Un virus peut-il détruire le BIOS dun ordinateur moderne?

Les ordinateurs modernes nont pas de BIOS, ils ont a UEFI . La mise à jour du micrologiciel UEFI à partir du système dexploitation en cours dexécution est une procédure standard. Par conséquent, tout logiciel malveillant qui parvient à être exécuté sur le système dexploitation avec des privilèges suffisants peut tenter Cependant, la plupart des UEFI naccepteront pas une mise à jour qui nest pas signée numériquement par le fabricant. Cela signifie quil ne devrait pas être possible de lécraser avec du code arbitraire.

Cela suppose cependant que:

1. les fabricants de cartes mères parviennent à garder leurs clés privées secrètes
2. lUEFI na pas de vulnérabilités de sécurité involontaires qui permettent de lécraser avec du code arbitraire ou qui pourraient autrement être exploitées pour causer des dommages.

Et ces deux hypothèses ne tiennent pas nécessairement .

Concernant les clés divulguées: si une clé de signature UEFI devait être connue du grand public, vous pouvez supposer quil y aurait beaucoup de reportages médiatiques et de correctifs hystériques. Si vous suivez certains Actualités informatiques, vous verrez probablement beaucoup de titres alarmistes « Si vous avez une carte mère [de marque] METTEZ À JOUR VOTRE UEFI MAINTENANT !!! 1111oneone » . Mais une autre possibilité est de signer des clés secrètement divulguées aux acteurs étatiques. Donc, si votre travail peut être intéressant pour lespionnage industriel, alors cela pourrait aussi être une menace crédible pour vous.

Concernant les bugs: les UEFI gagnent de plus en plus de fonctionnalités qui offrent de plus en plus de possibilités de bogues cachés. Ils ne disposent pas non plus de la plupart des fonctionnalités de sécurité internes dont vous disposez après avoir démarré un « vrai » système dexploitation.

Commentaires

• Les commentaires ne sont pas étendus discussion; cette conversation a été déplacée vers le chat .

Oui, cest certainement possible.

De nos jours, avec la généralisation de lUEFI, cest encore plus préoccupant: lUEFI a une surface dattaque beaucoup plus grande que le BIOS traditionnel et une faille (potentielle) dans lUEFI pourrait être un levier pour accéder à la machine sans avoir tout type daccès physique ( comme lont démontré les habitants dEclypsium au chapeau noir lannée dernière ).

En pratique, un virus est un logiciel, donc peut faire tout ce que nimporte quel autre logiciel peut faire.

Donc, la manière simple réponse à cette question, et à toutes les autres de la classe « Les virus peuvent-ils faire X? » est de demander « Est-ce que le logiciel fait actuellement X? »

Ces questions pourraient inclure « un virus peut-il promener mon chien? » (pas sans robot qui promène les chiens); « Un virus peut-il me procurer une pizza? » (oui: ce nest malheureusement pas lobjectif principal de la plupart des auteurs de virus, cependant).

Les BIOS (UEFI) sont-ils actuellement mis à jour à laide de logiciels? La réponse est, oui, ils le sont. Le mien a été mis à jour hier soir, lorsque jai redémarré.

Et donc la réponse est oui.

Dans la même logique, les virus peuvent également causer (et ont historiquement causé) des dommages physiques à votre processeur, vos disques durs et vos imprimantes.

Les systèmes domotiques et les véhicules sans conducteur sont également des cibles possibles de dommages physiques, mais je ne connais aucun virus qui lait fait.

