Securitybedrijf waarschuwt voor backdoor in Gigabyte-moederborden

[Captain Kirk]

In een groot aantal moederborden van fabrikant Gigabyte is een backdoor aanwezig waardoor het mogelijk is om systemen met malware te infecteren, zo claimt securitybedrijf Eclypsium. Firmware-updates van Gigabyte om het probleem te verhelpen zijn nog niet beschikbaar. Het probleem is in meer dan 250 modellen moederborden van Gigabyte aanwezig, aldus de onderzoekers.

De UEFI-firmware die op de moederborden draait bevat een Windows executable die bij het opstarten van het systeem naar de schijf van de computer wordt geschreven. Een techniek die vaak door UEFI-malware en backdoors wordt toegepast, aldus Eclypsium. Het gaat om een .NET-applicatie die vervolgens aanvullende code downloadt. Afhankelijk van de configuratie gebeurt dat via het onversleutelde HTTP.

Een aanvaller kan via een man-in-the-middle (MITM) aanval zo andere bestanden naar de gebruiker sturen. Een dergelijke aanval is ook bij HTTPS mogelijk, aangezien de controle van het servercertificaat niet goed is geïmplementeerd, waardoor ook hier een MITM-aanval mogelijk is. Verder blijkt de firmware de digitale handtekening van bestanden niet te controleren of andere validatie toe te passen.

"Als je zo'n moederbord hebt moet je je zorgen maken over het feit dat er zonder je betrokkenheid iets op onveilige wijze van het internet wordt gedownload", zegt John Loucaides van Eclypsium tegenover Wired. "De meeste mensen vinden het niet fijn als ze worden gepasseerd en hun machine overgenomen." Eclypsium stelt dat het Gigabyte heeft gewaarschuwd en de moederbordfabrikant aan een oplossing werkt.

In de tussentijd krijgen gebruikers het advies om de “APP Center Download & Install" feature in de UEFI/BIOS uit te schakelen, een BIOS-wachtwoord in te stellen zodat de feature niet is in te schakelen, verschillende domeinen te blokkeren en te controleren of er nieuwe firmware-updates beschikbaar zijn.

 

bron: https://www.security.nl