Notebooks sind in 5 Minuten geknackt durch Thunderspy

[Astor27]

Forscher der Eindhoven University of Technology haben einen neuen Weg gefunden, um Sicherheitslücken in Thunderbolt-Anschlüssen auszunutzen und so vollständigen Zugriff auf PCs zu erhalten. Die Attacke funktioniert ausschließlich mit physischem Zugriff auf ein Gerät mit Thunderbolt 3, erlaubt dann aber das Auslesen sämtlicher Daten und die Installation beliebiger Software, indem der Angreifer den Sperrbildschirm von Windows beziehungsweise Linux umgeht. Eine „Thunderspy“-Attacke soll sich mit gängigen Hardware-Tools in unter 5 Minuten durchführen lassen: Der Angreifer muss die Unterseite eines Notebooks aufschrauben, um an den Thunderbolt-Controller zu gelangen. Über eine SOP8-Zange kann man sich mit dem Serial Peripheral Interface (SPI) des Firmware-Speicherchips verbinden, sich als vertrauenswürdiges Gerät ausgeben und eine eigene modifizierte Firmware aufspielen.
Mit dieser wiederum lassen sich die sogenannten Security Levels auf 0 setzen, sodass der Thunderbolt-Controller jedwedes Gerät als vertrauenswürdig erachtet und beliebige Speicherzugriffe über das PCI-Express-Interface zulässt (Direct Memory Access, DMA). Danach kann der Angreifer sein eigenes Notebook über Thunderbolt verbinden, Code ausführen und so die Passwortsperre umgehen.
Einfacher wird die Attacke, wenn der Angreifer Zugriff auf Thunderbolt-Peripherie erhält, die das Opfer mindestens einmal eingesetzt hat, zum Beispiel eine Dockingstation: Der Controller stuft diese mittels hinterlegtem Code als vertrauenswürdig ein, der sich simpel auf andere Thunderbolt-Geräte kopieren lässt.Quellen: https://www.heise.de/newsticker/meldung ... 18468.html
https://thunderspy.io/
https://www.heise.de/mac-and-i/meldung/ ... 21946.html