Martin Smolar

Múltiplos carregadores de inicialização UEFI SHIM assinados pela Microsoft estão sujeitos a um bypass de Secure Boot devido à falta de aplicação e validação do Secure Boot Advanced Targeting (SBAT), um mecanismo utilizado para revogar carregadores de inicialização vulneráveis. Um invasor com privilégios administrativos ou a capacidade de modificar o processo de boot pode utilizar esses carregadores para contornar as proteções do Secure Boot e executar código arbitrário antes do carregamento do sistema operacional.

Existe uma vulnerabilidade no Aplicativo UEFI Howyar "Reloader" que permite a execução de software não assinado em um caminho fixo no código. Esta falha, identificada como CVE-2024-7344, contorna as proteções do Secure Boot do UEFI, potencialmente permitindo a instalação de bootkits maliciosos. Uma nova cepa de ransomware, HybridPetya, foi observada explorando esta vulnerabilidade para ganhar persistência e criptografar sistemas. O HybridPetya imita o comportamento do ransomware Petya/NotPetya, criptografando a Tabela Mestra de Arquivos (MFT) do NTFS e exigindo um pagamento de resgate. Embora o HybridPetya ainda não tenha sido amplamente implantado em ataques ativos, suas capacidades sugerem um potencial de ameaça significativo. A vulnerabilidade reside em um aplicativo UEFI assinado pela Microsoft, impactando uma variedade de sistemas. A exploração desta vulnerabilidade permite que invasores obtenham controle no nível de inicialização, potencialmente contornando medidas de segurança no nível do sistema operacional.

Um problema de bypass de recurso de segurança existe na implementação do Secure Boot do Windows devido a erros no acesso a funções de depuração durante o processo de inicialização. Esta falha permite que um invasor ignore as restrições de segurança existentes. Especificamente, o problema pode ser explorado provocando um erro de inicialização para ler a chave de descriptografia do BitLocker na memória, pois o carregador de inicialização (bootloader) não a apaga. Além disso, invasores podem fazer o downgrade do bootloader para uma versão vulnerável para explorar esta falha de leitura de memória, mesmo em sistemas Windows 11 totalmente atualizados com Secure Boot ativado. Esta vulnerabilidade foi associada à implantação de bootkits UEFI pelo grupo de ameaças FishMonger para garantir persistência e furtividade em sistemas governamentais visados.

O problema diz respeito a uma vulnerabilidade no driver HQSwSmiDxe DXE que pode permitir que um invasor com privilégios elevados modifique as configurações de inicialização segura (Secure Boot) da UEFI alterando uma variável da NVRAM. Isso poderia ser potencialmente explorado para desativar a proteção de inicialização segura, permitindo que invasores interceptem o processo de inicialização do sistema operacional, carreguem bootloaders não assinados e implantem cargas maliciosas com privilégios de sistema. A vulnerabilidade pode ser explorada em ataques de baixa complexidade, sem exigir interação do usuário.