Wenn sie ausgenutzt werden, können diese Schwachstellen Angreifern den unbefugten Zugriff auf vertrauliche Informationen ermöglichen oder allgemein Probleme verursachen
Kürzlich wurde bekannt, dass Forscher von Eclypsium ein anomales Verhalten in Systemen mit „Gigabyte“-Motherboards festgestellt haben.
Die Forscher gaben an, festgestellt zu haben, dass die auf den Motherboards verwendete UEFI-Firmware die ausführbare Datei für die Windows-Plattform ersetzte und startete, ohne den Benutzer beim Systemstart zu benachrichtigen. Sie erwähnten außerdem, dass die gestartete ausführbare Datei aus dem Internet heruntergeladen wurde und anschließend Programme von Drittanbietern ausführte.
Eine detailliertere Analyse der Situation zeigte, dass das gleiche Verhalten bei Hunderten von verschiedenen Gigabyte-Motherboard-Modellen auftritt und mit dem Betrieb der von dem Unternehmen bereitgestellten App Center-Anwendung zusammenhängt.
Vor Kurzem hat die Eclypsium-Plattform damit begonnen, verdächtiges Backdoor-Verhalten in Gigabyte-Systemen in freier Wildbahn zu erkennen. Diese Erkennungen wurden durch heuristische Erkennungsmethoden vorangetrieben, die eine wichtige Rolle bei der Erkennung neuer und bisher unbekannter Bedrohungen in der Lieferkette spielen, wo legitime Produkte oder Technologieupdates von Drittanbietern kompromittiert wurden.
Bezüglich des Prozesses wird erwähnt, dass die ausführbare Datei während der Systeminitialisierung beim Booten in die UEFI-Firmware eingebunden und auf der Festplatte gespeichert wird. Während des Treiberstarts (DXE, Driver Execution Environment) wird diese Datei mithilfe des Firmware-Moduls WpbtDxe.efi in den Speicher geladen und in die WPBT-ACPI-Tabelle geschrieben. Deren Inhalt wird anschließend vom Windows-Sitzungsmanager (smss.exe, einem Subsystem des Windows-Sitzungsmanagers) geladen und ausgeführt.
Vor dem Laden prüft das Modul, ob die Funktion „APP Center Download and Install“ im BIOS/UEFI aktiviert ist, da diese standardmäßig deaktiviert ist. Beim Start auf der Windows-Seite ersetzt der Code die ausführbare Datei auf dem System, die als Systemdienst registriert ist.
Unsere Folgeanalyse ergab, dass die Firmware auf Gigabyte-Systemen während des Systemstartvorgangs eine native ausführbare Windows-Datei herunterlädt und ausführt. Diese ausführbare Datei lädt dann zusätzliche Nutzlasten herunter und führt sie auf unsichere Weise aus.
Nach dem Starten des Dienstes GigabyteUpdateService.exe wird das Update von den Gigabyte-Servern heruntergeladen, dies erfolgt jedoch ohne ordnungsgemäße Überprüfung der heruntergeladenen Daten mithilfe einer digitalen Signatur und ohne Verwendung einer Kommunikationskanalverschlüsselung.
Darüber hinaus wird erwähnt, dass das Herunterladen über HTTP ohne Verschlüsselung erlaubt war, aber selbst beim Zugriff über HTTPS wurde das Zertifikat nicht überprüft, was es ermöglichte, die Datei durch MITM-Angriffe zu ersetzen und ihren Code auf dem System des Benutzers auszuführen.
Diese Hintertür scheint eine absichtliche Funktionalität zu implementieren und würde ein Firmware-Update erfordern, um sie vollständig von den betroffenen Systemen zu entfernen. Während unsere laufende Untersuchung die Ausnutzung durch einen bestimmten Hacker nicht bestätigt hat, stellt eine weit verbreitete aktive Hintertür, die schwer zu beseitigen ist, ein Lieferkettenrisiko für Unternehmen mit Gigabyte-Systemen dar.
Erschwerend kommt hinzu, dass zur vollständigen Behebung des Problems ein Firmware-Update erforderlich ist , da die Logik zur Ausführung von Drittanbietercode in die Firmware eingebettet ist. Als temporärer Schutz vor Man-in-the-Middle-Angriffen (MITM) wird Nutzern von Gigabyte-Mainboards empfohlen, die oben genannten URLs in ihrer Firewall zu blockieren.
Gigabyte ist sich der Unzulässigkeit bewusst, solche unsicheren automatischen Update-Dienste zwangsweise in die System-Firmware zu integrieren, da die Kompromittierung der Infrastruktur des Unternehmens oder eines Mitglieds der Lieferkette zu Angriffen auf Benutzer und das Unternehmen führen kann, da die Veröffentlichung von Malware derzeit nicht auf Betriebssystemebene kontrolliert wird.
Infolgedessen kann jeder Bedrohungsakteur dies nutzen, um anfällige Systeme dauerhaft zu infizieren, entweder über MITM oder eine kompromittierte Infrastruktur.
Sollten Sie mehr erfahren wollen, finden Sie die Details unter folgendem Link.