Thunderbolt on ^{(Thunderbolt)}Intelin^(Intel) kehittämä laitemerkin käyttöliittymä . Se toimii liitäntänä tietokoneen ja ulkoisten laitteiden välillä. Vaikka useimmissa Windows - tietokoneissa on kaikenlaisia ​​portteja, monet yritykset käyttävät Thunderboltia^{(Thunderbolt)} yhteyden muodostamiseen erityyppisiin laitteisiin. Se tekee yhteyden muodostamisesta helppoa, mutta Eindhovenin teknillisen yliopiston ^{(Eindhoven University)}tutkimuksen^(Technology) mukaan Thunderboltin^{(Thunderbolt)} takana oleva tietoturva voidaan rikkoa käyttämällä Thunderspy -tekniikkaa . Tässä viestissä jaamme vinkkejä, joiden avulla voit suojata tietokoneesi Thunderspyltä^(Thunderspy) .

Mikä on Tunderpy^(Tunderspy) ? Kuinka se toimii?

Se on salahyökkäys, jonka avulla hyökkääjä voi käyttää suoran muistin käytön ( DMA ) toimintoja laitteiden vaarantamiseksi. Suurin ongelma on, että jälkeä ei ole jäljellä, koska se toimii ilman haittaohjelmia tai linkkisyöttiä. Se voi ohittaa parhaat tietoturvakäytännöt ja lukita tietokoneen. Joten miten se toimii? Hyökkääjä tarvitsee suoran pääsyn tietokoneeseen. Tutkimuksen mukaan se vie alle 5 minuuttia oikeilla työkaluilla.

Hyökkääjä kopioi lähdelaitteen Thunderbolt Controller Firmwaren^{(Thunderbolt Controller Firmware)} laitteelleen. Se käyttää sitten laiteohjelmiston korjausohjelmaa ( TCFP ) poistaakseen Thunderbolt - laiteohjelmistossa pakotetun suojaustilan käytöstä. Muokattu versio kopioidaan takaisin kohdetietokoneelle Bus Pirate -laitteella. Sitten Thunderbolt -pohjainen hyökkäyslaite yhdistetään hyökkäyksen kohteena olevaan laitteeseen. Sitten se lataa PCILeech-^(PCILeech) työkalun avulla ydinmoduulin, joka ohittaa Windowsin^(Windows) kirjautumisnäytön.

Joten vaikka tietokoneessa olisi suojausominaisuuksia, kuten Secure Boot , vahva BIOS ja käyttöjärjestelmän tilien salasanat sekä käytössä oleva täysi levyn salaus, se ohittaa kaiken.

VINKKI^(TIP) : Spycheck tarkistaa, onko tietokoneesi alttiina Thunderspy-hyökkäykselle .

Vinkkejä suojautumiseen Thunderspyltä

Microsoft suosittelee^(recommends) kolmea tapaa suojautua nykyaikaiselta uhalta. Joitakin näistä Windowsin sisäänrakennetuista ominaisuuksista voidaan hyödyntää, kun taas jotkin pitäisi ottaa käyttöön hyökkäysten lieventämiseksi.

• Suojatun ytimen PC-suojaukset
• Ytimen DMA-suojaus
• Hypervisor-suojattu koodin eheys ( HVCI )

Kaikki tämä on kuitenkin mahdollista suojatun ytimen PC:ssä. Et yksinkertaisesti voi käyttää tätä tavallisessa tietokoneessa, koska laitteistoa ei ole saatavilla, joka voi suojata sen hyökkäyksiltä. Paras tapa selvittää, tukeeko tietokoneesi sitä, on tarkistaa Windowsin suojaussovelluksen ^{(Windows Security)}Devic Security -osa .

1] Suojatun ytimen PC-suojaukset

Windows Security , Microsoftin sisäinen tietoturvaohjelmisto, tarjoaa Windows Defender System Guardin ja virtualisointiin perustuvan suojauksen. Tarvitset kuitenkin laitteen, joka käyttää suojattuja ydintietokoneita^{(Secured-core PCs)} . Se käyttää nykyaikaisen prosessorin^(CPU) juurtunutta laitteistosuojausta käynnistääkseen järjestelmän luotettavaan tilaan. Se auttaa vähentämään haittaohjelmien yrityksiä laiteohjelmistotasolla.

2] Ytimen DMA-suojaus

Windows 10 v1803 :ssa käyttöön otettu ytimen DMA^{(Kernel DMA)} -suojaus varmistaa, että ulkoiset oheislaitteet estävät suoran muistin käytön^{(Memory Access)} ( DMA ) hyökkäyksiä käyttämällä PCI - hotplug-laitteita, kuten Thunderboltia^{(Thunderbolt)} . Se tarkoittaa, että jos joku yrittää kopioida haitallista Thunderbolt -laiteohjelmistoa koneelle, se estetään Thunderbolt - portin kautta. Jos käyttäjällä on kuitenkin käyttäjätunnus ja salasana, hän voi ohittaa ne.

3] Kovettumissuojaus ^(Hardening)Hypervisor-suojatulla^{(Hypervisor-protected)} koodin eheydellä ( HVCI )

Hypervisor-suojatun koodin eheyden tai HVCI: n tulee olla käytössä Windows 10 :ssä . Se eristää koodin eheyden alijärjestelmän ja varmistaa, ettei Microsoft ole vahvistanut ja allekirjoittanut ydinkoodia^(Kernel) . Se varmistaa myös, että ytimen koodi ei voi olla sekä kirjoitettavaa että suoritettavaa, jotta varmentamaton koodi ei toimi.

