Un argentino descubrió un error en todos los procesadores de AMD fabricados desde menos de 2006 hasta la actualidad, que brindan más privilegios a un hacker para controlar equipos activos. Enrique Nissim, ingeniero de sistemas de la UTN, junto con su colega polaco Krzysztof Okupski, presentaron los resultados de la investigación en DEF CON, la conferencia de hackers más grande del mundo, para ayudarlo. Clarín.

Este es un problema en un sector específico del procesador (CPU)el componente central de cualquier computadora, computadora portátil, escritorio, teléfono o sistemas «integrados» que vienen en otros dispositivos como automóviles.

Desde que el usuario levanta su dispositivo, la CPU ejecuta una serie de instrucciones en un orden establecido: Nissim, que trabaja para la empresa de seguridad IOActive, encontró este error en la documentación técnica, escribió Okupski en método de operación (explotar) y reportarlo a AMD. Yo lo llamo «FregaderoCerrar» y esto afecta a todos los modelos desde 2006 hasta la fecha.

Las vulnerabilidades monetarias son comunes entre las empresas de tecnología y no es común que los investigadores externos encuentren estos problemas. Puede surgir un problema cuando te encuentras con un error caer en manos de hackers: Por el momento, Nissim no ha publicado el paso a paso de la caída.

«Este número es un juego de palabras porque en 2015 un investigador llamado Christopher Domas presentó una vulnerabilidad en los procesadores Intel a Black Hat y DEF CON y la tituló ‘The Memory Sinkhole’. Es un ataque muy peculiar, incluso con condiciones diferentes como no sabía qué nom ponerle, usó la primera parte de. «Sumidero» y, como el error está en una función del procesador que llama a TClose, combine la palabra «Close» con «Sink», explicado en el diálogo con este medio.

«Una vez que lo conocí, pasé un mes hasta que pude demostrarlo y recibí un informe, en octubre del año pasado. AMD lo hizo y discutimos sobre el impacto que tiene crear algo que uno pueda explotar solo con presencia física, así es». , con el ataque frontal al equipo, pero no: con más investigación, es probable que no haya que salir del equipo para operarlo”, agregó.

Por la gran cantidad de dispositivos involucrados, AMD ha emitido un comunicado oficial reconozca el problema y asegúrese de que haya una solución para arreglar el camino.

Aunque Intel domina el mercado de procesadores, AMD ha ganado mucho terreno durante la última década y es irrelevante para los usuarios de estos productos.

La vulnerabilidad corresponde a lo que se conoce como “nivel inferior” En informática: cuando Windows, Android o iOS deben ser los sistemas operativos con los que habitualmente interactúa el usuario, antes de que este último se ejecuten una serie de procesos. Se dice que el usuario debe abrir el botón ON para tomar el equipo y poder utilizarlo interviniendo en la BIOS, que es un «firmware» (software de bajo nivel) que resulta ser la base para que funcione el sistema operativo (el “botín”).

Nissim explicó el enfoque a seguir ante la vulnerabilidad Clarín: “La BIOS de la máquina es la parte que se utiliza para cargar el hardware, la memoria, enumerar todos los dispositivos y, una vez que tienes un mapa general de todo lo que existe en el hardware, puedes controlar el cargador. ‘ del sistema operativo para cargar Windows, Linux, ahí».

«Hoy en día, uno de los pasos que el firmware debe completar antes de pasar el control al ‘cargador’ es preparar un área de memoria reservada para escribir un código especial el cual se ejecutará durante el tiempo que tarde la computadora. Este es el modo de gestión del sistema (SMM) y es una extensión del firmware en tiempo de ejecución”, añadió.

«Si divides el proceso de ejecutar una computadora en su parte posterior, tienes la parte de inicio (inicial) y el tiempo de ejecución, razón por la cual el usuario ejecuta sus aplicaciones (Office, un navegador, qué diablos). Una vez que se inicia el sistema, el BIOS ya no es correcto. Sin embargo, hay un código adicional en la memoria, que está protegido y corresponde a los privilegios más altos que el sistema operativo: este es el SMM», continúa.

El modo de gestión del sistema también constituye un modo de funcionamiento de los equipos con altos niveles de privilegio. Esto significa que, en ese momento, un usuario puede ejecutar instrucciones de bajo nivel, un «anillo», como es técnicamente, muy cerca del procesador.

