搜索

[8596] 2015-01-16_揭秘：深入解读针对苹果Mac电脑的ROM级恶意软件“雷击（Thunderstrike）”

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-17
2015-01-16_揭秘：深入解读针对苹果Mac电脑的ROM级恶意软件“雷击（Thunderstrike）” 揭 秘 ： 深 入 解 读 针 对 苹 果 M a c 电 脑 的 R O M 级 恶 意 软 件 “ 雷 击 （ T h u n d e r s t r i k e ） ” F r e e B u f   2 0 1 5 - 0 1 - 1 6 众 所 周 知 苹 果 众 所 周 知 苹 果 M a c 电 脑 很 安 全 ， 但 是 随 着 恶 意 软 件 的 发 展 ， 凭 借 现 有 电 脑 很 安 全 ， 但 是 随 着 恶 意 软 件 的 发 展 ， 凭 借 现 有 M a c 安 全 机 制 想 要 完 全 对 抗 恶 意 软 件 的 感 染 可 安 全 机 制 想 要 完 全 对 抗 恶 意 软 件 的 感 染 可 能 会 变 得 更 加 艰 难 。 近 期 一 种 新 型 恶 意 软 件 的 问 世 ， 使 得 黑 客 通 过 短 暂 的 物 理 接 触 ， 让 能 会 变 得 更 加 艰 难 。 近 期 一 种 新 型 恶 意 软 件 的 问 世 ， 使 得 黑 客 通 过 短 暂 的 物 理 接 触 ， 让 2 0 1 1 年 以 后 生 产 的 苹 果 年 以 后 生 产 的 苹 果 M a c 电 脑 感 染 电 脑 感 染 R O M 级 恶 意 程 序 。 级 恶 意 程 序 。 背 景 背 景 近 日 ， 安 全 研 究 人 员 发 现 一 种 让 苹 果 电 脑 感 染 近 日 ， 安 全 研 究 人 员 发 现 一 种 让 苹 果 电 脑 感 染 R O M 级 恶 意 程 序 的 方 法 。 级 恶 意 程 序 的 方 法 。 这 个 攻 击 由 编 程 专 家 T r a m m e l l   H u d s o n 在 德 国 汉 堡 举 办 的 年 度 混 沌 计 算 机 大 会 上 展 现 ， 他 证 明 这 将 使 重 写 苹 果 M a c 计 算 机 固 件 成 为 可 能 。 这 种 攻 击 被 命 名 为 “ T h u n d e r s t r i k e （ 雷 击 ） ” 。 它 实 际 上 利 用 了 一 个 在 T h u n d e r b o l t O p t i o n   R O M 中 有 些 历 史 的 漏 洞 ， 该 漏 洞 在 2 0 1 2 年 首 次 被 发 现 但 仍 未 修 补 。 通 过 受 感 染 的 T h u n d e r b o l t 设 备 在 苹 果 电 脑 的 b o o t   R O M 中 分 配 一 段 恶 意 程 序 ， T h u n d e r s t r i k e   将 可 以 感 染 苹 果 可 扩 展 固 件 接 口 （ E F I ） 。 查 看 更 多 信 息 点 我 F r e e B u f 小 科 普 （ 本 文 涉 及 的 专 有 名 词 解 释 ） 小 科 普 （ 本 文 涉 及 的 专 有 名 词 解 释 ） T h u n d e r b o l t （ 雷 电 ） 接 口 ： （ 雷 电 ） 接 口 ： 英 特 尔 在 2 0 0 9 年 设 计 完 成 的 某 种 接 口 ， 替 代 并 统 一 目 前 电 脑 上 数 量 繁 多 性 能 参 差 不 齐 的 扩 展 接 口 。 雷 电 接 口 形 状 与 M i n i D i s p l a y p o r t 一 样 ， 并 且 可 以 对 其 兼 容 。 其 理 论 最 高 传 输 速 度 可 达 单 向 1 0 G b p s ， 是 U S B   3 . 0 规 范 的 2 倍 。 并 且 在 未 来 会 提 供 对 存 储 设 备 的 支 持 ， 可 以 大 幅 提 升 传 输 带 宽 。 