Intel Boot Guard compromesso dopo l'attacco a MSI? La società indaga

L'attacco a MSI da parte della banda ransomware "Money Message" potrebbe avere serie ripercussioni. Sembra infatti che nel bottino vi siano anche le chiavi private usate da Intel Boot Guard, tecnologia di sicurezza che salvaguarda l'avvio dei PC e la cui compromissione potrebbe permettere a malintenzionati di installare firmware dannosi sui dispositivi della casa taiwanese e forse non solo.

La gang sarebbe riuscita a sottrarre a MSI ben 1,5 terabyte di dati tra cui firmware, codice sorgente e database, avanzando una richiesta di riscatto di 4 milioni di dollari. Il mancato pagamento ha indotto i malintenzionati a iniziare la pubblicazione dei dati ottenuti, tra cui il codice sorgente del firmware delle motherboard di MSI.

Venerdì scorso, Alex Matrosov, CEO di Binarly, ha scoperto che il codice sorgente trapelato conteneva anche l'immagine che firma le chiavi private per 57 prodotti MSI e le chiavi private Intel Boot Guard per 116 prodotti MSI, rendendo inefficace la funzionalità di sicurezza su dispositivi con CPU Core di 11a, 12a e 13a generazione. "Abbiamo prove che l'intero ecosistema Intel è influenzato da questa violazione dei dati MSI. È una minaccia diretta per i clienti MSI e sfortunatamente non solo per loro", ha detto Matrosov.

"Le chiavi di firma per l'immagine del firmware consentono a un malintenzionato di creare aggiornamenti firmware dannosi e possono essere forniti tramite un normale processo di aggiornamento del BIOS con strumenti di aggiornamento MSI. Il leak delle chiavi Intel Boot Guard ha un impatto sull'intero ecosistema (non solo MSI) e rende inutile questa funzionalità di sicurezza".

Intel Boot Guard impedisce il caricamento di firmware maligni, anche noti come UEFI bootkit, che possono essere impianti nel PC e caricati prima del sistema operativo, sfuggendo ai controlli dello stesso - che viene caricato dopo - e rendendo inefficaci i tentativi di cancellazione (il cosiddetto formattone).

Boot Guard verifica se l'immagine di un firmware è firmata con chiavi private legittime: se il firmware passa l'esame, il processo prosegue. Il problema, in questo caso, è che la pubblicazione delle chiavi consente di far passare come legittimo codice che non lo è. Inoltre, poiché il processo di verifica avviene comparando chiavi che sono integrate nell'hardware di Intel, non è chiaro se la società possa intervenire per revocare le chiavi esistenti e istituirne di nuove.

Interrogata in merito, Intel ha fatto sapere di essere a conoscenza dei report e di stare indagando attivamente. "Alcuni ricercatori hanno affermato che le chiavi di firma private sono incluse nei dati, comprese le chiavi di firma OEM di MSI per Intel Boot Guard. Va notato che le chiavi Intel Boot Guard OEM sono generate dal produttore del sistema e non sono chiavi di firma Intel".

L'ultima frase sembrerebbe, ma il condizionale è d'obbligo, scongiurare un problema di proporzioni drammatiche (non che quanto successo non lo sia...). La situazione sembra in evoluzione, come illustrano diversi post sull'account Twitter di Matrosov, quindi è possibile che emergano altre informazioni a stretto giro.