Lenovo, HP, Dell: bugs de firmware dans 4 périphériques

De nouvelles vulnérabilités de firmware d’ordinateurs portables (des marques Lenovo, HP et Dell) mettent des millions de périphériques en danger face à des cyberattaques, selon les recherches d’Eclypsium. Ces failles de sécurité peuvent être trouvé dans les adaptateurs Wi-Fi, les concentrateurs USB, les trackpads et les caméras.

Les firmware (ou micrologiels) de TouchPad et TrackPoint dans les ordinateurs portables Lenovo, le firmware de la caméra HP Wide Vision FHD dans les ordinateurs portables HP et l’adaptateur Wi-Fi sur les ordinateurs portables Dell XPS sont tous dépourvus de mécanismes sécurisés de mise à jour du firmware ayant une signature de code appropriée.

«Les vulnérabilités des logiciels et des réseaux sont souvent les priorités de sécurité des organisations, mais les vulnérabilités des micrologiciels pourraient donner aux cybercriminels un contrôle total sur le périphérique compromis», a déclaré Katie Teitler, analyste principale chez TAG Cyber. «Cela pourrait entraîner l’implantation de portes dérobées, la surveillance du trafic du réseau, l’exfiltration de données et plus encore. Malheureusement, les vulnérabilités des micrologiciels peuvent être plus difficiles à détecter et plus difficiles à corriger. »

Des mises à jour de firmware non-signées: un problème grandissant

Le firmware des périphériques peut être gravé dans le circuit intégré de l’appareil lui-même, ou le composant peut avoir sa propre mémoire flash où le firmware est stocké. Le firmware peut également être fourni dynamiquement par le système d’exploitation au démarrage. Quelle que soit l’approche d’implémentation, le firmware est utilisé comme système d’exploitation spécifique à l’appareil pour le périphérique en question, et peut fournir aux cybercriminels une surface d’attaque vaste.

«De nombreux périphériques ne vérifient pas si le micrologiciel est correctement signé avec une clé publique/privée de bonne qualité avant d’exécuter le code», ont expliqué des chercheurs d’Eclypsium, dans une étude de vulnérabilité. «Cela signifie que ces composants n’ont aucun moyen de valider que le micrologiciel utilisé par l’appareil est authentique et doit être approuvé. Un hacker pourrait simplement insérer un micrologiciel malveillant ou vulnérable, auquel le composant ferait aveuglément confiance et exécuterait. »

Le scénario de l’attaque est donc simple. Tout d’abord, un attaquant accède à un appareil via n’importe quelle méthode, qu’il s’agisse d’un accès physique, d’un malware qui permet l’exécution de code à distance, etc., et, avec des privilèges d’utilisateur de base, le pirate peut écrire un firmware malveillant sur un composant vulnérable. Si le composant ne nécessite pas que le firmware soit correctement signé, le code de l’attaquant est accepté. Selon le périphérique en question, cela peut avoir des conséquences variées.

«Par exemple, un firmware malveillant sur une carte réseau pourrait permettre à un attaquant de renifler, copier, rediriger ou modifier le trafic, ce qui entraînerait une perte de données, une attaque man-in-the-middle et d’autres types d’attaques», selon la recherche. «Les périphériques basés sur PCI pourraient permettre des attaques DMA (Direct Memory Access) qui pourraient facilement dérober des données ou prendre le contrôle total du système de la victime. Des caméras pourraient être utilisées pour capturer des informations sur l’environnement de l’utilisateur, tandis qu’un disque dur compromis pourrait permettre au pirate de cacher du code et des outils sans être vu par le système d’exploitation. “

De plus, les attaques de firmwares permettent aux activités malveillantes de ne pas se faire détecter par les protections des points d’extrémité; comme on l’a vu récemment dans les dernières campagnes utilisant le rançongiciel RobbinHood, des pilotes vulnérables peuvent être utilisés pour contourner les protections de sécurité et permettre aux rançongiciels d’attaquer sans interférence.

Jesse Michael, chercheur principal à Eclypsium, a déclaré que les types d’attaques activées par ces bugs ne sont pas négligeables. Par exemple, l’attaque Black Energy qui a détruit une partie du réseau électrique en Ukraine a utilisé une mise à jour du firmware non signée pour casser les convertisseurs série-Ethernet qui étaient utilisés pour contrôler les relais.

“Un incident similaire s’est produit avec Saudi Aramco”, a-t-il déclaré. «Cela a rendu le système beaucoup plus difficile à remettre en ligne.» Il a ajouté que les attaques basées sur le firmware ont augmenté énormément au cours des trois dernières années.