该 技 术 由 苹 果 和 该 技 术 由 苹 果 和 I n t e l 共 同 开 发 、 推 广 ， 苹 果 新 款 共 同 开 发 、 推 广 ， 苹 果 新 款 M a c B o o k   P r o 中 便 使 用 了 全 新 的 中 便 使 用 了 全 新 的 I n t e l 雷 电 技 术 。 雷 电 技 术 。 O p t i o n   R O M ： ： P C I   O p t i o n   R O M 又 叫 P C I   E x p a n s i o n   R O M 。   它 是 用 于 设 备 初 始 化 和 系 统 b o o t 的 c o d e 。 有 的 P C I   O p t i o n   R O M 被 存 放 在 板 卡 上 ， 而 有 的 则 保 存 在 B I O S 的 b i n a r y 里 面 。 B o o t k i t ： ： 是 更 高 级 的 R o o t k i t ， 该 项 目 通 过 感 染 M B R ( 磁 盘 主 引 记 录 ） 的 方 式 ， 实 现 绕 过 内 核 检 查 和 启 动 隐 身 。 可 以 认 为 ， 所 有 在 开 机 时 比 W i n d o w s 内 核 更 早 加 载 ， 实 现 内 核 劫 持 的 技 术 ， 都 可 以 称 之 为 B o o t k i t 。
循 环 冗 余 校 验 算 法 ： 循 环 冗 余 校 验 算 法 ： 要 计 算 n 位 的 C R C 值 ， 将 待 C R C 的 数 据 左 移 n 位 （ 即 在 其 最 右 端 添 加 n 个 0 ） ， 如 果 待 C R C 数 据 的 最 高 位 为 0 ， 不 进 行 任 何 操 作 ， 否 则 将 其 与 事 先 设 定 好 的 除 数 ( d i v i s o r ) 进 行 异 或 操 作 ， 然 后 将 除 数 右 移 一 位 。 重 复 上 述 两 个 操 作 直 到 除 数 到 达 待 C R C 数 据 的 右 端 。 E F I 可 扩 展 固 件 接 口 ： 可 扩 展 固 件 接 口 ： ( 英 文 名 E x t e n s i b l e   F i r m w a r e   I n t e r f a c e   或 E F I ) 是 由 英 特 尔 ， 一 个 主 导 个 人 电 脑 技 术 研 发 的 公 司 推 出 的 一 种 在 未 来 的 类 P C 的 电 脑 系 统 中 替 代 B I O S 的 升 级 方 案 。 U E F I ： 全 称 “ 统 一 的 可 扩 展 固 件 接 口 ” ( U n i f i e d   E x t e n s i b l e   F i r m w a r e   I n t e r f a c e ) ，   是 一 种 详 细 描 述 类 型 接 口 的 标 准 。 这 种 接 口 用 于 操 作 系 统 自 动 从 预 启 动 的 操 作 环 境 ， 加 载 到 一 种 操 作 系 统 上 。 恶 意 软 件 恶 意 软 件 “ 雷 击 （ 雷 击 （ T h u n d e r s t r i k e ） ） ” 原 理 ： 原 理 ： 一 旦 安 装 了 这 种 名 “ 雷 击 （ T h u n d e r s t r i k e ） ” 的 恶 意 软 件 ， 它 会 替 换 M a c 下 的 引 导 固 件 程 序 ， 以 高 优 先 级 的 指 令 获 得 系 统 控 制 权 限 。 这 款 恶 意 软 件 （ b o o t k i t ） 可 以 绕 过 固 件 程 序 密 码 验 证 及 硬 盘 密 码 验 证 ， 在 操 作 系 统 启 动 时 就 预 装 上 后 门 。 该 恶 意 软 件 安 装 以 后 ， 将 独 立 于 操 作 系 统 和 硬 盘 驱 动 ， 因 此 格 式 化 硬 盘 和 重 装 操 作 系 统 也 拿 它 没 办 法 。 该 恶 意 软 件 安 装 以 后 ， 将 独 立 于 操 作 系 统 和 硬 盘 驱 动 ， 因 此 格 式 化 硬 盘 和 重 装 操 作 系 统 也 拿 它 没 办 法 。 原 因 是 该 恶 意 软 件 取 代 了 苹 果 的 数 字 签 名 。 