Commentaires

• Cela ne me dérangerait pas ‘ si mes informations personnelles étaient utilisées par des développeurs de logiciels malveillants pour me commander des pizzas gratuites et rien dautre. (+1 pour raisonnement utile)
• @Marc.2377, cela ne me dérangerait pas beaucoup si vos informations personnelles étaient utilisées pour commander moi une pizza gratuite… 🙂
• Les virus modernes auront un effet très difficile temps causant des dommages physiques. Tout au plus, ils pourraient épuiser un peu le matériel en exécutant le processeur à très chaud, ce qui raccourcit la durée de vie utile, mais il ‘ nest pas courant quil puisse causer des dommages . Dans le passé, ce n’était cependant pas le cas ‘. Voir  » le coup de la mort « .
• @forest Aren ‘ Les ventilateurs et les systèmes de refroidissement sont-ils contrôlés par le logiciel de nos jours? Je ‘ ne suis pas sûr, mais je parie que vous pourriez en quelque sorte encrasser le ventilateur du processeur ou du GPU du logiciel. La Russie a détruit les générateurs à distance en les activant et désactivant à une fréquence de résonance – je parie quil existe des astuces similaires qui pourraient tuer votre moniteur assez rapidement. Les disques durs à plateau peuvent certainement être jetés en les faisant tourner de haut en bas à plusieurs reprises, les disques SSD sont vulnérables aux cycles de lecture / écriture répétés. Je parie quun hacker motivé pourrait faire beaucoup.
• Je pense que nous ‘ avons besoin de définir la portée de  » causer des dommages physiques  » avant de décider si cela était possible / plausible. Si vous contraignez la définition à endommager littéralement lordinateur exécutant le code, ce ‘ est assez étroit et je pense que @forest a raison. Si vous incluez les dommages physiques dans un sens plus général, il ‘ est beaucoup plus facile d’imaginer des scénarios où un ordinateur infecté qui ‘ contrôle quelque chose sinon (centrale électrique, feux de signalisation, système de transport en commun, station de traitement des eaux, etc.) pourraient facilement causer des dommages physiques majeurs.

Oui, cest certainement possible.

Voici un exemple de mise à jour du système dexploitation malveillant signée frauduleusement avec la clé privée du fabricant: https://www.theregister.co.uk/2019/03/25/asus_software_update_utility_backdoor/

Selon Kaspersky Labs, environ un million dordinateurs portables Asus ont été infectés par Shadowhammer, avec une mise à jour qui semblait être correctement signée. On ne sait pas si cela a modifié le micrologiciel, mais cela aurait certainement pu le faire.

Votre question fait allusion à un sujet plus profond que sont les sonneries et les autorisations de code sur un système dexploitation. Sous MS DOS, le code peut faire tout ce quil veut. Si le code voulait écrire tous les 0x00 sur un disque dur, il le pourrait sil voulait envoyer une sortie étrange à un matériel, il pourrait aussi que rien narrête le code de lutilisateur. Sur un système dexploitation moderne, il existe un concept danneaux (imposé par le processeur). Le noyau fonctionne sur lanneau zéro et il peut faire ce quil veut. Le code de lutilisateur, par contre, ne peut pas. Il fonctionne sur quelque chose appelé ring 3 et il lui est donné sa propre petite mémoire et à lintérieur de cette mémoire, il peut faire ce quil veut mais il ne peut pas parler directement au matériel . Si le code de lutilisateur essaie de parler au matériel, le noyau tue immédiatement le programme. Cela signifie quil est hautement improbable quun virus ordinaire puisse tuer le matériel car il ne peut pas lui parler directement.

Si le noyau est piraté puis le jeu est pratiquement terminé. Le noyau peut faire tout ce quil veut et toute une série de mauvaises choses peuvent se produire comme loverclocking du CPU à un point où le matériel est instable, en effaçant les disques durs (en remplissant le avec des zéros par exemple), ou à peu près toute autre attaque plausible.

Commentaires

•  » Si le code de lutilisateur ‘ essaie de parler au matériel, le noyau tue immédiatement le programme  » – Vraiment? Pouvez-vous fournir une citation pour cela? Je pensais que linstruction protégée échouerait tout simplement et que ‘ appartient au programme de gérer cela raisonnablement ou de planter.
• @Marc .2377 Cest correct. Si lutilisateur ‘ tente dexécuter une instruction dans CPL3 qui nécessite les privilèges CPL0, il lancera #GP(0) (erreur de protection générale, ou GPF). Cela fait sauter le code dans le noyau pour voir quel gestionnaire de signal a été configuré pour cet événement. Par défaut, le noyau tuera le processus, bien quil ‘ soit techniquement possible pour le processus de configurer un gestionnaire de signal pour SIGSEGV, auquel cas le noyau reprend lexécution du processus à lemplacement du gestionnaire de signaux. Ce ‘ nest généralement pas une bonne idée car un processus est considéré comme étant dans un état …
• … non défini selon POSIX si lexécution reprend après quun SIGSEGV a été levé qui na ‘ t provenu de raise(). Il reprendra lexécution à linstruction échouée qui sera simplement exécutée à nouveau et provoquera le verrouillage du processus si le signal est ignoré.Donc, il peut être au programme de s’en occuper, si il met en place un gestionnaire de signaux pour SIGSEGV, mais il y a ‘ Il ny a pratiquement jamais de situation où cela serait fait (bien que je pense que lémulateur Dolphin détecte les erreurs de segmentation pour une sorte doptimisation hacky, donc il ne ‘ pas à émuler un comportement de pagination étrange et peut se fier à la MMU).
• Voir ceci pour un (rare) exemple de quand est jusquau programme. Ou lisez simplement PoC || GTFO 6: 3.