Nouvelles vulnérabilités

Les chercheurs d’Eclypsium ont analysé un ordinateur portable Lenovo ThinkPad X1 Carbon de 6e génération, qui contient deux mécanismes de firmware vulnérables: le firwmare Touchpad (pr2812761-tm3288-011-0808.img) et le firmware TrackPoint (PSGregular_RANKA_fv06.bin).

lenovo firmware

“Nous avons découvert que Touchpad et TrackPoint utilisent des mécanismes de mise à jour du firmware non sécurisés”, selon le rapport de recherche. «Plus précisément, la vérification de la signature cryptographique n’était pas requise avant l’application des mises à jour du micrologiciel. Ce manque de contrôle a permis de modifier les images du firmware via un logiciel pour exécuter du code malveillant arbitraire au sein de ces composants. »

Pendant ce temps, les mises à jour du firmware distribuées par HP pour la caméra HP Wide Vision FHD dans l’ordinateur portable HP Spectre x360 Convertible 13-ap0xxx ne sont pas chiffrées et manquent de vérifications d’authenticité, a noté Eclypsium. Le programme de mise à jour du firmware de l’appareil est composé de l’outil de mise à jour de firmware SunplusIT de Windows et de l’image du micrologiciel, et ces deux composants ont des problèmes.

hp firmware

“L’image du micrologiciel ne contient aucune forme de signature cryptographique ou d’autres informations d’authenticité”, selon le rapport. «L’outil de mise à jour du micrologiciel accepte les fichiers de firmware qui ont été modifiés pour ajuster le contenu du descripteur USB. Cette possibilité de modifier les descripteurs USB peut être utilisée pour désactiver le périphérique ou le faire identifier en tant qu’un autre type de périphérique USB. Une fois que des détails supplémentaires sur l’architecture du processeur sont découverts, le comportement du module de la caméra peut être modifié pour être malveillant. »

De plus, SunplusIT, le programme de mise à jour de firmware, peut mettre à jour un périphérique avec succès, même en tant qu’utilisateur normal et n’a pas besoin d’avoir un accès administrateur.

Les chercheurs d’Eclypsium ont également découvert que le firmware de l’adaptateur Wi-Fi sur les ordinateurs portables Dell XPS 15 9560 exécutant Windows 10 présente un bug. Bien que Windows 10 confirme que les pilotes sont correctement signés, c’est là que les contrôles de sécurité s’arrêtent. Ainsi, si les pilotes sont correctement signés, une petite icône de certificat s’affiche à côté du pilote lorsqu’il est affiché dans le gestionnaire de périphériques. S’ils ne sont pas correctement signés, un utilisateur peut toujours les installer avec succès, l’icône disparaît simplement. Cela signifie qu’un utilisateur privilégié pourrait facilement remplacer les fichiers du pilote.

dell

Et enfin, les chercheurs ont également jeté un coup d’œil au Linux Vendor Firmware Service, un portail sécurisé qui permet aux fournisseurs de matériel de télécharger les mises à jour de firmware. Plusieurs mises à jour et pilotes non sécurisés ont été découverts.

«À partir de cette ressource, nous pouvons nous concentrer spécifiquement sur les protocoles de mise à jour et examiner facilement ceux qui sont signés et ceux qui ne le sont pas», ont écrit les chercheurs. «Bien que nous puissions voir que certains des protocoles de mise à jour sont liés au transport, de nombreux autres sont des protocoles utilisés pour le processus de mise à jour proprement dit. Par exemple, le firmware de VLI USB Hub n’est pas signé. »

Réponses des fabricants (Lenovo, Dell, HP etc…)

Les chercheurs d’Eclypsium ont notifié HP de la vulnérabilité du firmware de la webcam le 4 août 2019 et Lenovo a pris connaissance de la vulnérabilité TouchPad/TrackPoint le 13 juin 2019.

«Nous nous attendons à ce que certains fournisseurs émettent des CVE, mais aucun ne l’a fait pour l’instant», a déclaré Jesse Michael, chercheur principal d’Eclypsium. «Pour ces périphériques, les OEM (HP et Lenovo) doivent travailler avec leurs fournisseurs pour développer des correctifs. D’après ce que nous avons vu, la plupart de ces composants existants ont été initialement conçus pour avoir un firmware non signé, ce qui les rend intrinsèquement vulnérables. Nos interactions avec ces OEM nous amènent à nous préparer à ce que les futurs systèmes intègrent des exigences d’authentification de mise à jour du firmware. »

Eclypsium a également signalé le problème Wi-Fi à Qualcomm, qui fournit le chipset et le pilote pour la carte de réseau sans fil, et à Microsoft, qui vérifie que ces pilotes sont signés.

“Qualcomm a répondu que son chipset est subordonné au processeur et que le logiciel exécuté sur le CPU devrait prendre la responsabilité de valider le firmware”, a déclaré Michael. «Ils ont déclaré qu’il n’était pas prévu d’ajouter une vérification de signature pour ces puces. Cependant, Microsoft a répondu qu’il appartenait au fournisseur de l’appareil de vérifier le firmware installé dans l’appareil. »

Conclusion: les firmwares non signés dans les périphériques restent un aspect très négligé de la sécurité informatique et fournissent de multiples possibilités aux acteurs malveillants pour compromettre les ordinateurs portables et les serveurs.

“Une fois que le firmware de l’un de ces composants est infecté, le logiciel malveillant n’est détecté par aucun contrôle de sécurité logiciel”, a déclaré Michael. «Malgré les précédentes attaques sur la toile, les fabricants de périphériques ont été lents à adopter la pratique de la signature du firmware, laissant des millions de systèmes Windows et Linux vulnérables à des attaques de firmware qui peuvent exfiltrer les données, perturber les opérations et installer des rançongiciels.»

S’abonner
Notifier de
guest
0 Commentaires
Inline Feedbacks
View all comments
0
Would love your thoughts, please comment.x
()
x