本 来 M a c 下 运 行 的 固 件 程 序 都 需 要 数 字 签 名 进 行 授 权 ， 现 在 数 字 签 名 被 替 换 了 后 也 就 没 有 了 相 应 的 限 制 。 同 时 ， 当 前 很 少 有 方 法 可 以 清 理 受 恶 意 软 件 感 染 了 的 引 导 系 统 。 目 前 目 前 这 个 概 念 首 次 在 这 个 概 念 首 次 在 O S   X 平 平 台 提 出 ， 暂 时 在 真 实 环 境 下 并 没 有 发 现 这 样 的 攻 击 实 例 ， 现 有 的 技 术 也 没 法 对 这 类 攻 击 进 行 精 确 检 测 。 台 提 出 ， 暂 时 在 真 实 环 境 下 并 没 有 发 现 这 样 的 攻 击 实 例 ， 现 有 的 技 术 也 没 法 对 这 类 攻 击 进 行 精 确 检 测 。 传 播 方 式 ： 传 播 方 式 ： 该 恶 意 软 件 通 过 连 接 M a c 机 器 T h u n d e r b o l t （ 雷 电 ） 接 口 的 外 接 设 备 进 行 传 播 。 当 攻 击 者 使 用 带 有 恶 意 软 件 的 外 接 设 备 插 入 M a c 机 器 中 进 行 引 导 时 ， 会 把 恶 意 O p t i o n   R O M 注 入 可 扩 展 固 件 接 口 ( E F I ) 。 O p t i o n   R O M 负 责 启 用 M a c 系 统 的 管 理 模 式 ， 并 在 系 统 加 载 前 激 活 其 他 低 级 指 令 。 它 替 换 了 M a c 下 的 R S A 密 钥 （ k e y ） ， 使 得 不 经 过 授 权 的 固 件 程 序 也 可 以 安 装 。 这 样 的 话 ， 操 控 了 生 杀 大 权 的 T h u n d e r b o l t 外 接 设 备 就 可 以 随 意 往 M a c 安 装 恶 意 固 件 程 序 ， 没 有 新 的 k e y 很 难 将 它 去 除 。 如 何 实 施 攻 击 如 何 实 施 攻 击 从 表 面 上 看 ， 这 种 攻 击 行 为 需 要 短 时 间 接 触 物 理 机 ， 也 许 有 童 鞋 会 认 为 这 种 攻 击 实 现 难 度 比 较 高 。 但 事 实 未 必 如 此 ， 现 实 中 仍 然 有 很 多 攻 击 机 会 ： 比 如 ， 某 名 不 怀 好 意 的 酒 店 服 务 人 员 可 能 有 机 会 接 触 你 的 电 脑 ， 海 但 事 实 未 必 如 此 ， 现 实 中 仍 然 有 很 多 攻 击 机 会 ： 比 如 ， 某 名 不 怀 好 意 的 酒 店 服 务 人 员 可 能 有 机 会 接 触 你 的 电 脑 ， 海 关 陆 卡 的 人 员 也 有 很 多 机 会 接 触 他 人 电 脑 。 前 关 陆 卡 的 人 员 也 有 很 多 机 会 接 触 他 人 电 脑 。 前 N S A 员 工 斯 诺 登 泄 密 的 文 档 里 也 显 示 ， 从 事 美 国 情 报 工 作 的 相 关 人 员 员 工 斯 诺 登 泄 密 的 文 档 里 也 显 示 ， 从 事 美 国 情 报 工 作 的 相 关 人 员 会 拦 截 那 些 运 往 目 标 组 织 的 设 备 硬 件 ， 在 中 途 悄 悄 将 修 改 过 的 固 件 程 序 装 上 去 。 会 拦 截 那 些 运 往 目 标 组 织 的 设 备 硬 件 ， 在 中 途 悄 悄 将 修 改 过 的 固 件 程 序 装 上 去 。 如 何 实 施 T h u n d e r s t r i k e 式 攻 击 呢 ？ 将 恶 意 改 装 过 的 T h u n d e r b o l t 设 备 插 入 M a c 并 将 其 重 启 就 行 。 如 果 你 碰 到 一 台 M a c 机 器 开 机 后 却 发 现 存 在 密 码 校 验 机 制 ， 只 需 要 按 下 电 源 键 几 秒 钟 对 机 器 进 行 硬 重 启 ， 固 件 密 码 、 硬 盘 密 码 ， 以 及 用 户 密 码 等 防 护 手 段 都 将 失 效 ， 因 为 O p t i o n   R O M s 在 这 些 保 护 措 施 进 行 检 测 之 前 已 经 加 载 了 。 “ 雷 击 （ 雷 击 （ T h u n d e r s t r i k e ） ） ” 的 历 史 的 历 史 T h u n d e r s t r i k e 在 去 年 在 去 年 1 2 月 下 旬 于 混 沌 通 信 大 会 亮 相 。 该 漏 洞 由 月 下 旬 于 混 沌 通 信 大 会 亮 相 。 该 漏 洞 由 T r a m m e l l   H u d s o n 发 现 ， 这 名 安 全 研 究 员 供 职 于 纽 约 一 发 现 ， 这 名 安 全 研 究 员 供 职 于 纽 约 一 家 名 为 家 名 为 T w o   S i g m a   I n v e s t m e n t s 的 高 科 技 对 冲 基 金 公 司 。 当 初 发 现 这 个 漏 洞 时 ， 他 只 是 试 图 对 公 司 的 的 高 科 技 对 冲 基 金 公 司 。 当 初 发 现 这 个 漏 洞 时 ， 他 只 是 试 图 对 公 司 的 M a c 笔 记 本 进 行 安 笔 记 本 进 行 安 全 加 固 。 全 加 固 。 H u d s o n 自 称 为 一 名 逆 向 爱 好 者 ， 以 前 曾 以 创 建 佳 能 单 反 相 机 的 开 源 编 程 扩 展 包 自 称 为 一 名 逆 向 爱 好 者 ， 以 前 曾 以 创 建 佳 能 单 反 相 机 的 开 源 编 程 扩 展 包 M a g i c   L a n t e r n 而 出 名 。 而 出 名 。 2 0 1 2 年 黑 帽 大 会 曾 展 示 了 一 个 绕 过 O S   X   F i l e V a u l t 保 护 ， 然 后 安 装 r o o t k i t 的 攻 击 案 例 。 T h u n d e r s t r i k e 的 实 现 与 其 比 较 相 似 。 如 T h u n d e r s t r i k e 一 般 ， 那 款 2 0 1 2 年 黑 帽 大 会 的 e x p 也 使 用 了 T h u n d e r b o l t 端 口 ， 对 引 导 进 程 注 入 了 恶 意 p a y l o a d 。 但 是 ， 它 却 不 能 对 引 导 R O M 本 身 进 行 更 改 。 为 了 绕 过 这 一 限 制 ， 研 究 人 员 写 出 了 针 对 E F I 系 统 分 区 的 b o o t k i t 。 T h u n d e r s t r i k e 的 其 中 一 个 技 术 突 破 点 ， 是 其 可 以 通 过 引 导 R O M 固 件 卷 的 验 证 。 H u d s o n 在 常 规 验 证 过 程 中 发 现 一 个 未 证 明 的 C R C 3 2 循 环 冗 余 校 验 程 序 ， 正 是 从 这 个 里 面 他 得 到 了 启 发 。 第 二 次 技 术 突 破 点 ， 则 是 H u d s o n 发 现 O p t i o n   R O M s 会 在 恢 复 引 导 模 式 进 行 加 载 。 就 是 这 两 个 突 破 ， 让 H u d s o n 想 出 了 如 何 替 换 苹 果 的 现 有 的 E F I 代 码 。 T h u n d e r s t r i k e 只 是 在 1 2 月 混 沌 通 信 大 会 上 演 示 的 基 于 E F I 的 攻 击 之 一 ， 该 大 会 演 示 了 至 少 演 示 了 两 个 以 上 的 同 类 型 攻 击 。 其 中 有 一 个 话 题 单 独 剖 析 了 可 扩 展 固 件 接 口 （ U E F I ） ， 讨 论 了 如 何 使 用 相 似 的 机 制 用 来 引 导 启 动 某 些 W i n 或 者 L i n u x 机 器 。 H u d s o n 表 示 ， 有 一 种 名 为 黑 暗 绝 地 （ D a r k   J e d i ） 的 技 术 ， 黑 客 不 需 要 进 行 物 理 接 触 ， 只 需 要 远 程 实 施 攻 击 。 