Błąd „Sinkclose” w setkach milionów chipów AMD umożliwia głębokie, praktycznie nienaprawialne infekcje

W oświadczeniu dla WIRED firma AMD podkreśliła trudność wykorzystania Sinkclose: Aby skorzystać z tej luki, haker musi już mieć dostęp do jądra komputera, rdzenia jego systemu operacyjnego. AMD porównuje technikę Sinkhole do metody uzyskiwania dostępu do skrytek bankowych po ominięciu alarmów, strażników i drzwi skarbca.

Nissim i Okupski odpowiadają, że choć exploit Sinkclose wymaga dostępu do maszyny na poziomie jądra, tego typu luki ujawniają się w systemach Windows i Linux praktycznie co miesiąc. Twierdzą, że wyrafinowani hakerzy sponsorowani przez państwo, którzy mogliby wykorzystać Sinkclose, prawdopodobnie posiadają już znane lub nieznane techniki wykorzystania tych luk. „Ludzie mają obecnie exploity na jądro dla wszystkich tych systemów” – mówi Nissim. „Istnieją i są dostępne dla atakujących. To jest kolejny krok.”

Technika Sinkclose opracowana przez Nissima i Okupskiego opiera się na wykorzystaniu mało znanej funkcji układów AMD znanej jako TClose. (Nazwa Sinkclose pochodzi w rzeczywistości z połączenia terminu TClose z Sinkhole, nazwą wcześniejszego exploita System Management Mode znalezionego w chipach Intela w 2015 roku.) W maszynach opartych na procesorach AMD zabezpieczenie znane jako TSeg uniemożliwia działanie systemów operacyjnych komputera od zapisu do chronionej części pamięci, która ma być zarezerwowana dla trybu zarządzania systemem, znanego jako pamięć o dostępie swobodnym zarządzania systemem lub SMRAM. Jednakże funkcja TClose firmy AMD została zaprojektowana, aby umożliwić komputerom zachowanie zgodności ze starszymi urządzeniami, które korzystają z tych samych adresów pamięci co SMRAM, ponownie mapując inną pamięć na te adresy SMRAM, gdy jest ona włączona. Nissim i Okupski odkryli, że mając jedynie poziom uprawnień systemu operacyjnego, mogliby użyć funkcji ponownego mapowania TClose, aby oszukać kod SMM w celu pobrania zmodyfikowanych danych w sposób umożliwiający przekierowanie procesora i spowodowanie jego wykonać własny kod na tym samym wysoce uprzywilejowanym poziomie SMM.

„Myślę, że to najbardziej złożony błąd, jaki kiedykolwiek wykorzystałem” – mówi Okupski.

Nissim i Okupski, obaj specjalizujący się w bezpieczeństwie kodu niskiego poziomu, takiego jak oprogramowanie sprzętowe procesorów, mówią, że po raz pierwszy zdecydowali się zbadać architekturę AMD dwa lata temu, po prostu dlatego, że uważali, że nie została ona wystarczająco zbadana w porównaniu z Intelem, mimo że jej udział w rynku wzrósł. Mówią, że znaleźli krytyczny przypadek TClose Edge, który umożliwił Sinkclose, po prostu czytając i ponownie czytając dokumentację AMD. „Wydaje mi się, że czytałem stronę, na której luka pojawiła się około tysiąc razy” – mówi Nissim. „I wtedy tysiąc jedenastego zauważyłem to.” Mówią, że powiadomili AMD o usterce w październiku ubiegłego roku, ale czekali prawie 10 miesięcy, aby dać AMD więcej czasu na przygotowanie poprawki.

W przypadku użytkowników chcących się chronić Nissim i Okupski twierdzą, że w przypadku komputerów z systemem Windows – prawdopodobnie zdecydowanej większości systemów, których dotyczy problem – oczekują, że łatki dla Sinkclose zostaną zintegrowane z aktualizacjami udostępnianymi przez producentów komputerów firmie Microsoft, która włączy je do przyszłych aktualizacji systemu operacyjnego . Poprawki dla serwerów, systemów wbudowanych i komputerów z systemem Linux mogą być bardziej fragmentaryczne i ręczne; w przypadku komputerów z systemem Linux będzie to częściowo zależeć od dystrybucji systemu Linux zainstalowanej na komputerze.

Nissim i Okupski twierdzą, że zgodzili się z AMD, aby przez kilka następnych miesięcy nie publikować żadnego kodu sprawdzającego koncepcję exploita Sinkclose, aby zapewnić więcej czasu na rozwiązanie problemu. Twierdzą jednak, że pomimo wszelkich prób podejmowanych przez AMD lub inne firmy bagatelizowania Sinkclose jako zbyt trudnego do wykorzystania, nie powinno to uniemożliwiać użytkownikom jak najszybszego zainstalowania łatek. Wyrafinowani hakerzy mogli już odkryć swoją technikę lub mogą wymyślić, jak ją wykorzystać, gdy Nissim i Okupski zaprezentują swoje odkrycia na Defcon.

Badacze IOActive ostrzegają, że nawet jeśli Sinkclose wymaga stosunkowo głębokiego dostępu, znacznie głębszy poziom kontroli, jaki oferuje, oznacza, że ​​potencjalne cele nie powinny czekać z wdrożeniem jakiejkolwiek dostępnej poprawki. „Jeśli fundamenty zostaną złamane” – mówi Nissim – „wtedy złamane zostanie bezpieczeństwo całego systemu”.