Importance stratégique du BIOS
Le BIOS, le micrologiciel des ordinateurs personnel, est le code qui est exécuté en premier au démarrage de l’ordinateur, avant le système d’exploitation. Le BIOS est stocké dans une mémoire non volatile.
Si cette mémoire est corrompue, l’ordinateur peut être définitivement hors-service.
Si le BIOS est infecté, l’attaquant peut prendre le contrôle du système d’exploitation et l’infecter. L’attaquant peut installer un rootkit, un logiciel malveillant aussi furtif que possible pour un accès non autorisé quasi permanent à un système, afin de pirater ou d’espionner.
La classe de vulnérabilité SMM Incursion
On pensait jusqu’à présent que s’attaquer au BIOS exigeait des développeurs un niveau de sophistication uniquement trouvé à la NSA et quelques autres organisations.
Les chercheurs de Legbacore ont malheureusement montré qu’il est en fait relativement simple d’infecter un BIOS.
Legbacore est une entreprise spécialisée dans la formation en sécurité au niveau du BIOS, créée en 2014 par Corey Kallenberg et Xeno Kovah. Ce sont deux anciens du Mitre, une organisation américaine à but non lucratif active notamment dans la recherche en cyber défense.
Lors de la conférence CanSecWest, qui s’est tenue du 18 au 20 mars 2015 à Vancouver, l’entreprise a présenté (Powerpoint) la vulnérabilité ‘Incursion‘, divulguée secrètement aux entreprises concernées le 29 octobre 2014.
Ils ont découvert qu’en mode de gestion système (System Management Mode, SMM), le mode d’exécution le plus privilégié des processeurs Intel, devant les modes administrateur et racine, on pouvait appeler par indirection un code malicieux.
Après analyse, ils ont constaté qu’on pouvait remplacer la plupart des fonctions en modifiant la table d’indirection SMM, le nombre de vulnérabilité de cette classe est si grand que les chercheurs se sont arrêtés avant d’en fournir une liste exhaustive.
En exploitant cette classe de vulnérabilité, l’attaquant peut donc exécuter tout code dans le mode le plus privilégié du processeur, et accéder à toute la mémoire vive. Même un système d’exploitation ultra-sécurisé comme Tails, prisé par les journalistes et les activistes, ne peut résister et offre une sécurité illusoire.
En un mois, Ils ont développé un logiciel, LightEater, comme preuve de faisabilité. Il peut voler des clés de chiffrement de la mémoire sur MSI, exporter secrètement des données sur le réseau sur des systèmes HP, et installer un rootkit sur le kernel de Windows sur Asus.
Des millions de systèmes vulnérables
Comme la plupart des BIOS UEFI utilisent un code source en partie partagé, la plupart des BIOS sont vulnérables aux mêmes attaques.
Comme le BIOS de la plupart des ordinateurs n’est jamais mis à jour, la plupart des PC sont vulnérables.
Legbacore est toutefois en contact avec les fabricants de PC afin qu’ils corrigent les vulnérabilités de type Incursion. Ils mettent en avant Dell et Lenovo qui ont immédiatement travaillé sur des mises à jour de sécurité, alors que d’autres, comme HP, n’ont pas pris contact.
Parallèlement, l’entreprise développe conjointement avec Intel une isolation SMM, de sorte que même si un pirate entre en mode SMM, il ne pourra pas lire ou écrire arbitrairement la mémoire.