ANTICHAT — форум по информационной безопасности, OSINT и технологиям

Вредоносная программа TrickBoot может получить возможность чтения, записи и удаления прошивок, если на устройстве отключена защита от записи UEFI/BIOS.



Компании Supermicro и Pulse Secure выпустили предупреждения, что некоторые из их материнских плат уязвимы к модулю заражения прошивок UEFI вредоносного ПО TrickBot, известного как TrickBoot.

Напомним, в прошлом году в совместном отчете специалисты из Advanced Intelligence (AdvIntel) и Eclypsium, представили технические подробности нового компонента TrickBot. TrickBoot — средство разведки, проверяющее наличие уязвимостей в прошивке UEFI зараженного устройства. В настоящее время способность вредоносного ПО анализировать прошивку устройства ограничена конкретными платформами Intel (Skylake, Kaby Lake, Coffee Lake, Comet Lake).

Новый модуль проверяет, активна ли защита от записи UEFI/BIOS, с помощью драйвера RwDrv.sys от RWEverything (бесплатная утилита, обеспечивающая доступ к аппаратным компонентам). Если защита отключена, вредоносная программа получает возможность чтения, записи и удаления прошивок. Таким образом вредонос может блокировать устройство, обходить средства контроля безопасности операционной системы или повторно заражать систему даже после полной переустановки.

Представители Supermicro предупредили, что некоторые из материнских плат X10 UP уязвимы к вредоносному ПО TrickBoot, и выпустили обновление BIOS для включения защиты от записи. Supermicro выпустила версию BIOS 3.4 для устранения уязвимости, но публично выпустила ее только для материнской платы X10SLH-F.

Уязвимые материнские платы серии X10 UP («Denlow») включают X10SLH-F, X10SLL-F, X10SLM-F, X10SLL+-F, X10SLM+-F, X10SLM+-LN4F, X10SLA-F, X10SL7-F, X10SLL-S/-S. Владельцы материнских плат, достигших срока окончания поддержки (End of Life, EOL), должны связаться с Supermicro, чтобы получить доступ к новому BIOS.

Pulse Secure также выпустила рекомендации, поскольку устройства Pulse Secure Appliance 5000 (PSA-5000) и Pulse Secure Appliance 7000 (PSA-7000) работают на уязвимом оборудовании Supermicro. В настоящее время Pulse Secure выпустила исправление BIOS для устройств, работающих под управлением Pulse Connect Secure или Pulse Policy Secure. Pulse Secure предупреждает, что для установки патча потребуется перезагрузка устройства.

Источник: https://www.securitylab.ru/news/517173.php

https://safezone.cc/threads/supermi...patchi-dlja-zaschity-ot-atak-trickboot.38100/