Il primo ransomware per CPU è in grado di aggirare ogni sistema di sicurezza

Una società specializzata nella cybersicurezza ha sfruttato una nuova vulnerabilità nelle CPU AMD Ryzen che consente di attaccare direttamente il processore. Attraverso un ransomware, i malintenzionati possono caricare microcodice non autorizzato modificando a piacimento il comportamento del chip.

In particolare, è stato Christian Beek, direttore senior dell'analisi delle minacce presso Rapid7, ad aver condotto una prova. Beek ha scritto un codice proof-of-concept che potrebbe consentire a un hacker di accedere alla CPU bypassando la crittografia hardware e bloccare il processore fino al pagamento di un riscatto.

"Avendo un background nell'ambito della sicurezza dei firmware, ho pensato 'wow, penso di poter scrivere un ransomware per CPU'" ha spiegato Beek in un'intervista con The Register. L'aspetto critico è che la vulnerabilità riguarda tutti processori basati sull'architettura Zen, da Zen 1 fino agli attuali Zen 5.

A favorire la prova di Beek, infatti, è stata una vulnerabilità rilevata dal Security Team di Google che aveva attribuito inizialmente la falla ai processori da Zen 1 a Zen 4, salvo poi scoprire che lo stesso problema affliggeva anche le nuove soluzioni basate su Zen 5.

"Un ransomware CPU, l'alterazione del microcodice, e quindi l'accesso diretto alla CPU o al firmware, consente di bypassare qualsiasi sistema di sicurezza tradizionale". Fortunatamente, il codice non sarà pubblicato e la soluzione alla vulnerabilità è piuttosto semplice. È sufficiente un aggiornamento del microcodice da parte di AMD per chiudere la falla che probabilmente arriverà a breve.

Attualmente, Beek sta lavorando a un nuovo proof-of-concept, un ransomware capace di accedere direttamente al UEFI. Questo significa che la crittografia verrebbe iniettata direttamente nella scheda madre. "Potremmo attivare la crittografia ancora prima che venga caricato il sistema operativo. Nessun antivirus sarebbe in grado di rilevarlo. Quindi, anche dopo la reinstallazione di Windows, la crittografia rimane attiva".