لقد عرف الباحثون منذ سنوات حول مشكلات الأمان المتعلقة برمز الكمبيوتر التأسيسي المعروف باسم البرامج الثابتة. غالباً ما تكون مليئة بالثغرات الأمنية ، ومن الصعب تحديثها باستخدام التصحيحات ، وهي هدف متزايد لهجمات العالم الحقيقي . أصبحت الآن آلية حسنة النية لتحديث البرامج الثابتة لأجهزة كمبيوتر Dell عرضة للخطر نتيجة لأربعة أخطاء بدائية. و هذه الثغرات يمكن إستغلالها للحصول على حق الوصول الكامل إلى الأجهزة المستهدفة.
و النتائج الجديدة من الباحثين في شركة أمنية Eclypsium تؤثر 128 النماذج الحديثة من أجهزة كمبيوتر Dell ، بما في ذلك أجهزة الكمبيوتر المكتبية وأجهزة الكمبيوتر المحمولة والأجهزة اللوحية. يقدر الباحثون أن الثغرات الأمنية تكشف عن 30 مليون جهاز في المجموع ، وحتى الثغرات تعمل في نماذج تتضمن حماية Microsoft Secured-core للكمبيوتر الشخصي - وهو نظام مصمم خصيصاً لتقليل ضعف البرامج الثابتة. تطلق Dell تصحيحات للعيوب اليوم.
يقول جيسي مايكل ، المحلل الرئيسي في Eclypsium:
"هذه الثغرات الأمنية في وضع سهل للإستغلال. إنها في الأساس مثل السفر إلى الوراء - إنها تقريباً مثل التسعينيات مرة أخرى". "لقد حققت الصناعة كل هذا النضج لميزات الأمان في التعليمات البرمجية على مستوى نظام التشغيل والتطبيق ، لكنها لا تتبع أفضل الممارسات في ميزات أمان البرامج الثابتة الجديدة".
تظهر الثغرات الأمنية في ميزة Dell تسمى BIOSConnect ، والتي تتيح للمستخدمين تنزيل تحديثات البرامج الثابتة بسهولة ، وحتى تلقائياً. يعد BIOSConnect جزءاً من تحديث أوسع من Dell وميزة إدارة نظام التشغيل عن بُعد تسمى SupportAssist ، والتي لها نصيبها الخاص من الثغرات الأمنية التي قد تسبب مشاكل . تعد آليات التحديث أهدافاً قيّمة للمهاجمين ، لأنها يمكن أن تكون ملوثة لتوزيع البرامج الضارة.
لن تسمح الثغرات الأربع التي إكتشفها الباحثون في BIOSConnect للمتسللين ببث تحديثات البرامج الثابتة من Dell لجميع المستخدمين في وقت واحد. ومع ذلك ، يمكن إستغلالها لاستهداف الأجهزة الضحية بشكل فردي والحصول بسهولة على التحكم عن بعد في البرامج الثابتة. يمكن أن يمنح التنازل عن البرامج الثابتة للجهاز المهاجمين تحكماً كاملاً في الجهاز ، لأن البرامج الثابتة تنسق الأجهزة والبرامج ، وتعمل كمقدمة لنظام تشغيل الكمبيوتر وتطبيقاته.
يقول سكوت شيفرمان ، الباحث في Eclypsium ، "هذا هجوم يتيح للمهاجم الانتقال مباشرة إلى BIOS". "قبل أن يبدأ نظام التشغيل بالتمهيد ويدرك ما يحدث ، حدث الهجوم بالفعل. إنها مجموعة مراوغة وقوية ومرغوبة من نقاط الضعف للمهاجم الذي يريد المثابرة".
أحد التحذيرات المهمة:
هو أن المهاجمين لا يمكنهم إستغلال أخطاء BIOSConnect الأربعة بشكل مباشر من الإنترنت المفتوح ، يجب أن يكون لديهم موطئ قدم في الشبكة الداخلية لأجهزة الضحايا. لكن الباحثين يؤكدون أن سهولة الإستغلال ونقص المراقبة أو التسجيل على مستوى البرامج الثابتة من شأنه أن يجعل نقاط الضعف هذه جذابة للمتسللين. بمجرد أن يقوم المهاجم باختراق البرامج الثابتة ، فمن المحتمل أن تظل غير مكتشفة على المدى الطويل داخل شبكات الهدف.
كشف باحثو Eclypsium:
عن الثغرات الأمنية لشركة Dell في 3 مارس. وسيقدمون النتائج في مؤتمر Defcon الأمني في لاس فيجاس في بداية أوت.
وقالت الشركة في بيان: "قامت Dell بمعالجة العديد من نقاط الضعف الخاصة بميزات Dell BIOSConnect و HTTPS Boot المتوفرة مع بعض منصات Dell Client". "سيتم تحديث الميزات تلقائياً إذا قام العملاء بتشغيل التحديثات التلقائية من Dell . إذا لم يكن الأمر كذلك ، تقول الشركة إن على العملاء تثبيت التصحيحات يدوياً "في أقرب وقت ممكن".
يحذر باحثو Eclypsium:
من أن هذا تحديث واحد قد لا ترغب في تنزيله تلقائياً. نظراً لأن BIOSConnect نفسه هو الآلية الضعيفة ، فإن الطريقة الأكثر أماناً للحصول على التحديثات هي الإنتقال إلى موقع الويب الخاص ببرامج التشغيل والتنزيلات من Dell وتنزيل التحديثات وتثبيتها يدوياً من هناك. بالنسبة للمستخدم العادي ، على الرغم من ذلك ، فإن أفضل طريقة هي تحديث جهاز Dell الخاص بك بكل بساطة ولكن يمكنك ذلك وبأسرع وقت ممكن.
يقول مايكل من Eclypsium:
"نرى هذه الأخطاء البسيطة نسبياً مثل عيوب المنطق تظهر في الفضاء الجديد لأمان البرامج الثابتة". "أنت تثق في أن هذا المنزل قد تم بناؤه بطريقة آمنة ، لكنه في الواقع يجلس على أساس رملي".
بعد المرور بعدد من سيناريوهات الهجوم الكابوس من عدم أمان البرامج الثابتة ، يأخذ مايكل نفساً. يقول: "آسف". "يمكنني الصراخ حول هذا كثيراً".
