![\"Gigabyte\"](\"https:\/\/itconnect.lat\/portal\/wp-content\/uploads\/2023\/06\/Gigabyte-1.webp\" "\\"\\"")
<\/a>El an\u00e1lisis posterior ha revelado que este mismo c\u00f3digo est\u00e1 presente en cientos de modelos de PC Gigabyte. Actualmente, se est\u00e1 trabajando en colaboraci\u00f3n con Gigabyte para abordar esta implementaci\u00f3n segura de su capacidad de centro de aplicaciones.<\/p>\n
El an\u00e1lisis de seguimiento ha revelado que el firmware en los sistemas de Gigabyte descarga y ejecuta un ejecutable nativo de Windows durante el proceso de inicio del sistema.<\/p>\n
Posteriormente, este ejecutable descarga y ejecuta cargas \u00fatiles adicionales de manera segura.<\/p>\n
Estas acciones utilizan t\u00e9cnicas similares a las puertas traseras OEM, como la conocida puerta trasera Computrace (tambi\u00e9n conocida como LoJack DoubleAgent), que ha sido abusada por actores de amenazas.<\/p>\n
Adem\u00e1s, se ha descubierto que se implanta firmware como Sednit LoJax, MosaicRegressor y Vector-EDK. Es importante destacar que este mismo c\u00f3digo ha sido identificado en cientos de modelos de PC Gigabyte.<\/p>\n
Actualmente, se est\u00e1 trabajando en colaboraci\u00f3n con Gigabyte para abordar esta implementaci\u00f3n segura de su capacidad de centro de aplicaciones.<\/p>\n Se est\u00e1n tomando medidas para investigar y resolver estos comportamientos sospechosos de puertas traseras, con el objetivo de salvaguardar la seguridad y la integridad de los sistemas afectados.<\/p>\n Con el fin de proteger a las organizaciones de los actores malintencionados, tambi\u00e9n se ha decidido divulgar p\u00fablicamente esta informaci\u00f3n y las estrategias defensivas en un plazo m\u00e1s acelerado que el habitual en la divulgaci\u00f3n de vulnerabilidades.<\/p>\n Esta puerta trasera parece estar implementando una funcionalidad intencional y requerir\u00eda una actualizaci\u00f3n de firmware para eliminarla por completo de los sistemas afectados.<\/p>\n Si bien la investigaci\u00f3n en curso no ha confirmado la explotaci\u00f3n por parte de un actor de amenazas espec\u00edfico, una puerta trasera activa generalizada que es dif\u00edcil de eliminar representa un riesgo en la cadena de suministro para las organizaciones con sistemas Gigabyte.<\/p>\n A un alto nivel, los vectores de ataque relevantes incluyen:<\/p>\n Compromiso en el entorno local: La presencia de esta puerta trasera en los sistemas Gigabyte puede llevar a un compromiso en el entorno local de las organizaciones. Los actores malintencionados podr\u00edan aprovechar esta funcionalidad del firmware para acceder y controlar los sistemas de forma remota, lo que podr\u00eda resultar en el robo de datos sensibles, la interrupci\u00f3n de operaciones cr\u00edticas o el acceso no autorizado a recursos internos.<\/p>\n Persistencia de malware a trav\u00e9s de la funcionalidad del firmware: La persistencia del malware es otro riesgo significativo asociado con esta puerta trasera en los sistemas Gigabyte. Dado que el firmware descarga y ejecuta cargas adicionales de manera segura, existe la posibilidad de que el malware se mantenga activo y oculto en el sistema, incluso despu\u00e9s de realizar medidas de mitigaci\u00f3n iniciales. Esto podr\u00eda permitir a los atacantes mantener el acceso no autorizado y realizar actividades maliciosas de manera continua.<\/p>\n Es importante destacar que, despu\u00e9s de seguir un cronograma de divulgaci\u00f3n de vulnerabilidades m\u00e1s tradicional, se planea publicar detalles sobre c\u00f3mo funciona esta puerta trasera espec\u00edfica. Esto permitir\u00e1 una comprensi\u00f3n m\u00e1s profunda de los mecanismos utilizados y ayudar\u00e1 a los usuarios y administradores a implementar las mitigaciones sugeridas de manera efectiva.