Thunderspy käyttää PCILeech- työkalua ladatakseen ydinmoduulin, joka ohittaa Windowsin^(Windows) kirjautumisnäytön. HVCI :n käyttäminen varmistaa, että tämä estää, koska se ei salli koodin suorittamista.

Tietoturvan tulee aina olla etusijalla tietokoneita ostettaessa. Jos käsittelet tärkeitä tietoja, erityisesti liiketoiminnassa, on suositeltavaa ostaa Secured-core PC- laitteet. Tässä on tällaisten laitteiden^{(such devices)} virallinen sivu Microsoftin verkkosivustolla.

Tips to protect your computer against Thunderspy attack

Thunderbolt is the hardware brand interface developed by Intel. It acts as an interface between computer and external devices. While most of the Windows computers come with all sorts of ports, many companies use Thunderbolt to connect to various types of devices. It makes connecting easy, but according to research at the Eindhoven University of Technology, the security behind Thunderbolt can be breached using a technique — Thunderspy. In this post, we will share tips you can follow to protect your computer against Thunderspy.

What is Tunderspy? How does it work?

Its a stealth attack that allows an attacker to access direct memory access (DMA) functionality to compromise devices. The biggest problem is that there is no trace left as it works without deploying any mind of malware or link bait. It can bypass the best security practices and lock the computer.  So how does it work? The attacker needs direct access to the computer. According to the research, it takes less than5 minutes with the right tools.

The attacker copies the Thunderbolt Controller Firmware of the source device to his device. It then uses a firmware patcher (TCFP) to disable the security mode enforced in the Thunderbolt firmware. The modified version is copied back to the target computer using the Bus Pirate device. Then a Thunderbolt-based attack device is connected to the device being attacked. It then uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen.

So even if the computer has security features like Secure Boot, strong BIOS, and operating system account passwords, and enabled full disk encryption, enabled, it will still bypass everything.

TIP: Spycheck will check if your PC is vulnerable to the Thunderspy attack.

Tips to protect against Thunderspy

Microsoft recommends three ways to protect against the modern threat. Some of these features that are built into Windows can be leveraged while some should be enabled to mitigate the attacks.

• Secured-core PC protections
• Kernel DMA protection
• Hypervisor-protected code integrity (HVCI)

That said, all this is possible on a Secured-core PC. You simply cannot apply this on a regular PC because the hardware is not available that can secure it from the attack. The best way to find out if your PC supports it is by checking the Devic Security section of the Windows Security app.

1] Secured-core PC protections

Windows Security, Microsoft’s in-house security software, offers Windows Defender System Guard and virtualization-based security. However, you need a device that uses Secured-core PCs. It uses rooted hardware security in the modern CPU to launch the system into a trusted state. It helps mitigate attempts made by malware at the firmware level.

2] Kernel DMA protection

Introduced in Windows 10 v1803, Kernel DMA protection makes sure to block external peripherals from Direct Memory Access (DMA) attacks using PCI hotplug devices such as Thunderbolt. It means if someone tries to copy malicious Thunderbolt firmware to a machine, it will be blocked over the Thunderbolt port. However, if the user has the username and password,  he will be able to bypass it.

3] Hardening protection with Hypervisor-protected code integrity (HVCI)

Hypervisor-protected code integrity or HVCI should be enabled on Windows 10. It isolates the code integrity subsystem and verified that there Kernel code is not verified and signed by Microsoft. It also ensures that kernel code cannot be both writable and executable to make sure unverified code does not execute.

Thunderspy uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen. Using HVCI will make sure to prevent this as it will not allow it to execute the code.

Security should always be at the top when it comes to buying computers. If you deal with data that is important, especially with business, it is recommended to purchase Secured-core PC devices. Here is the official page of such devices on the Microsoft website.

Related posts

• Kuinka välttää tietojenkalasteluhuijaukset ja -hyökkäykset?

• Mikä on etäkäytön troijalainen? Ennaltaehkäisy, havaitseminen ja poistaminen

• Poista virus USB-muistitikulta komentokehotteen tai erätiedoston avulla

• Rogue Security Software tai Scareware: Kuinka tarkistaa, estää, poistaa?

• Mikä on Win32:BogEnt ja kuinka se poistetaan?

• Mahdollisesti ei-toivotut ohjelmat tai sovellukset; Vältä PUP/PUA:n asentamista

• Uuden selaimen kaivosuhan salaus, josta sinun on tiedettävä

• Kuinka poistaa haittaohjelmat tietokoneesta Windows 10:ssä

• Estä Drive-by-lataukset ja niihin liittyvät haittaohjelmahyökkäykset

• Miten Microsoft tunnistaa haittaohjelmat ja mahdollisesti ei-toivotut sovellukset

• Mikä on CandyOpen? Kuinka poistaa CandyOpen Windows 10:stä?

• Virusvaroituksen poistaminen Microsoftista Windows PC:ssä

• Etähallintatyökalut: riskit, uhat, ennaltaehkäisy

• DLL-kaappauksen haavoittuvuuden hyökkäykset, ehkäisy ja havaitseminen

• Selaimen kaappaus ja ilmaiset selaimen kaappaajan poistotyökalut

• Kuinka saat tietokoneviruksen, troijalaisen, työpaikan, vakoiluohjelman tai haittaohjelman?

• Mitä on kyberrikollisuus? Miten käsitellä sitä?

• Mikä on IDP.Generic ja kuinka se poistetaan turvallisesti Windowsista?

• Mikä on IDP.generic virus ja kuinka se poistetaan?

• Kuinka käyttää Malwarebytes Anti-Malwarea haittaohjelmien poistamiseen