Un chercheur en sécurité s’exprimant lors du Chaos Computer Congress à Hambourg a démontré un hack qui réécrit le firmware d’un Mac Intel à l’aide d’un périphérique Thunderbolt avec un code d’attaque dans une ROM optionnelle. Connu sous le nom de Thunderstrike, le preuve de concept présenté par Trammel Hudson infecte l’interface du micrologiciel extensible d’Apple (EFI) d’une manière qui, selon lui, ne peut être ni détectée ni supprimée en réinstallant OS X.
Étant donné que la ROM de démarrage est indépendante du système d’exploitation, la réinstallation d’OS X ne la supprimera pas. Elle ne dépend pas non plus de quoi que ce soit stocké sur le disque, donc le remplacement du disque dur n’a aucun effet. Un périphérique de programmation matériel intégré au système est le seul moyen de restaurer le firmware d’origine.
Apple a déjà implémenté un correctif prévu dans les derniers Mac mini et iMac avec écran Retina, qui, selon Hudson, sera bientôt disponible pour d’autres Mac, mais qui semble à ce stade n’offrir qu’une protection partielle…
Une fois installé, le firmware ne peut pas être supprimé car il remplace la clé publique RSA d’Apple, ce qui signifie que les mises à jour ultérieures du firmware seront refusées à moins qu’elles ne soient signées par la clé privée de l’attaquant. Le firmware piraté peut également se répliquer en se copiant dans les ROM optionnelles d’autres appareils Thunderbolt connectés au Mac compromis lors d’un redémarrage. Ces appareils restent fonctionnels, ce qui rend impossible de savoir qu’ils ont été modifiés.
La bonne nouvelle est que la méthode d’attaque nécessite un accès physique à votre Mac, et Hudson n’a connaissance d’aucun kit de démarrage de micrologiciel Mac dans la nature. Il note cependant qu’il n’y a aucun moyen d’en être sûr.
Il a déjà été suggéré que la NSA utilisait des méthodes d’attaque similaires, interceptant physiquement les livraisons pour installer des bootkits avant que les ordinateurs n’atteignent leurs acheteurs. Une fois dans la nature, le firmware piraté pourrait facilement être propagé par quelque chose d’aussi inoffensif qu’un moniteur Thunderbolt dans le centre d’affaires d’un hôtel.
Les diapositives de la présentation de Hudson sont disponible sur Flickret un la vidéo est maintenant disponible. Hudson dit qu’il a été en contact avec Apple au sujet des vulnérabilités EFI, et que ses diapositives fournissent suffisamment de « pseudo-code » pour permettre à d’autres de vérifier le piratage sans le rendre trop facile à exploiter.
Cette présentation fait suite à une précédente dans laquelle le pirate informatique qui l’année dernière avait utilisé des empreintes digitales pour tromper Touch ID avait suggéré qu’il pourrait être possible de répéter l’attaque en utilisant seulement une photographie d’un doigt.
FTC : Nous utilisons des liens d’affiliation automatiques générant des revenus. Plus.