<\/p>\n Es fundamental que las organizaciones afectadas por esta vulnerabilidad sigan de cerca las actualizaciones y comunicaciones proporcionadas por Gigabyte y las autoridades de seguridad cibern\u00e9tica. Al aplicar las actualizaciones de firmware recomendadas y seguir las mejores pr\u00e1cticas de seguridad, se podr\u00e1n reducir los riesgos asociados con esta puerta trasera y proteger los sistemas de posibles compromisos.<\/p>\n Hay dos aspectos importantes de nuestra investigaci\u00f3n:<\/p>\n La informaci\u00f3n que proporcionas sugiere que Eclypsium, una empresa especializada en seguridad inform\u00e1tica, ha desarrollado una heur\u00edstica automatizada para detectar firmware en los sistemas de la marca Gigabyte que eliminan un binario ejecutable de Windows durante el proceso de inicio del sistema operativo. Este binario ejecutable es responsable de descargar y ejecutar cargas \u00fatiles adicionales de Internet de manera segura.<\/p>\n La detecci\u00f3n de esta actividad sospechosa es preocupante porque implica que se est\u00e1n encontrando numerosos casos similares en los sistemas de Gigabyte. Ante esta situaci\u00f3n, Eclypsium lleva a cabo an\u00e1lisis constantes a gran escala de la cadena de suministro de problemas de tecnolog\u00eda de la informaci\u00f3n. Esto significa que est\u00e1n investigando activamente y evaluando posibles riesgos y vulnerabilidades relacionadas con los productos y componentes de tecnolog\u00eda de la informaci\u00f3n de Gigabyte.<\/p>\n Estas acciones de Eclypsium indican una respuesta proactiva para identificar y abordar posibles amenazas en los sistemas de la marca Gigabyte. Es importante que los usuarios est\u00e9n al tanto de estos problemas de seguridad y sigan las recomendaciones y actualizaciones proporcionadas por Gigabyte y Eclypsium para proteger sus sistemas contra posibles ataques o explotaciones. Adem\u00e1s, se recomienda mantenerse informado sobre las \u00faltimas actualizaciones de seguridad y parches proporcionados por los fabricantes de hardware y software.<\/p>\n En un reciente estudio, se ha descubierto un intrigante hallazgo en el firmware UEFI de un sistema operativo, que podr\u00eda tener serias implicaciones para la seguridad de los usuarios. El archivo en cuesti\u00f3n, identificado como 8ccbee6f7858ac6b92ce23594c9e2563ebcef59414b5ac13ebebde0c715971b2.bin, es un binario nativo ejecutable de Windows que ha sido integrado en el binario de firmware UEFI.<\/p>\n El archivo ejecutable de Windows se encuentra en un volumen de firmware UEFI que est\u00e1 asociado con el GUID AEB1671D-019C-4B3B-BA-00-35-A2-E6-28-04-36. Lo que hace que este descubrimiento sea a\u00fan m\u00e1s inquietante es que este ejecutable es instalado en el disco como parte del proceso de arranque del sistema, una t\u00e9cnica que ha sido empleada en el pasado por implantes UEFI y puertas traseras.<\/p>\n Durante la fase del Entorno de ejecuci\u00f3n del controlador (DXE) del proceso de arranque del firmware UEFI, un m\u00f3dulo de firmware conocido como “WpbtDxe.efi” utiliza el mencionado GUID para cargar el archivo ejecutable de Windows directamente en la memoria, y lo instala en una tabla WPBT ACPI. Posteriormente, este archivo ejecutable es cargado y ejecutado por el subsistema del administrador de sesi\u00f3n de Windows (smss.exe) al iniciar el sistema operativo.<\/p>\n Es importante destacar que el m\u00f3dulo “WpbtDxe.efi” verifica si la funci\u00f3n “Descargar e instalar el centro de aplicaciones” ha sido habilitada en la configuraci\u00f3n de BIOS\/UEFI antes de proceder a instalar el ejecutable en la tabla WPBT ACPI. Aunque esta configuraci\u00f3n parece estar desactivada de forma predeterminada, se ha observado que en el sistema analizado estaba habilitada.