Một tiêu chuẩn chung của ngành do Microsoft phát minh để bảo vệ các thiết bị Windows, và sau này là Linux, khỏi các phần mềm độc hại đã dễ dàng bị vượt qua trong suốt 13 năm trong số 14 năm tồn tại của nó.

Phát hiện này được thực hiện bởi các nhà nghiên cứu tại công ty bảo mật ESET sau khi xác định được 11 firmware độc hại, ít nhất một trong số đó từ năm 2013, được biết là có lỗi nhưng vẫn được công ty phần mềm ký xác nhận.

Các firmware này được gọi là shims, được phát minh để mở rộng Secure Boot cho các thiết bị Linux và phần mềm tiện ích. Sử dụng một kỹ thuật đủ đơn giản để ngay cả những hacker nghiệp dư cũng có thể thực hiện.

Những shims cũ kỹ, bị lãng quên này có thể được sử dụng để hoàn toàn vượt qua lớp bảo vệ được nhúng trong UEFI (Giao diện phần mềm mở rộng thống nhất) của bo mạch chủ thiết bị.

Sai sót này là do Microsoft, đơn vị giám sát việc ký các shims, đã không thu hồi các firmware được phát hành công khai sau khi phát hiện ra các lỗ hổng trong chúng.

Mối đe dọa này ảnh hưởng đến cả người dùng Windows và Linux, vì phần mềm giả lập này có thể được cài đặt trên các thiết bị chạy cả hai hệ điều hành. Từ đó, kẻ tấn công có thể phá vỡ chuỗi xác thực chữ ký số bắt buộc của firmware để cài đặt firmware độc ​​hại.

Phần mềm này sẽ được tải sớm trong quá trình khởi động và vẫn tồn tại ngay cả sau khi hệ điều hành được cài đặt lại hoặc ổ cứng được thay thế.

“Điều khiến những phần mềm giả lập cũ này trở nên nguy hiểm không phải là lỗ hổng bảo mật mới mà là không cần lỗ hổng bảo mật để có thể vượt qua UEFI Secure Boot” - nhà nghiên cứu Martin Smolár của ESET nói.

Kẻ tấn công không cần các kỹ thuật khai thác phức tạp, chỉ cần một bản sao của phần mềm giả lập cũ, vẫn được tin cậy nhưng chưa bị thu hồi, và hiểu biết cơ bản về cách hoạt động của UEFI shims để vượt qua một tính năng bảo mật thiết yếu như UEFI Secure Boot.

Chế độ khởi động an toàn (Secure Boot) được giới thiệu vào năm 2012 để làm giảm mối đe dọa từ bootkit, thuật ngữ dùng để chỉ loại phần mềm độc hại này.

Nếu không có Secure Boot, kẻ tấn công chỉ cần có quyền truy cập vật lý ngắn hạn vào thiết bị ngay cả khi thiết bị đã tắt cũng có thể cài đặt các bootkit tương tự như LoJax được các hacker Nga sử dụng năm 2018.

Ngoài ra còn có MosaicRegressor được phát hiện năm 2020, CosmicStrand năm 2022 và BlackLotus năm 2023 cùng một số bootkit khác đang được sử dụng rộng rãi dưới các tên gọi như ESpecter, FinSpy và MoonBounce.

Hầu hết, nhưng không phải tất cả, phần mềm độc hại bootkit đều yêu cầu kẻ tấn công phải có quyền truy cập vật lý vào các thiết bị mục tiêu. Quyền truy cập như vậy là một trong những mô hình đe dọa mà Secure Boot được yêu cầu phải bảo vệ chống lại.

Danh sách 11 phần mềm giả lập (shim) do CERT biên soạn cho thấy một số được sử dụng bởi các nhà phân phối Linux như Redhat, OpenSuse và Oracle.

Một số khác là phần mềm bên thứ ba, chẳng hạn như phần mềm của PC-Doctor Finland's Matriculation Examination Board. Nhiều phần mềm trong số đó được xây dựng trước khi một số biện pháp bảo vệ nhất định, bao gồm danh sách từ chối SBAT và MOK, tồn tại. Một số khác chứa các lỗi tích lũy trong mã nguồn hoặc trong các tệp nhị phân giai đoạn hai mà chúng cho phép.

Trình khởi động UEFI được Microsoft ký số cho Windows là điểm tựa tin cậy duy nhất trên các máy tính Windows. Để một thành phần được tải trong quá trình khởi động, chứng chỉ phải ký rõ ràng tất cả các đoạn mã khác được thực thi trong quá trình khởi động.

Bất kỳ người dùng Windows nào đã cài đặt bản cập nhật tháng 6 của Microsoft đều không còn bị ảnh hưởng nữa. Người dùng Linux nên kiểm tra Dịch vụ Phần mềm Nhà cung cấp Linux hoặc liên hệ với nhà phân phối của họ. Trạng thái thu hồi có thể được kiểm tra bằng cách sử dụng tập lệnh uefi-dbx-audit .

Việc tin tặc có khả năng vượt qua Secure Boot trong hơn một thập kỷ thông qua những kịch bản tấn công đơn giản chỉ sự tính hiệu quả của cơ chế do Microsoft đề xuất cùng với các nhà sản xuất phần cứng là rất kém.