Проблемът е в доверието
UEFI shell-ите по принцип имат легитимно предназначение – диагностика, тестване на хардуер и фърмуерни обновления. Но според Eclypsium, истинската заплаха идва от сляпото доверие в цифровите подписи. Подписан код не означава безопасен код – особено когато съдържа функции, които могат да манипулират паметта или фърмуера на ниско ниво.