<\/p>\n Esta configuraci\u00f3n en la BIOS\/UEFI y el proceso detallado plantean serias interrogantes acerca de la integridad y seguridad del sistema. La presencia de un implante UEFI o una puerta trasera podr\u00eda permitir la introducci\u00f3n de software malicioso o funcionalidad oculta en el firmware UEFI, lo que potencialmente pondr\u00eda en riesgo la seguridad y privacidad de los usuarios.<\/p>\n Si sospechas que tu sistema podr\u00eda estar comprometido, es imperativo tomar medidas inmediatas para investigar y abordar esta situaci\u00f3n. Se recomienda escanear minuciosamente el sistema en busca de malware, actualizar el firmware UEFI a la versi\u00f3n m\u00e1s reciente proporcionada por el fabricante y, considerar restablecer la configuraci\u00f3n de BIOS\/UEFI a los valores predeterminados de f\u00e1brica para deshabilitar cualquier funci\u00f3n sospechosa.<\/p>\n Es importante tener en cuenta que el an\u00e1lisis inicial no puede determinar con certeza si el archivo binario es malicioso o no. Ante cualquier inquietud relacionada con la seguridad, se aconseja buscar la asistencia de un profesional en seguridad inform\u00e1tica o contactar al soporte t\u00e9cnico del fabricante del sistema para obtener una evaluaci\u00f3n m\u00e1s precisa y orientaci\u00f3n adecuada.<\/p>\n Este descubrimiento subraya la importancia de mantener una constante vigilancia y actualizaci\u00f3n en cuanto a las amenazas de seguridad cibern\u00e9tica. Las implicaciones potenciales de un archivo ejecutable oculto en el firmware UEFI son motivo de preocupaci\u00f3n, y es fundamental que los usuarios tomen las medidas necesarias para salvaguardar sus sistemas y proteger su informaci\u00f3n sensible.<\/p>\n se ha descubierto una etapa adicional en el firmware UEFI comprometido, que involucra la descarga y ejecuci\u00f3n de ejecutables adicionales en el sistema. Este hallazgo pone de relieve los riesgos significativos asociados con los implantes de firmware UEFI y las amenazas a la seguridad que plantean para los usuarios.<\/p>\n El ejecutable de Windows eliminado, identificado como “GigabyteUpdateService.exe”, utiliza la API nativa de Windows para escribir el contenido de un ejecutable incrustado en el sistema de archivos en la ubicaci\u00f3n %SystemRoot%\\system32. A continuaci\u00f3n, se establecen entradas en el registro del sistema para ejecutar este archivo como un servicio de Windows. Este mecanismo es similar a los m\u00e9todos utilizados por otros implantes de firmware UEFI notorios, como LoJax, MosaicRegressor, MoonBounce y Vector-EDK, que han sido mencionados anteriormente en investigaciones de seguridad.<\/p>\n En esta segunda etapa, el ejecutable eliminado se presenta como una aplicaci\u00f3n .NET y tiene la capacidad de descargar y ejecutar cargas \u00fatiles adicionales desde una de las siguientes direcciones, dependiendo de la configuraci\u00f3n espec\u00edfica:<\/p>\n Es importante destacar que el uso de HTTP simple para actualizar el c\u00f3digo privilegiado (la primera opci\u00f3n mencionada) es altamente inseguro, ya que es susceptible a ataques de intercepci\u00f3n en el medio (MITM). Sin embargo, se observ\u00f3 que incluso cuando se utiliza la opci\u00f3n habilitada para HTTPS, la validaci\u00f3n del certificado del servidor remoto no se implementa adecuadamente, lo que tambi\u00e9n abre la posibilidad de MITM en ese caso.<\/p>\n Estos descubrimientos acent\u00faan la importancia cr\u00edtica de garantizar la seguridad del firmware UEFI y la protecci\u00f3n del sistema contra implantes y amenazas similares. Los usuarios deben tomar medidas proactivas para salvaguardar sus sistemas, incluyendo la implementaci\u00f3n de medidas de seguridad robustas, la actualizaci\u00f3n del firmware UEFI a la versi\u00f3n m\u00e1s reciente proporcionada por el fabricante y la adopci\u00f3n de mejores pr\u00e1cticas de seguridad inform\u00e1tica.