badBIOS: El virus de el futur és aquí per a Windows, Mac, BSD i ... Linux!

Virus, Malware, codi que s'executa i propaga de forma automàtica i pot resultar perjudicial, perjudicial. Nosaltres els usuaris de Linux somiem i despertem pensant «estic fora de perill, el 99.9% de l'malware no em infecta, estic fora de perill, jo faig servir Linux«, Així mateix pensen els usuaris de BSD, però ...

Què pensaries si et diguessin que ja existeix al menys un malware 100% multiplataforma ?, I si a més de l'anterior, aquest fos capaç d'infectar el firmware dels equips? ... Doncs bé, tot sembla indicar que aquest malson ja és una realitat.

Segons un article aparegut en Ars Technica, El consultor en seguretat Dragos ruiu, organitzador de les conferències CanSecWest y PacSec i fundador de la competició de hackers Pwn2Own, Ha reportat l'existència de l'malware «badBIOS», capaç d'infectar equips amb OS X, Windows i BSD. El malware en qüestió, afecta la BIOS o UEFI dels equips i se sospita pugui afectar també altres estàndards de microprogramari. Fins al moment, els procediments i eines d'anàlisi forense existents han provat ser insuficients per detectar l'existència de l'malware i poder enfrontar aquest repte.

D'acord amb el reportat per ruiu, la primera vegada que va percebre que alguna cosa estranya passava va ser quan després de realitzar una instal·lació fresca d'OS X en una MacBook Air, l'equip va procedir espontàniament a actualitzar el firmware d'booteig. Posteriorment va començar a notar que desapareixien arxius i configuracions sense motiu aparent i que li resultava impossible bootear des d'un CD ROM. En els mesos següents, aquest comportament va començar a estendre entre d'altres equips en la seva xarxa, incloent alguns amb Open BSD i múltiples variants de Windows.

A l'intentar eliminar el malware va començar el malson que ja dura 3 anys. Després de reflashear la BIOS dels equips i reinstal·lar des de zero amb discos originals i sobre discos durs nous, la infecció es mostrava persistent, reapareixent novament. Entretant, va detectar que a la seva xarxa començaven a transmetre paquets de dades amb el protocol IPv6 de nova generació, encara des d'equips que tenien completament desactivada aquesta opció. Després d'aïllar completament els equips, desconnectant el cable Ethernet, remenant les targetes WiFi i Bluetooth i desconnectant de la xarxa d'alimentació (o sigui, treballant amb bateries), ¡la transmissió de paquets continuava! ... el virus seguia propagant, Encara en ordinadors sense LAN, sense Wifi, sense Bluetooth !!!

Com és possible tal cosa ?; doncs bé, utilitzant transmissions de so d'alta freqüència. Encara que això sembli una mica de ciència ficció, ja estava sent objecte d'investigació en diversos laboratoris, incloent un projecte en curs al MIT. La confirmació d'aquesta sospita la va aconseguir remenant les botzines i el micròfon d'un equip, de manera que va cessar la transmissió de paquets.

En data recent, després d'adquirir un nou equip, aquest va resultar immediatament infectat a l'connectar una memòria USB, el que suggereix que el malware és capaç d'infectar dispositius USB i que així aquests infecten altres equips, tot i que encara no està clar si la infecció inicial de la MacBook Air va provenir d'una memòria USB. Ruiu sospita que «badBIOS» és només un mòdul inicial d'un carregador multi-etapes capaç d'infectar a equips amb sistemes operatius Windows, Mac OS X, BSD i Linux.

Encara avui, després de 3 anys de lluitar amb «badBIOS», no està del tot clar el seu origen ni comportament, per això, en la pròxima conferència de PacSec, A celebrar-se entre entre el 13 i el 14 de el present mes a Tòquio, ruiu espera tenir accés a maquinari d'última generació per a anàlisi de dispositius USB que proveeixi noves pistes sobre el mecanisme d'infecció.

Potser encara hi hagi alguns escèptics que considerin que el plantejat és una cosa impossible, però de fet no és la primera vegada que apareix una infecció de malware continguda en el firmware doncs a el menys està comprovat el cas de Stuxnet, aquell virus que va afectar el control de les centrífugues d'enriquiment d'urani iranianes fa uns anys, mentre que per altra banda, ja en 2008 Arrigo Triulzi va desenvolupar una prova de concepte on fonamentava la possibilitat de manipular amb aquests fins el firmware d'interfícies de xarxa i targetes gràfiques, de manera que només era qüestió de temps que es fes real la possibilitat enunciada.

Aquestes notícies han estat rebudes amb gran preocupació per la comunitat de seguretat, on reputats investigadors com Alex Samos i Arrigo Triulzi, així com Jeff Moss -fundador de les conferències sobre seguretat Defcon i Blackhat- qui des de 2009 assessora sobre aquests temes a la Secretària d'el Departament de Seguretat Nacional dels Estats Units, han donat suport a les afirmacions de ruiu i recomanat seguir molt de prop el desenvolupament dels esdeveniments a través d'@dragosr o #badBIOS.

Jo al menys vaig a mantenir-me a l'tant i si noto que algun dels meus equips comença a impedir-me el booteig des del dispositiu òptic, li donaré el mateix tractament que a el robot de Terminator, tot i que accepto altres suggeriments ...