本 周 早 些 时 候 ， 美 国 C E R T 发 布 了 关 于 使 用 U E F I 的 设 备 的 三 个 漏 洞 的 预 警 ： h t t p : / / w w w . k b . c e r t . o r g / v u l s / i d / 9 7 6 1 3 2 h t t p : / / w w w . k b . c e r t . o r g / v u l s / i d / 7 6 6 1 6 4   h t t p : / / w w w . k b . c e r t . o r g / v u l s / i d / 5 3 3 1 4 0 此 外 ， 安 全 公 司 B r o m i u m 的 某 名 研 究 员 在 关 于 U E F I 讨 论 中 ， 也 发 布 有 短 篇 的 w r i t e u p 。
漏 洞 作 者 的 建 议 漏 洞 作 者 的 建 议 H u d s o n 表 示 苹 果 公 司 只 会 在 局 部 修 补 漏 洞 ， 正 是 这 个 情 况 造 就 了 “ 雷 击 （ T h u n d e r s t r i k e ） ” 漏 洞 。 想 要 补 救 该 漏 洞 ， 就 需 要 禁 止 O p t i o n   R O M s 在 固 件 更 新 时 进 行 加 载 。 H u d s o n 指 出 ， 这 个 措 施 能 有 效 地 遏 制 其 目 前 发 现 的 漏 洞 影 响 。 苹 果 公 司 已 经 升 级 了 M a c   M i n i 和 i M a c   R e t i n a   5 k ， 而 且 打 算 尽 量 在 短 时 间 内 向 用 户 推 广 。 但 是 H u d s o n 指 出 ， 苹 果 的 这 次 升 级 并 非 一 个 完 美 的 解 决 方 案 。 O p t i o n   R O M s 仍 然 实 行 的 是 普 通 引 导 模 式 ， 所 以 2 0 1 2 年 的 那 种 攻 击 手 法 仍 然 能 够 起 效 ， 导 致 老 版 M a c 在 更 新 固 件 版 本 后 反 而 会 受 到 该 类 攻 击 。 在 苹 果 提 出 完 美 修 复 方 案 之 前 ， 并 没 太 多 防 御 “ 雷 击 （ T h u n d e r s t r i k e ） ” 的 可 行 方 案 。 也 许 在 也 许 在 T h u n d e r b o l t 端 口 浇 上 大 量 的 环 氧 树 脂 胶 确 实 会 增 加 攻 击 难 度 ， 这 样 的 话 黑 客 不 得 不 拆 开 外 壳 才 能 才 能 接 触 到 端 口 浇 上 大 量 的 环 氧 树 脂 胶 确 实 会 增 加 攻 击 难 度 ， 这 样 的 话 黑 客 不 得 不 拆 开 外 壳 才 能 才 能 接 触 到 底 层 的 底 层 的 F l a s h   R O M 芯 片 。 但 是 毕 竟 这 是 以 禁 用 关 键 的 功 能 为 代 价 的 芯 片 。 但 是 毕 竟 这 是 以 禁 用 关 键 的 功 能 为 代 价 的 … … 另 一 个 不 靠 谱 的 解 决 方 案 ， 就 是 让 电 脑 主 人 另 一 个 不 靠 谱 的 解 决 方 案 ， 就 是 让 电 脑 主 人 寸 步 不 离 机 器 ， 不 过 就 算 放 在 酒 店 保 险 箱 和 储 物 盒 密 封 ， 也 总 会 有 被 人 进 行 物 理 接 触 的 可 能 。 寸 步 不 离 机 器 ， 不 过 就 算 放 在 酒 店 保 险 箱 和 储 物 盒 密 封 ， 也 总 会 有 被 人 进 行 物 理 接 触 的 可 能 。 [ 参 考 来 源 参 考 来 源 a r s t e c h n i c a , 由 由 F r e e B u f 小 编 小 编 d a w n e r 翻 译 整 理 ， 如 有 编 译 不 正 确 的 地 方 ， 请 点 击 文 章 下 方 的 翻 译 整 理 ， 如 有 编 译 不 正 确 的 地 方 ， 请 点 击 文 章 下 方 的 “ 文 章 纠 错 文 章 纠 错 ” 。 转 载 。 转 载 请 注 明 来 自 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理