Pesquisadores de segurança descobriram uma falha perturbadora em processadores AMD que pode ser explorada para instalar malware de difícil detecção e capaz de sobreviver a reinstalações do sistema operacional.
A vulnerabilidade está relacionada a um modo de operação dentro dos chips AMD chamado “System Management Mode” (SMM), que é projetado para lidar com funções gerais do sistema, como gerenciamento de energia e controle de hardware. Esse mesmo modo também possui altos privilégios, que os pesquisadores da empresa de cibersegurança IOActive descobriram como explorar.
vulnerabilidade chamada “Sinkclose” permite que um invasor obtenha privilégios de sistema
De acordo com a Wired, a vulnerabilidade chamada “Sinkclose” permite que um invasor obtenha privilégios de sistema profundamente dentro de um sistema AMD, seja um PC ou servidor. Isso poderia permitir que eles instalassem malware fora do sistema operacional e dentro do firmware, tornando o código malicioso muito mais difícil de detectar e remover.
“Esse problema a nível de silício parece ter permanecido indetectado por quase duas décadas”, escreveram os pesquisadores.
A AMD vem preparando uma correção desde que a falha foi descoberta em outubro. Na sexta-feira, a empresa começou a lançar patches para o Sinkclose para os processadores AMD Ryzen e Epyc, alertando que a vulnerabilidade possui uma taxa de severidade “alta”. E parece que levará algum tempo para que os fornecedores de placas-mãe e possivelmente a Microsoft ajudem a distribuir a correção para os usuários.
AMD afirma que a falha não é fácil de explorar
Ainda assim, a AMD afirma que a falha não é fácil de explorar. Os pesquisadores da IOActive acrescentam que o bug envolve a manipulação de um recurso obscuro nos chips AMD conhecido como TClose.
Importante destacar que a AMD diz que o Sinkclose só pode ser explorado se o hacker já tiver acesso ao computador com privilégios para manipular o kernel, o núcleo do sistema operacional, o que sinceramente não é muito difícil para quem está realmente interessado em comprometer o sistema alvo.
É por isso que pesquisadores da IOActive afirmam que o Sinkclose ainda representa uma grande ameaça se hackers de elite, como espiões patrocinados por estados, aprenderem a abusar dele. “Embora explorar o Sinkclose exija acesso ao nível do kernel de uma máquina, tais vulnerabilidades são expostas no Windows e no Linux praticamente todos os meses”, disseram os pesquisadores à Wired.
A equipe da IOActive planeja compartilhar mais detalhes sobre a vulnerabilidade na conferência de segurança DEF CON em Las Vegas amanhã. No entanto, eles estão se abstendo de compartilhar qualquer código de prova de conceito demonstrando como o Sinkclose pode ser explorado, pelo menos pelos próximos meses, para dar à AMD mais tempo para corrigir a falha.
Embora a AMD tenha lançado uma correção de software, ela não cobre a série de desktops AMD Ryzen 3000 ou modelos de chips anteriores. Entramos em contato com a empresa para comentar e atualizaremos a história se recebermos uma resposta.