«SSM es un modo de ejecución más importante en la arquitectura x86 (el conjunto de instrucciones del equipo) y no ocurre porque es un código especializado para el firmware que utiliza el proveedor de la computadora portátil o PC. Bueno: con esta vulnerabilidad, se. Puedes ejecutar código arbitrario de esta manera.», concluyó Nissim.

Qué bueno poder explotar esta vulnerabilidad porque tienes acceso a tu equipo – en medio de otra vulnerabilidad o malware – lo que es interesante descubrir es que te puede permitir atacar algo muy valioso desde tu punto de vista: persistir en un equipo.

«El código correspondiente a SMM es completamente invisible en un antivirus o motor anti-trampas. Incluso si alguien quiere arreglar un truco en un videojuego, puede usarlo. Pero en muchos casos, un agente que quiere persistir en una máquina y para esto se requiere el nivel más alto de acceso que es solo para la expulsión del centro (el núcleo del sistema operativo)” agrega.

“En los sistemas modernos, con todas las protecciones posibles, ingrese al modo de administración del sistema eligiendo instalar un bootkit de la misma manera. Si el sistema está medianamente desconfigurado, se puede instalar un implante en el firmware, en la flash: en este caso, no lo tomarás todo, ni si quieres desinstalar el sistema operativo, si necesitas tirar del procesador”, explicó. Un bootkit es un programa malicioso que permite infectar el arranque de un ordenador.

Nissim, natural de Resistencia, Chaco, estudió Ingeniería en Sistemas en la utn y vive en Orlando, Florida, a partir de 2023. Trabajamos en una empresa de soluciones informáticas, luego de pasar a Core Security”, empresa fundamental de la ciberseguridad en Argentina. Trabajé en Intel y ahora en IOActive, una empresa de ciberseguridad con sede en Seattle.

El investigador, hace 34 años, descubrió la vulnerabilidad durante una investigación para IOActive. Una vez que se produjo la detección, trabajó con su estudiante universitario Krzysztof Okupski, un hombre que vivió en España hace seis años para desarrollar el exploit. Cuando detecten estos errores, los investigadores deberán ponerse en contacto con las empresas. para notificar la vulnerabilidad.

«Hicimos una investigación basada en las plataformas de AMD, en principio nos esforzamos en señalar que no tuvimos mucha investigación, porque implementamos todo en Intel. Tenemos muchas herramientas públicas que detectan malas configuraciones del sistema, pero para Intel, así que decidimos elevar el estado del arte en AMD», explicó Nissim, quien vive en Estados Unidos

«Si se quiere, el error apareció en documentos técnicos de 2006», añadió. Una vulnerabilidad temporal y específica no es muy común, pero el descubrimiento es particularmente interesante para los derivados que se pueden encontrar una vez que son públicos. «Se estima que hay millones de chips afectados«, llegó.

AMD también tiene una buena cuota de mercado, históricamente dominada por Inteldurante la última década de su producto estrella: Ryzen, que se caracteriza por estar muy ocupado con los gamers por su relación de calidad y sus cinco generaciones. El error Sinkhole no sólo afecta a estos procesadores, sino también a los usuarios de los servidores (EPYC) Y trituradora de alambreorientado a la investigación y el aprendizaje automático.

«No, si esto fue explorado por los atacantes o no, estamos escribiendo un exploit funcional con mi colega Krzysztof que usted te permite ejecutar lo que quieras en este SSM. “Todavía no nos liberan porque estamos con AMD y vamos a esperar una semana más”, añadió.

tienes el error CVE (el sistema utilizado para registrar vulnerabilidades, Common Vulnerabilities and Exposures) y AMD se pronuncia, en las declaraciones del entorno especializado Wired: “Lanzamos opciones de mitigación para productos AMD EPYC y AMD Ryzen, con mitigaciones mediante sistemas integrados cercanos.

Nissim insiste, por su parte, en que el valor de esta vulnerabilidad para un atacante es poder persistir en los equipos, algo muy buscado por los hackers patrocinados por Estados y empresas avanzadas, con la técnica de potencia de fuego, conocida como APT (Advanced Persistent Amenazas).

El tanque DEF CON generó aplausos de los asistentes, mientras los investigadores realizaban una demostración técnica para demostrar la hazaña en acción. La lista de chips afectados se puede ver en la página oficial de AMD.

La conferencia DEF CON estará disponible para ver en línea pronto.