<\/p>\n Ante la presencia de un posible implante de firmware UEFI o cualquier actividad sospechosa, se recomienda encarecidamente buscar la asistencia de profesionales en seguridad inform\u00e1tica, as\u00ed como contactar al soporte t\u00e9cnico del fabricante para recibir orientaci\u00f3n especializada en la mitigaci\u00f3n de riesgos y la protecci\u00f3n del sistema.<\/p>\n Este descubrimiento subraya la necesidad continua de una vigilancia constante y una respuesta eficiente a las amenazas de seguridad cibern\u00e9tica en evoluci\u00f3n. La colaboraci\u00f3n entre la industria, los investigadores de seguridad y los usuarios finales es esencial para enfrentar estos desaf\u00edos y garantizar la integridad y seguridad de los sistemas inform\u00e1ticos.<\/p>\n El firmware no implementa ninguna verificaci\u00f3n de firma digital criptogr\u00e1fica ni ninguna otra validaci\u00f3n sobre los ejecutables.<\/p>\n El ejecutable descartado y las herramientas Gigabyte descargadas normalmente tienen una firma criptogr\u00e1fica Gigabyte que cumple con los requisitos de firma de c\u00f3digo de Microsoft Windows.<\/p>\n Pero esto hace poco para compensar el uso malicioso, especialmente si se explota usando t\u00e9cnicas de Living-off-the- Land (como en la alerta reciente sobre los atacantes Volt Typhoon ).<\/p>\n Como resultado, cualquier actor de amenazas puede usar esto para infectar sistemas vulnerables de forma persistente, ya sea a trav\u00e9s de MITM o de una infraestructura comprometida.<\/p>\n Estos problemas exponen a las organizaciones a una amplia gama de riesgos y escenarios de ataque.<\/p>\n Abuso de una puerta trasera OEM por parte de los actores de amenazas: anteriormente, los actores de amenazas se han aprovechado del software de “puerta trasera OEM” leg\u00edtimo pero inseguro\/vulnerable integrado en el firmware de la PC.<\/p>\n En particular, el grupo Sednit (APT28, FancyBear) explot\u00f3 Computrace LoJack para hacerse pasar por una caracter\u00edstica leg\u00edtima antirrobo de computadoras port\u00e1tiles.<\/p>\n Compromiso de la cadena de suministro y la infraestructura de actualizaci\u00f3n del OEM:<\/strong> Gigabyte tiene documentaci\u00f3n en su sitio web para esta funci\u00f3n, por lo que puede ser leg\u00edtimo, pero no podemos confirmar lo que est\u00e1 sucediendo de Gigabyte.<\/p>\n En agosto de 2021, Gigabyte experiment\u00f3 una violaci\u00f3n de datos cr\u00edticos por parte del grupo RansomEXX y luego experiment\u00f3 otra violaci\u00f3n en octubre de 2021 por parte del grupo AvosLocker .<\/p>\n Persistencia mediante el uso de rootkits e implants UEFI :<\/strong> los rootkits e implants UEFI son algunas de las formas de malware m\u00e1s sigilosas y poderosas que existen.<\/p>\n Residen en el firmware de las placas base o dentro de las particiones del sistema EFI de los medios de almacenamiento, y se ejecutan antes que el sistema operativo, lo que les permite subvertir por completo el sistema operativo y los controles de seguridad que se ejecutan en capas superiores.<\/p>\n Adem\u00e1s, dado que la mayor parte del c\u00f3digo UEFI existe en la placa base en el lugar de las unidades de almacenamiento, las amenazas UEFI persistir\u00e1n f\u00e1cilmente incluso si se borran las unidades y se reinstala el sistema operativo.<\/p>\n La tasa de descubrimiento de nuevos rootkits UEFI se ha acelerado con dificultad en los \u00faltimos a\u00f1os, como lo demuestra el descubrimiento de LoJax (2018), MosaicRegressor (2020), FinSpy (2021) ESPecter (2021), MoonBounce(2022), CosmicStrand (2022) y BlackLotus (2023).