badBIOS: o virus do futuro está aquí para Windows, Mac, BSD e ... Linux!

Virus, malware, código que se executa e se propaga automaticamente e pode ser prexudicial. Os usuarios de Linux soñamos e espertamos pensando «Estou a salvo, o 99.9% do malware non me infecta, estou a salvo, uso Linux«, Tamén o fan os usuarios de BSD, pero ...

Que pensarías se che dixeran que xa había polo menos un malware multiplataforma ao 100%? E se, ademais do anterior, era capaz de infectar o firmware dos ordenadores? ... Ben, todo parece indicar que este pesadelo xa é un problema. realidade.

Segundo a artigo apareceu en Ars Technica, o consultor de seguridade Dragos Ruiu, organizador das conferencias CanSecWest y PacSec e fundador da competición de piratas informáticos Pwn2Own, informou da existencia de malware "badBIOS", capaz de infectar ordenadores con OS X, Windows e BSD. O malware en cuestión afecta á BIOS ou UEFI dos ordenadores e sospeita que tamén pode afectar a outros estándares de firmware. Ata a data, demostraron ser as ferramentas e os procedementos de análise forense existentes insuficiente para detectar a existencia de malware e poder afrontar este reto.

Segundo o que informou Ruiu, a primeira vez que notou que algo raro estaba a suceder foi cando despois de realizar unha nova instalación de OS X nun MacBook Air, o equipo procedeu de xeito espontáneo a actualizar o firmware de arranque. Máis tarde comezou a notar que os ficheiros e as configuracións desaparecían sen motivo aparente e que lle era imposible arrancar desde un CD ROM. Nos meses seguintes, este comportamento comezou a estenderse a outros ordenadores da súa rede, incluídos algúns con Open BSD e varias variantes de Windows.

Intentar eliminar o malware iniciou o pesadelo que durou 3 anos. Despois de reformular a BIOS dos ordenadores e reinstalar desde cero con discos orixinais e novos discos duros, a infección foi persistente, reapareceu de novo. Mentres tanto, detectou que os paquetes de datos co protocolo IPv6 da próxima xeración comezaban a transmitirse na súa rede, incluso desde ordenadores que tiñan esta opción completamente desactivada. Despois de illar completamente o equipo, desconectar o cable Ethernet, retirar as tarxetas WiFi e Bluetooth e desconectalos da rede de enerxía (é dicir, traballar con baterías), a transmisión de paquetes continuou ... o virus seguiu estendéndose, incluso en ordenadores sen LAN, sen Wifi, sen Bluetooth !!!

Como é posible iso ?; ben, usando transmisións de son de alta frecuencia. Aínda que isto parece algo de ciencia ficción, xa se estaba investigando en varios laboratorios, incluído un proxecto en curso no MIT. A confirmación desta sospeita obtívose retirando os altofalantes e o micrófono dunha computadora, coa que cesou a transmisión de paquetes.

Recentemente, despois de mercar un novo ordenador, infectouse inmediatamente conectando unha memoria USB, o que suxeriu que o malware é capaz de infectar dispositivos USB e que infectan outros ordenadores, aínda que aínda non está claro se a infección O MacBook Air inicial viña dunha memoria USB. Ruiu sospeita que "badBIOS" é só un módulo inicial dun cargador de varias etapas capaz de infectar ordenadores con sistemas operativos Windows, Mac OS X, BSD e Linux.

Aínda hoxe, despois de 3 anos para loitar con «badBIOS», a súa orixe ou comportamento non está completamente claro, polo tanto, na próxima conferencia de PacSec, que se celebrará entre o 13 e o 14 deste mes en Tokio, Ruiu espera ter acceso ao hardware de última xeración para analizar os dispositivos USB que proporcionarán novas pistas sobre o mecanismo de infección.

Aínda pode haber algúns escépticos que consideren que isto é imposible, pero de feito non é a primeira vez que aparece unha infección de malware contida no firmware, xa que polo menos se demostrou o caso de Stuxnet, o virus que afectou ao control de O enriquecemento de uranio iraniano centrífuga hai uns anos, mentres que, por outra banda, no 2008 Arrigo Triulzi desenvolveu un proba do concepto onde baseou a posibilidade de manipular o firmware de interfaces de rede e tarxetas gráficas para estes fins, polo que só foi cuestión de tempo que a posibilidade enunciada se fixera real.

Esta nova foi recibida con gran preocupación pola comunidade de seguridade, onde investigadores de renome como Alex Samos e Arrigo Triulzi, así como Jeff Moss - fundador das conferencias de seguridade Defcon e Blackhat - que desde 2009 asesora ao secretario da O Departamento de Seguridade Nacional dos Estados Unidos aprobou as declaracións de Ruiu e recomendou seguir moi de preto o desenvolvemento dos acontecementos a través de @dragosr ou #badBIOS.

Polo menos vou estar ao día e se noto que algún dos meus equipos empeza a impedir o arranque desde o dispositivo óptico, dareille o mesmo tratamento que o robot Terminator, aínda que acepto outras suxestións ...