Черный код: в процессорах Intel нашли две критические уязвимости

25.03.2021 |

В процессорах Intel обнаружили две новые уязвимости, рассказали «Известиям» специалисты по информационной безопасности. Речь о недокументированных производителем возможностях, которые позволяют перехватить контроль над устройством. Доступ к ним открывается в особом режиме, который в большинстве случаев есть только у инженеров Intel. Однако в некоторых сценариях его могут активировать и хакеры. Процессоры с такими уязвимостями используют преимущественно в нетбуках, планшетах и кассовых аппаратах. Эксперты по информационной безопасности предполагают, что данные опции могут присутствовать во всех актуальных процессорах Intel, и видят в них большую потенциальную угрозу.

Подозрительные инструкции

В процессорах Intel есть две недокументированные инструкции, которые позволяют модифицировать микрокод и получить контроль над процессором и всей системой, обнаружили специалисты Positive Technologies Марк Ермолов и Дмитрий Скляров в команде с независимым исследователем информационной безопасности Максимом Горячим.

— Инструкции позволяют обойти все существующие механизмы защиты архитектуры x86 в современных процессорах, — пояснил «Известиям» Марк Ермолов.

Найденные функции есть в процессорах Intel семейства Atom, которое обновляется с 2011 года по сей день, уточнили исследователи. Косвенные признаки указывают на то, что эти инструкции поддерживаются всеми современными процессорами Intel, добавили в Positive Technologies.

Инструкции — это шаблоны команд для процессоров, написанные примитивным машинным кодом из единиц и нулей. Инструкции, в свою очередь, по задачам объединяются в наборы, которые называются микрокодом. А микрокод уже ложится в основу языков программирования. Программисты пользуются инструкциями и микрокодом, чтобы каждый раз не расписывать примитивные команды для процессора единицами и нулями.

Теоретически обнаруженные инструкции может использовать любой злоумышленник, обладающий необходимой информацией, считает коммерческий директор компании RuSIEM (разработчик систем обнаружения несанкционированных действий в корпоративных сетях) Александр Булатов. В таком случае у хакера появится целый веер возможностей по управлению скомпрометированной системой, сказал он.

— Это может быть как самое простое принудительное выключение устройства, так и перепрошивка процессора микрокодом, скрытно выполняющим определенные задачи злоумышленника, — уточнил эксперт.

Инструкции могут быть активированы удаленно, подтвердил Марк Ермолов. Но это возможно только в специальном режиме работы процессоров Red Unlock, указал он. Доступ к нему должен быть только у инженеров Intel, сказал эксперт.

Находка специалистов потенциально опасна для пользователей устройств на базе семейства Intel Atom — это процессоры с низким энергопотреблением, которые в основном используются в нетбуках, планшетах, POS-терминалах и кассовых аппаратах, добавили в Positive Technologies.

Сложившаяся ситуация может угрожать преимущественно промышленному и корпоративному сегменту, считает замдиректора по науке и развитию «Информационно-внедренческой компании» (разрабатывает ПО для госструктур и военно-промышленного комплекса) Валерий Андреев.

— Intel Atom используется в основном во встраиваемом оборудовании и рассчитан на долгий срок работы, — пояснил эксперт.

Природа проблемы

Решения Intel, из-за которых появились обнаруженные инструкции, не были описаны в какой-либо документации, сказали в Positive Technologies. Некоторые специалисты предполагают, что компания могла создать бэкдор, то есть предусмотреть возможность производителя процессоров получать скрытый доступ к системе пользователя в обход настроек безопасности.

Впрочем, если бэкдоры Intel и существуют, то они наверняка оформлены как ошибка, которую впоследствии можно проэксплуатировать, или как какая-то отладочная функция, которая активируется при определенных условиях, считает директор блока экспертных сервисов BI.ZONE Евгений Волошин. Обнаруженные инструкции похожи на отладочную функцию, считает он.

— Прелесть такого подхода в том, что злой умысел можно правдоподобно отрицать, ссылаясь на человеческий фактор и экономические причины: разработчики постоянно допускают ошибки, а серийные устройства зачастую содержат функции отладки или тестирования, убирать которые из итоговой версии дорого и рискованно, — пояснил эксперт.

С тем, что найденные инструкции могут быть бэкдором, согласен руководитель департамента аудита информационной безопасности Infosecurity a Softline Company Сергей Ненахов. По его словам, уязвимость такого уровня может быть заложена и использована в интересах транснациональной корпорации или правительства какого-нибудь государства.

— Впрочем, эти опасения могут быть сильно преувеличены, — добавил специалист.

Скорее всего, найденные инструкции — часть отладочных механизмов, оставленных Intel для своих же инженеров, сошлись во мнении эксперты. Но остается неясно, почему они не были декларированы. Возможно, производитель так поступил из соображений безопасности, допустил Сергей Ненахов.

Трудности эксплуатации

В некоторых процессорах есть уязвимости, которые позволяют включить режим Red Unlock (дает возможность использовать обнаруженные инструкции) не только инженерам Intel, но и третьим лицам, утверждают в Positive Technologies.

— К таким процессорам можно отнести модели, основанные на архитектурах Atom Goldmont (2016–2017 годы выпуска) и Goldmont Plus (2017–2019), то есть ряд новых Pentium, Celeron и Atom, а также несколько моделей серверных процессоров Intel Xeon, — сказал Марк Ермолов.

В новейших микроархитектурах Intel, созданных с 2018 по 2020 год (Cannon Lake, Ice Lake и Tiger Lake), также есть возможность включения режима Red Unlock через системное программное обеспечение, считают в Positive Technologies. При этом в версиях такого ПО, выпущенных до поколения Ice Lake (2019), инженерный режим можно включить через известные уязвимости, сказал Марк Ермолов.

Необходимость использовать Red Unlock для активации инструкций сильно снижает потенциальную угрозу их использования третьими лицами, полагает эксперт «Лаборатории Касперского» Борис Ларин.

— Чтобы использовать их, злоумышленникам понадобятся дополнительные уязвимости для включения этого режима, а также глубокие познания в устройстве и принципах работы микрокода Intel, который официально не документирован, — пояснил он.

Скорее всего, найденные уязвимости будут использовать только исследователи информационной безопасности в рамках экспериментов, согласен специалист Group-IB Павел Супрунюк.

В пресс-службе Intel не дали прямых ответов на вопросы «Известий» об обнаруженных инструкциях. Но отметили, что серьезно относятся к исследованиям Positive Technologies и внимательно изучают их заявления.

Роман Кильдюшкин