Hacker Có Thể Đưa Phần Mềm Độc Hại Không Nhìn Thấy Vào Máy Chủ Đám Mây 'Bare Metal'

Các chuyên gia về an ninh đã cảnh báo từ lâu rằng nếu máy tính rơi vào tay người lạ, thì nó không nên được tin tưởng nữa. Bây giờ các nhà nghiên cứu của một công ty đã chứng minh cách, trong một số trường hợp, nguyên tắc đó cũng áp dụng mạnh mẽ đối với một loại máy chưa từng chạm vào tay bạn từ đầu: máy chủ đám mây.

Vào Thứ Ba, các nhà nghiên cứu tại công ty an ninh Eclypsium công bố kết quả của một thử nghiệm trong đó họ cho thấy họ có thể, đối với một loại máy chủ đám mây cụ thể, thực hiện một thủ thuật gian xảo: họ có thể thuê một máy chủ từ một nhà cung cấp dịch vụ đám mây - họ tập trung vào IBM trong quá trình thử nghiệm của họ - và thay đổi firmware của nó, che giấu những thay đổi trong mã code mà vẫn tồn tại ngay cả sau khi họ ngừng thuê nó và một khách hàng khác thuê lại máy chủ cùng loại. Và trong khi họ chỉ thay đổi firmware của máy chủ IBM một cách vô hại trong bài thử nghiệm của họ, họ cảnh báo rằng cùng kỹ thuật có thể được sử dụng để cài đặt phần mềm độc hại trong mã code ẩn của máy chủ mà vẫn tồn tại mà không bị phát hiện, ngay cả sau khi người khác tiếp quản máy chủ, cho phép hacker gián điệp trên máy chủ, thay đổi dữ liệu của nó hoặc phá hủy nó theo ý muốn.

"Khi tổ chức sử dụng cơ sở hạ tầng đám mây công cộng, họ bản chất đang mượn thiết bị, giống như việc mua máy cũ trên Ebay, và nó có thể bị nhiễm trước khi họ bắt đầu sử dụng nó," nói Yuriy Bulygin, người sáng lập Eclypsium và người đứng đầu trước đội nghiên cứu đe dọa tiên tiến của Intel. "Một cách tương tự, thiết bị đó có thể bị nhiễm trùng nếu nhà cung cấp dịch vụ đám mây không làm sạch toàn bộ thiết bị của mình ở cấp độ sâu nhất, bao gồm firmware."

Kiểm Soát Đám Mây

Vấn đề vệ sinh đám mây, các nhà nghiên cứu của Eclypsium đã làm rõ, không ảnh hưởng đến tất cả các máy chủ đám mây. Một thiết lập tính toán đám mây điển hình tạo ra máy tính của mỗi khách hàng như một loại máy ảo, một loại hồ cá kín bên trong máy tính được cô lập khỏi phần cứng thực tế của máy chủ và các máy ảo của khách hàng khác trên cùng một hộp. Nhưng từ Amazon đến Oracle đến Rackspace, tất cả đều cung cấp máy chủ cơ bản, trong đó khách hàng thuê và hoàn toàn kiểm soát một máy tính toàn bộ trong một cố gắng cải thiện hiệu suất hoặc, một cách trớ trêu, bảo mật. IBM có hàng nghìn khách hàng doanh nghiệp sử dụng các máy chủ cơ bản cho mọi thứ từ việc tổ chức cuộc họp video đến thanh toán di động đến điều trị kích thích thần kinh.

Bằng cách thuê một máy trong một cài đặt cơ bản, một kẻ tấn công có thể đạt được mức độ truy cập nguy hiểm hơn đối với các thành phần có thể mang theo phần mềm độc hại qua cho người thuê máy chủ tiếp theo của máy đó. "Vấn đề này nhất định tồi tệ hơn và dễ khai thác hơn nhiều trên các dịch vụ máy chủ cơ bản," Bulygin nói.

Hacker, cả trong nghiên cứu và xâm nhập thực tế, đã thể hiện suốt nhiều năm qua rằng firmware trong các vi mạch ít được xem xét kiểm soát mọi thứ từ ổ đĩa USB đến ổ cứng có thể cung cấp một đầu đường ẩn cho mã độc hại. Những nhiễm trùng này có thể tránh qua tất cả các phần mềm diệt virus và thậm chí sống sót sau một lượt xoá hoàn toàn bộ nhớ của máy tính.

Các nhà nghiên cứu của Eclypsium tập trung vào firmware của một thành phần mạnh mẽ trong các máy chủ Super Micro, mà IBM cung cấp cho khách hàng của dịch vụ tính toán đám mây cơ bản của họ, được biết đến là bộ điều khiển quản lý cơ bản. BMC được sử dụng để giám sát và quản lý máy chủ từ xa, và có khả năng từ việc truy cập bộ nhớ của máy tính đến việc thay đổi hệ điều hành của nó. Trong nghiên cứu trước đó, Eclypsium đã thậm chí chứng minh được rằng một BMC bị hỏng có thể được sử dụng để viết lại firmware của các thành phần khác, làm hỏng máy tính hoặc làm tê liệt chúng để tiến hành một cuộc tấn công ransomware tiềm ẩn.