Potentiellement. Ce serait difficile à faire cependant, car il devrait plus que probablement se faire passer pour une mise à jour légitime du BIOS quelque part sur la ligne. La méthode pour ce faire changera en fonction de votre mobo, mais il y a de fortes chances que cela implique la fuite de clés privées ou matérielles ou dautres secrets.

Oui. Cest spécifique au matériel, mais voici un cas où un utilisateur casse accidentellement le micrologiciel de sa carte mère du niveau du système dexploitation https://github.com/systemd/systemd/issues/2402

Un bogue dans le micrologiciel dun ordinateur portable MSI signifiait que leffacement des variables efi rendait lordinateur portable inutilisable. Parce que ces variables étaient exposées au système dexploitation et montées sous forme de fichier, supprimant chaque fichier du niveau du système dexploitation a causé le problème qui pourrait être exploité par un virus pour cibler spécifiquement ces variables.

Il existe de nombreuses façons, et certaines d’entre eux sont dérangeants. Par exemple, Computrace semble être une porte dérobée permanente qui peut contourner non seulement le système d’exploitation, mais même le BIOS. Et plus généralement, le Intel Management Engine a un contrôle total sur votre ordinateur et peut vraisemblablement être exploité. Ceux-ci peuvent modifier votre BIOS, mais ce nest même pas nécessaire. Rien quen 2017, les chercheurs en sécurité ont pensé ut comment exploiter Intel IME via USB pour exécuter du code non signé .

Le fait est que même si vous avez un système dexploitation complètement sécurisé et vous ne téléchargez jamais de logiciel non sécurisé ou malveillant, il existe toujours une possibilité non négligeable que vous puissiez être affecté par un logiciel malveillant qui contourne tout cela en exploitant une vulnérabilité de sécurité dans votre matériel (même lorsque votre ordinateur est censé être éteint).

Quelque chose que je nai pas vu ici:

Si lattaquant obtient une autorisation suffisante pour installer même un fonctionnaire Micrologiciel UEFI, correctement signé par le fabricant du système, ils peuvent encore potentiellement laisser lordinateur dans un état non amorçable en mettant hors tension de force lordinateur à un moment opportun pendant le processus.

Le code de mise à jour dans les firmwares modernes essaie généralement de minimiser le temps passé par lordinateur dans un état où une panne de courant entraînera la corruption du micrologiciel, et s Certains firmwares ont même un mode de récupération qui sactivera dans un tel cas.

Cependant, beaucoup de ces systèmes ne sont pas complètement à lépreuve des balles. Bien quils offrent une bonne protection contre les pannes de courant aléatoires, une mise hors tension au bon moment pourrait tout de même lassommer si le micrologiciel ne dispose pas dune fonction de récupération automatique robuste.

De plus, il nest peut-être même pas nécessaire dattaquer le micrologiciel principal du système. Presque tous les appareils dun PC moderne ont un micrologiciel quelconque, et beaucoup dentre eux peuvent être mis à jour via un logiciel. Ces appareils sont également souvent moins sécurisés. Ils peuvent accepter entièrement des firmwares non signés, ou du moins être moins résistants contre les mises hors tension malveillantes pendant le processus de mise à jour.

Si vous détruisez le micrologiciel du contrôleur dalimentation, du contrôleur de stockage, du périphérique de stockage, du périphérique vidéo ou du contrôleur dentrée, le système peut devenir tout aussi inutilisable que si vous laviez a attaqué lUEFI.