Уязвимость позволяет обойти UEFI Secure Boot, затронуты миллионы устройств

Уязвимость позволяет обойти UEFI Secure Boot, затронуты миллионы устройств

Уязвимость позволяет обойти UEFI Secure Boot, затронуты миллионы устройств

Исследователи из BINARLY обнаружили новую серьёзную уязвимость в механизме UEFI Secure Boot — той самой системе, которая должна защищать компьютер ещё до загрузки ОС. Уязвимость получила идентификатор CVE-2025-3052 и высокий балл 8.2 по шкале CVSS.

Уязвимый компонент — это файл Dtbios-efi64-71.22.efi, который подписан Microsoft UEFI CA 2011. А значит, считается доверенным практически на всех современных компьютерах, будь то Windows или Linux.

BINARLY выяснили, что приложение неправильно работает с переменной NVRAM под названием IhisiParamBuffer. Это буфер, откуда модуль слепо выполняет множественные записи в память. А значит — злоумышленник может заранее положить туда нужный адрес, и модуль в момент загрузки выполнит запись по произвольному адресу в памяти.

В демонстрации PoC исследователи показали, как злоумышленник с правами администратора может подменить критический указатель на структуру gSecurity2, которая и отвечает за включённость Secure Boot. Если «обнулить» этот указатель в нужный момент — можно полностью отключить Secure Boot, а дальше — загрузить любой неподписанный модуль. Хоть буткит, хоть начальный вредонос.

Почему это опасно?

Самое тревожное — уязвимый бинарник подписан Microsoft и загружен в VirusTotal, а значит, уже гуляет по интернету. Более того, сертификат Microsoft UEFI CA 2011 доверяется подавляющим большинством систем, где активирован Secure Boot. Это делает атаку масштабируемой — потенциально затронуто миллионы устройств.

Однако многое зависит от конкретной реализации BIOS. Например, в прошивках от Insyde доступ к переменным NVRAM может быть ограничен — но даже это не спасает, если в системе найдётся другая брешь.

Как выразились в BINARLY:

«Эта уязвимость затрагивает все устройства, где выполняется исходное условие цикла и где доверяют сертификату Microsoft UEFI CA 2011».

BINARLY советует следующее:

  • Добавить хеш уязвимого модуля в UEFI-список отзыва (dbx), чтобы заблокировать его загрузку.
  • Удалить уязвимый код из приложения — чтобы прекратить любые небезопасные записи из переменных NVRAM.
  • Проверить защиту NVRAM в прошивке — особенно для переменных, влияющих на загрузку.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

По России массово распространяется мошенничество с утильсбором

Злоумышленники начали активно использовать тему повышения утилизационного сбора на автомобили. Для обмана они создают фиктивные посреднические компании, предлагающие машины с заниженным утильсбором и обещающие ускоренное оформление сделки.

О распространении этой схемы сообщило РИА Новости со ссылкой на платформу «Мошеловка». Реклама подобных «компаний» распространяется в телеграм-каналах и социальных сетях.

Взаимодействие с ними ведётся через видеосвязь. При этом активно применяются дипфейки: и «сотрудники», и демонстрируемые автомобили сгенерированы нейросетями. Машины предлагаются по привлекательным ценам, а продавцы обещают быстрое оформление покупки.

Однако перед заключением сделки злоумышленники требуют значительную частичную предоплату. Никаких официальных документов при этом не оформляется. После получения денег связь с «продавцами» обрывается.

Аналогичные схемы мошенники используют и в других случаях, играя на ажиотажных темах. Так, при выходе новых устройств Apple чаще всего требуют оплату доставки, а при продаже «горящих туров» схема с предоплатой применяется особенно широко.

«Мошеловка» напоминает: тревожным сигналом является отказ от личной встречи и требование предоплаты без оформления документов. Перед тем как выходить на связь с подобной компанией, рекомендуется проверить её данные через официальные ресурсы ФНС. Если организация создана недавно, велика вероятность, что она фиктивная.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru