ハンブルクで開催されたChaos Computer Congressで講演したセキュリティ研究者が、Thunderboltデバイスを用いてオプションROMに攻撃コードを仕込み、Intel Macのファームウェアを書き換えるハッキング手法を実演しました。Trammel Hudson氏が発表した「Thunderstrike」と呼ばれるこの概念実証は、Apple Extensible Firmware Interface（EFI）に感染させるもので、同氏によると、このハッキングは検出もOS Xの再インストールでも削除も不可能だという。

ブートROMはオペレーティングシステムから独立しているため、OS Xを再インストールしても削除されません。また、ディスクに保存されているものにも依存しないため、ハードドライブを交換しても影響はありません。標準ファームウェアを復元するには、ハードウェアのシステム内プログラミングデバイスを使用するしかありません。

Apple はすでに、最新の Mac mini と Retina ディスプレイ搭載の iMac に意図された修正を実装しており、ハドソン氏によれば、この修正は他の Mac でもすぐに利用できるようになるとのことですが、現段階では部分的な保護しか提供されていないようです… 

一度インストールされたファームウェアはAppleの公開RSA鍵を置き換えるため、削除できません。つまり、攻撃者の秘密鍵で署名されない限り、ファームウェアのアップデートは拒否されます。ハッキングされたファームウェアは、再起動時に侵入されたMacに接続された他のThunderboltデバイスのオプションROMに自身をコピーすることで複製することもできます。これらのデバイスは引き続き機能するため、改変されたことを知ることは不可能です。

幸いなことに、この攻撃方法ではMacへの物理的なアクセスが必要であり、ハドソン氏はMacファームウェアブートキットが実際に存在するという報告は受けていない。しかし、確かなことは言えないとハドソン氏は指摘している。

NSAも同様の攻撃手法を用いていたと以前から示唆されており、コンピューターが購入者に届く前に出荷を物理的に傍受し、ブートキットをインストールするという手法が用いられていた。ハッキングされたファームウェアは、一度外部に流出すると、ホテルのビジネスセンターにあるThunderboltモニターのように一見無害なものによって簡単に拡散される可能性がある。

ハドソン氏のプレゼンテーションのスライドはFlickrで公開されており、ビデオも公開されています。ハドソン氏は、EFIの脆弱性についてAppleと連絡を取り合っており、自身のスライドにはハックを検証するのに十分な「疑似コード」が含まれているものの、他者が容易に悪用できるほどにはなっていなかったと述べています。

このプレゼンテーションは、昨年、指紋を盗用してTouch IDを欺いたハッカーが、指の写真だけを使って攻撃を繰り返すことが可能であるかもしれないと示唆した以前のプレゼンテーションに続くものだ。

havebin.com を Google ニュース フィードに追加します。 

FTC: 収益を生み出す自動アフィリエイトリンクを使用しています。詳細はこちら。