Bild: GIGABYTE
Eclypsium, ein auf Firmware spezialisiertes Cybersicherheitsunternehmen, hat eine Liste von 271 Motherboards veröffentlicht von GIGABYTE verkauft, die laut Forschern eine versteckte Hintertür in der Firmware enthalten, die von Angreifern verwendet werden könnte, um Malware auf einem System zu installieren. „Unsere […] Analyse hat ergeben, dass die Firmware in Gigabyte-Systemen während des Systemstartvorgangs eine native Windows-ausführbare Datei löscht und ausführt, und diese ausführbare Datei lädt dann zusätzliche Nutzlasten herunter und führt sie unsicher aus“, erklärte Eclypsium in einem heute datierten Blogbeitrag, in dem das Unternehmen detailliert beschrieben wird Wichtige Erkenntnisse, darunter das Ausmaß der Auswirkungen und was Unternehmen mit den betroffenen Motherboards tun können, um das Risiko zu minimieren. Eclypsium gibt an, mit GIGABYTE zusammenzuarbeiten, um das Problem zu beheben, das offenbar auf die App Center-Funktion zurückzuführen ist.
Aus einem Eclypsium Beitrag:
Diese Hintertür scheint absichtliche Funktionen zu implementieren und würde ein Firmware-Update erfordern, um sie vollständig von den betroffenen Systemen zu entfernen. Während unsere laufende Untersuchung die Ausnutzung durch einen bestimmten Bedrohungsakteur nicht bestätigt hat, stellt eine aktive, weit verbreitete Hintertür, die schwer zu entfernen ist, ein Lieferkettenrisiko für Unternehmen mit Gigabyte-Systemen dar.
Die Firmware implementiert keine Kryptografie Überprüfung der digitalen Signatur oder jede andere Validierung der ausführbaren Dateien. Die gelöschte ausführbare Datei und die normalerweise heruntergeladenen Gigabyte-Tools verfügen zwar über eine kryptografische Gigabyte-Signatur, die die Code-Signatur-Anforderungen von Microsoft Windows erfüllt, aber dies trägt wenig dazu bei, böswillige Nutzung auszugleichen, insbesondere wenn sie mithilfe von „Living-off-the-Land“-Techniken ausgenutzt wird (wie in die jüngste Warnung vor Volt-Typhoon-Angreifern). Infolgedessen kann jeder Bedrohungsakteur dies nutzen, um anfällige Systeme entweder über MITM oder eine kompromittierte Infrastruktur dauerhaft zu infizieren.
Beteiligen Sie sich an der Diskussion zu diesem Beitrag in unseren Foren…
