Mac电脑0day漏洞使其可轻易感染rootkit
宁静研究人员发明了一个存在于很多Mac固件中的0day漏洞，攻击者利用该漏洞可以很容易地安置EFI rootkit。
漏洞原理
近期，网络宁静专家Pedro Vila?a在苹果Mac系统中发明了一个低级0day漏洞，特权用户利用该漏洞可以方便地安置EFI rootkit。
Vila?a表明说，这次的攻击与宁静专家Trammell Hudson之前演示的攻击没有任何联系关系，其时Hudson发明的是一种名为“Thunderstrike”的技术，利用该技术可以通过Thunderbolt端口使苹果的Mac电脑熏染EFI bootkit（FreeBuf相关报道）。而这次由Vila?a发明的0day漏洞则完全差别，当Mac电脑进入睡眠模式时，它利用了flash保护未锁定这一特点。
该专家在一篇博文中写道：
“不得不说，苹果的S3挂起-规复实现方式是如此的蹩脚，在一个挂起-规复周期之后，他们居然未锁定flash保护。这意味着，除了一个挂起-规复周期、内核扩展、flashrom和root权限，不用其他任何本领，你就可以从用户态和rootkit EFI覆写BIOS的内容。”
专家还表明说，通过该漏洞，使用远程向量安置一个EFI rootkit相称容易。这是有可能的，由于当Mac电脑进入30秒的睡眠形态时，flash锁就会被移除。
“在无需物理接触目标呆板的情况下，可以通过Safari或其他远程向量利用该漏洞安置EFI rootkit，前提是当前会话被挂起。你也可以通过远程方式逼迫挂起发生并触发它。另外，为了利用该漏洞，物理接触是必需的吗？答案是否定的，利用该漏洞并不需要物理接触目标电脑，你可以利用指令‘sudo pmset sleepnow’触发睡眠，接着你只需要等待电脑从睡眠形态规复，然后继续利用该漏洞。”
在这段时间，攻击者可以更新闪存存储器（flash ROM）内存中的内容，包括EFI二进制文件、rom存储器。
bios-bootkit.jpg
受影响产品
MacBook Pro Retina、MacBook Pro和MacBook Air等运转最新EFI固件更新的电脑型号都受此0day漏洞影响。然而，需要注意的是，并非所有上面所提系统都受此漏洞影响，Vila?a推测苹果公司应该曾经意识到了这个0day漏洞，并曾经对一些模块打了必要的补丁。
此外，该研究者还提供了有关测试该漏洞的引导意见，即通过比较用户呆板的固件和他整理的图像存档。
“下载DarwinDumper并加载DirectHW.kext内核扩展。然后就可以通过指令‘flashrom -r biosdump -V -p internal’使用flashrom来转储BIOS并显示存放器内容。此外，你也可以本身编译DirectHW.kext和flashrom。DarwinDumper可以间接使用，并且它的kext模块似乎是正当的（由于它在苹果的排除清单中，所以至少苹果信任它）。”
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
