The Hacker News 網(wǎng)站披露， Eclypsium 網(wǎng)絡(luò)安全研究員發(fā)現(xiàn)技嘉售出的 271 款近 700 萬片主板中存在”類似后門“的安全漏洞。設(shè)備的 UEFI 固件中“潛伏”一個(gè) Windows 可執(zhí)行文件，并以不安全的格式檢索更新，以此觸發(fā)隱藏的更新程序。Eclypsium 指出潛在攻擊者可以利用這種機(jī)制，在用戶不知情的情況下安裝惡意程序，且后續(xù)難以檢測(cè)和刪除。

Eclypsium 聲稱其在 2023 年 4 月首次檢測(cè)到該異常現(xiàn)象，之后便通知技嘉，該公司承認(rèn)并解決了這個(gè)問題。

Eclypsium 公司戰(zhàn)略高級(jí)副總裁 John Loucaides 在與 The Hacker News分享中表示 ，大多數(shù)技嘉固件包括一個(gè)嵌入 UEFI 固件的 Windows 原生二進(jìn)制可執(zhí)行文件，研究人員檢測(cè)到的 Windows  可執(zhí)行文件被放到磁盤上，并作為 Windows 啟動(dòng)過程的一部分執(zhí)行，類似于 LoJack 雙重代理攻擊，該可執(zhí)行文件通過不安全的方法下載并運(yùn)行其它二進(jìn)制文件。

值得一提的是，根據(jù) Eclypsium 的說法，Windows  可執(zhí)行文件被嵌入 UEFI 固件中，并作為系統(tǒng)啟動(dòng)過程的一部分由固件寫入磁盤，隨后作為更新服務(wù)啟動(dòng)。就其本身而言，基于.NET 的應(yīng)用程序則被配置為通過普通的 HTTP從技嘉更新服務(wù)器下載和執(zhí)行有效載荷，從而使進(jìn)程暴露于通過受損路由器進(jìn)行的中間人（AitM）攻擊。

Loucaides 補(bǔ)充說，該軟件似乎是作為一個(gè)合法的更新應(yīng)用程序，可能影響 "大約 364 個(gè)技嘉系統(tǒng)，粗略估計(jì)有 700 萬臺(tái)設(shè)備。

隨著威脅攻擊者不斷尋找到不被發(fā)現(xiàn)或留下最小入侵痕跡的方法，特權(quán)固件更新機(jī)制中的漏洞可能為隱蔽的 UEFI 引導(dǎo)程序和“植入物”鋪平道路，這些程序可以顛覆操作系統(tǒng)中運(yùn)行的所有安全控制。

更糟糕的是，由于 UEFI 代碼位于主板上，即使擦除驅(qū)動(dòng)器并重新安裝操作系統(tǒng)，注入固件的惡意軟件也可能持續(xù)存在。因此， 建議用盡快應(yīng)用最新的固件更新，以最大限度地降低潛在的安全風(fēng)險(xiǎn)。此外，用戶還需立刻檢查并禁用 UEFI/BIOS 設(shè)置中的“APP Center 下載和安裝 ”這一功能，并設(shè)置 BIOS 密碼以阻止惡意更改。

文章來源：https://thehackernews.com/2023/05/critical-firmware-vulnerability-in.html