Trong các thử nghiệm của họ, những nhà nghiên cứu của Eclypsium sẽ thuê một máy chủ đám mây cơ bản của IBM, sau đó thực hiện một sự thay đổi vô hại vào firmware của BMC, chỉ đơn giản là thay đổi một bit trong mã code của nó. Sau đó, họ sẽ ngừng thuê máy chủ, giải phóng nó trở lại vào bể máy sẵn có của IBM cho khách hàng khác. Vài giờ sau, họ sẽ thuê đủ máy chủ để tìm thấy lại máy chủ chính xác đó, xác định nó thông qua số serial của bo mạch chủ và các chỉ số đặc biệt khác. Họ phát hiện rằng mặc dù được cho là được trao một máy "sạch sẽ", sự thay đổi firmware của BMC vẫn tồn tại.

"Nhiễm trùng của firmware là ổn định, nó không được tái hình ảnh khi bạn tái hình ảnh toàn bộ ngăn xếp phần mềm," Bulygin nói. Và mặc dù những nhà nghiên cứu chỉ thực hiện một sự thay đổi vô hại, họ nói rằng sẽ dễ dàng để che giấu firmware thực sự độc hại bằng cùng một mánh khéo léo.

"Không Cách Nào Biết"

Đáp lại nghiên cứu của Eclypsium, IBM đăng một tuyên bố giảm nhẹ tính năng yếu đuối này như là "mức độ nghiêm trọng thấp", nhưng hứa rằng nó hiện giờ đã cẩn thận xóa sạch firmware BMC của máy chủ giữa các lần sử dụng của các khách hàng khác nhau: "IBM đã đáp ứng với lỗ hổng này bằng cách buộc tất cả BMC, kể cả những cái đã báo cáo firmware cập nhật đến ngày, phải được làm mới lại với firmware nhà máy trước khi chúng được cấp lại cho khách hàng khác," tuyên bố đọc. "Tất cả các bản ghi trong firmware BMC đều bị xóa, và tất cả mật khẩu đến firmware BMC đều được tạo lại."

Cho đến thứ Hai tối, những nhà nghiên cứu của Eclypsium nói rằng họ vẫn có thể thực hiện mẹo bắt và thả của họ, ngụ ý rằng sửa lỗi của IBM vẫn chưa được triển khai. Nhưng một người phát ngôn của IBM cho biết với Mytour rằng "một bản sửa lỗi đã được triển khai và chúng tôi đang làm việc qua các công việc còn đợi."

Tuy vậy, các nhà nghiên cứu khác tập trung vào firmware nghi ngờ cả về nhãn mác "mức độ nghiêm trọng thấp" của IBM đối với yếu đuối và sửa lỗi giả định của nó. Karsten Nohl, người phát triển cuộc tấn công BadUSB được gọi là tấn công ẩn động firmware của USB sticks, chỉ ra rằng firmware BMC có thể được thay đổi để cung cấp kiểm soát cho hacker và để "nói dối" với quản trị viên khi họ cố gắng làm mới nó—về cơ bản, báo cho cơ chế cập nhật rằng nó đã được cập nhật mà không loại bỏ mã độc hại của hacker. "Khi firmware bị nhiễm, không có cách nào để biết liệu nó vẫn bị nhiễm hoặc phục hồi từ nó," Nohl nói. Một hacker firmware nổi tiếng khác, H. D. Moore, cho rằng chỉ có việc thêm một thiết bị phần cứng vào máy chủ để kiểm tra tính toàn vẹn của firmware sẽ giải quyết đầy đủ vấn đề.

Về phần mình, IBM không trả lời câu hỏi từ Mytour về sự khó tin cậy của các bản cập nhật firmware. Và vì Eclypsium chỉ kiểm tra các dịch vụ máy chủ cơ bản của IBM, không rõ liệu vấn đề firmware tương tự có áp dụng cho các công ty khác hay không.

Theo quan điểm của Nohl, tin vui là các máy chủ cơ bản chỉ chiếm một phần nhỏ trong các thiết lập đám mây, và máy chủ ảo hóa sẽ khó bị tấn công hơn với mánh khéo léo firmware. Nhưng điều đó không làm an lòng bất kỳ ai đang sử dụng những thiết lập dễ bị tấn công này hiện nay. "Đó là một lĩnh vực nhỏ. Nhưng có lý hoặc không, điều đó không quan trọng," Nohl nói. "Ngay cả đối với một lĩnh vực nhỏ, đó vẫn là một cuộc tấn công rất liên quan. Và không có cách dễ dàng để ngăn chặn nó."

Các câu chuyện tuyệt vời khác từ Mytour

• Chiếc HoloLens 2 đặt một máy tính đầy đủ trên khuôn mặt của bạn
• Làm thế nào để đẩy hula-hooping đến giới hạn lòe loẹt của nó
• Amazon Alexa và sự tìm kiếm cho một câu trả lời hoàn hảo
• Nhà gián điệp Nga tiết lộ danh tính các điệp viên elita của Moscow
• Facebook đã thuần hóa internet hoang dã—và điều đó thật đáng tiếc
• 👀 Đang tìm kiếm những công nghệ mới nhất? Hãy kiểm tra các hướng dẫn mua hàng và các ưu đãi tốt nhất của chúng tôi suốt cả năm
• 📩 Nhận thêm thông tin bí mật với bản tin hàng tuần Backchannel của chúng tôi