Secure Boot compromesso: vulnerabilità UEFI consente l’installazione di bootkit!

Redazione RHC : 17 Gennaio 2025 15:21

Una vulnerabilità UEFI Secure Boot bypass (CVE-2024-7344) associata a un’applicazione firmata Microsoft può essere utilizzata per installare bootkit nonostante la protezione Secure Boot sia abilitata. L’applicazione UEFI vulnerabile viene utilizzata in diversi strumenti di ripristino del sistema di terze parti.

Il problema è dovuto al fatto che l’applicazione utilizza un bootloader PE personalizzato, che consente di caricare eventuali binari UEFI, anche se non sono firmati. In genere, le applicazioni UEFI si basano su LoadImage e StartImage, che controllano i file binari tramite il database di fiducia (db) e il database di revoca (dbx). Tuttavia, l’applicazione vulnerabile non esegue questa operazione.

In questo contesto, reloader.efi decodifica “manualmente” e carica in memoria i file binari da cloak.dat, che contiene l’immagine PE crittografata XOR. Di conseguenza, un utente malintenzionato può sostituire il bootloader del sistema operativo standard nella partizione EFI con il vulnerabile reloader.efi e inserire il dannoso cloak.dat. All’avvio del sistema, un bootloader personalizzato decodificherà ed eseguirà il file binario dannoso senza controllare il Secure Boot.

Christmas Sale -40%

𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.

Supporta Red Hot Cyber attraverso:

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

È stato segnalato che la vulnerabilità interessa le applicazioni UEFI utilizzate per il ripristino del sistema, la manutenzione del disco e il backup. Come scrivono gli analisti di ESET, i seguenti prodotti sono vulnerabili:

Howyar SysReturn (prima della versione 10.2.023_20240919);

Greenware GreenGuard (fino alla versione 10.2.023-20240927);

Radix SmartRecovery (fino alla versione 11.2.023-20240927);

Sistema Sanfong EZ-back (fino alla versione 10.3.024-20241127);

WASAY eRecoveryRX (fino alla versione 8.4.022-20241127);

CES NeoImpact (fino alla versione 10.1.024-20241127);

SignalComputer HDD King (fino alla versione 10.3.021-20241127).

Viene sottolineato che anche se questi programmi non sono installati sul computer preso di mira, gli aggressori possono comunque sfruttare CVE-2024-7344 distribuendo separatamente il vulnerabile reloader.efi. Si consiglia agli utenti di questi programmi di aggiornarli alle versioni più recenti il prima possibile.

“Ora sorge la domanda in che misura tali metodi non sicuri siano diffusi tra i produttori di software UEFI di terze parti e quanti altri bootloader strani ma firmati possano esistere”, scrivono gli esperti di ESET. L’azienda ha pubblicato un video che mostra come la vulnerabilità può essere sfruttata anche su un sistema con Secure Boot abilitato.

Il problema è stato scoperto l’8 luglio 2024, dopodiché ESET ha segnalato l’informazione al Centro di coordinamento CERT (CERT/CC). Attualmente, i fornitori di software hanno già rilasciato patch e Microsoft ha revocato i certificati compromessi e corretto CVE-2024-7344 come parte del Patch Tuesday di gennaio.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Secure Boot compromesso: vulnerabilità UEFI consente l’installazione di bootkit!

Articoli in evidenza