<\/p>\n La mayor\u00eda de estos se utilizaron para permitir la persistencia de otro malware basado en el sistema operativo.<\/p>\n Estas im\u00e1genes de firmware de Gigabyte y el ejecutable de Windows persistentemente descartado permiten el mismo escenario de ataque.<\/p>\n A menudo, los implantes anteriores hac\u00edan que sus ejecutables nativos de Windows parecieran herramientas de actualizaci\u00f3n leg\u00edtimas. En el caso de MosaicRegressor, la carga \u00fatil de Windows se denomin\u00f3 \u201cIntelUpdater.exe\u201d<\/p>\n Ataques MITM a las funciones de actualizaci\u00f3n de firmware y software: adem\u00e1s, la naturaleza insegura del proceso de actualizaci\u00f3n abre la puerta a las t\u00e9cnicas MITM a trav\u00e9s de un enrutador comprometido, un dispositivo comprometido en el mismo segmento de red, envenenamiento de DNS u otra manejo de la red.<\/p>\n Tambi\u00e9n es importante tener en cuenta que la tercera opci\u00f3n de conexi\u00f3n, https:\/\/software-nas\/Swhttp\/LiveUpdate4, no es un nombre de dominio completo, sino un nombre de m\u00e1quina que presumiblemente estar\u00eda en la red local.<\/p>\n Esto significa que un atacante en una subred local podr\u00eda enga\u00f1ar al implantar para que se conecte a su sistema, sin necesidad de falsificaci\u00f3n de DNS. Incluso si se elimina el ejecutable de la puerta trasera, el firmware lo dejar\u00e1 simplemente caer la pr\u00f3xima vez que se inicie el sistema.<\/p>\n Este desaf\u00edo se activar\u00e1 antes al intentar eliminar Computrace LoJack y se relacionar\u00e1 con vulnerabilidades en Lenovo Service Engine en computadoras port\u00e1tiles y de escritorio .<\/p>\n Recomendamos tener precauci\u00f3n al usar sistemas Gigabyte o sistemas con placas base afectadas.<\/p>\n Las organizaciones tambi\u00e9n pueden tomar las siguientes medidas para minimizar el riesgo:<\/p>\n Escanee y supervise los sistemas similares y las actualizaciones de firmware para detectar los sistemas Gigabyte afectados y las herramientas a puertas traseras integradas en el firmware. Actualice los sistemas al \u00faltimo firmware y software validado para abordar problemas de seguridad como este.<\/p>\n Inspeccione y deshabilite la funci\u00f3n “Descarga e instalaci\u00f3n del centro de aplicaciones” en la configuraci\u00f3n de UEFI\/BIOS en los sistemas Gigabyte y establezca una contrase\u00f1a de BIOS para evitar cambios maliciosos. <\/p>\n Lea m\u00e1s sobre Ciberseguridad en;<\/p>\n Horabot 2023: la nueva campa\u00f1a que apunta a Am\u00e9rica Latina<\/a><\/p>\n Operaci\u00f3n Triangulaci\u00f3n: KUMA descubre una campa\u00f1a APT 2023<\/a><\/p>\n Netskope Intelligent SSE + Amazon Security: Amenazas en entornos h\u00edbridos 2023<\/a><\/p>\n Dark Pink vuelve con fuerza: 5 nuevas organizaciones en 3 pa\u00edses<\/a><\/p>\n Check Point Harmony detecta ataques BEC 3.0<\/a><\/p>\n NO TE PIERDAS IT CONNECT SECURE STREAM<\/p>\n<\/a>Compromiso en la cadena de suministro<\/h3>\n
Resultados Clave<\/h3>\n
Descubierto binario ejecutable de Windows oculto en firmware UEFI, plantea preocupaciones de seguridad<\/h3>\n
\n
<\/a>Riesgos e Impacto<\/h3>\n
\nRiesgo continuo debido a un comportamiento no deseado dentro del firmware oficial : las puertas traseras ocultas dentro de UEFI u otro firmware pueden ser dif\u00edciles de eliminar.<\/p>\nRecomendaciones del Editor<\/h3>\n
\nLos administradores tambi\u00e9n pueden bloquear las siguientes URL:
\nhttp:\/\/mb.download.gigabyte.com\/FileList\/Swhttp\/LiveUpdate4
\nhttps:\/\/mb.download.gigabyte.com\/FileList\/Swhttp\/LiveUpdate4
\nhttps:\/\/software-nas\/Swhttp\/LiveUpdate4<\/p>\nPor Marcelo Lozano – General Publisher IT CONNECT LATAM<\/h5>\n