Faille dangereuse dans l'EFI.

[subsole]

Ce n'est pas une nouveauté puisqu’elle est connue depuis 2012, mais des chercheurs l'ont exploitée.
Cette faille permet écrire du "code non fiable" sur la mémoire flash SPI de la CM.
Pour cela, on passe par l'intermédiaire de périphériques Thunderbolt infectés (faille de sécurité qui permet de passer outre les sécurités des Thunderbolt). :siffle:

En bref, écrire dans l'EFI permet de changer les sécurités originales mises en place par Apple, avec une impossibilité de MàJ future de l' EFI , (donc impossibilité de combler la faille) .
En effet, il n'y a aucune vérification (matériel ou logiciel) au moment du démarrage du firmware, donc une fois que le code malveillant a été flashé, il contrôle le système dès la première instruction., indétectable :rateau:

Alors Mr Apple on fait quoi ?

Pour plus de précisions, voir la source ===> https://trmm.net/EFI

 

[Romuald]

Cela dit il faut un accès physique à la bécane si j'ai bien compris. Du coup je ne me sens guère concerné car si c'est le cas, le dit accès physique se transformera, en ce qui me concerne, par plus d'accès physique pour moi, utilisateur lambda : le mec sera parti avec le matos...

Par contre pour les machines pros et surtout les serveurs, la effectivement ça craint. La backdoor dans l'EFI c'est imparable.
[mode NSA on]S'il n'y en a pas déjà une[/mode]

 

[subsole]

Cela dit il faut un accès physique à la bécane si j'ai bien compris. Du coup je ne me sens guère concerné car si c'est le cas, le dit accès physique se transformera, en ce qui me concerne, par plus d'accès physique pour moi, utilisateur lambda : le mec sera parti avec le matos...

The bootkit can be easily installed by an evil-maid via the externally accessible Thunderbolt ports and can survive reinstallation of OSX as well as hard drive replacements. Once installed, it can prevent software attempts to remove it and could spread virally across air-gaps by infecting additional Thunderbolt devices.

Je crois comprendre qu'il faut un accès à un port Thunderbolt, et qu'ensuite il pourrait s'étendre de façon virale …….

Par contre pour les machines pros et surtout les serveurs, la effectivement ça craint. La backdoor dans l'EFI c'est imparable.
[mode NSA on]S'il n'y en a pas déjà une[/mode]

Surtout qu'une partie du problème pourrait être résolu avec un patch de quelque octets.

"While the two year old Thunderbolt Option ROM vulnerability that this attack uses can be closed with a few byte patch to the firmware, the larger issue of Apple's EFI firmware security and secure booting without trusted hardware is more difficult to fix".

 

[Romuald]

The bootkit can be easily installed by an evil-maid via the externally accessible Thunderbolt ports and can survive reinstallation of OSX as well as hard drive replacements. Once installed, it can prevent software attempts to remove it and could spread virally across air-gaps by infecting additional Thunderbolt devices.

Je crois comprendre qu'il faut un accès à un port Thunderbolt, et qu'ensuite il pourrait s'étendre de façon virale …….

Oui, par ouifi via des périphériques thunderbolt. Ca reste quand même assez limité pour des particuliers.

 

[JustTheWay]

Oui, par ouifi via des périphériques thunderbolt. Ca reste quand même assez limité pour des particuliers.

Peu de monde concerné, mais grande conséquence. Puis on ne peut pas mesurer l'importance d'une faille à sa vitesse de propagation uniquement.

 

[Romuald]

Rectification : ça peut se propager via des périphériques TB vérolés. Tu achètes un machin thunderbolt chinois à pas cher mais pourri de l'intérieur, et hop t'es piégé, l'accès physique c'est toi qui le fais.

 

[bompi]

Exact. Il faut pourtant bien faire confiance à quelqu'un... (parce que même dans les trucs Thunderbolt chers, rien ne te dit qu'une agence bien intentionnée n'a pas obligé le vendeur à mettre quelque chose de sournois).

 

[JustTheWay]

Rectification : ça peut se propager via des périphériques TB vérolés. Tu achètes un machin thunderbolt chinois à pas cher mais pourri de l'intérieur, et hop t'es piégé, l'accès physique c'est toi qui le fais.

Où alors tu travailles dans une entreprise, avec des mac (plus rare mais bon), tu branches ton truc infecté sur ton mac, sur le mac de l'entreprise et hop. :siffle:

L'effet clef USB.

 

[subsole]

Je n'avais pas tout lu.

Can you use the same technique to replace the modified boot ROM with a clean copy? You can't use Thunderstrike to remove Thunderstrike. In effect it closes the door behind itself: the proof-of-concept patches the Option ROM vulnerability as part of replacing the boot ROM. Thus a machine infected by the proof-of-concept is no longer vulnerable to itself.

En clair, la vérole comble la "faille" qu'elle vient d'exploiter ! :style: C'est drôle non ? :mouais:
Alors Mr Apple on a un modèle de se qu'il vous faudrait faire depuis plus de deux ans !?! mon sentiment est que cette faille n'est pas là par hasard.

La bonne nouvelle d'après moi, la vérole devient détectable :
Test de la faille => Si le résultat = "Pas de faille" le Mac est infecté.