Thunderbolt è l'interfaccia del marchio hardware sviluppata da Intel . Funge da interfaccia tra computer e dispositivi esterni. Sebbene la maggior parte dei computer Windows sia dotata di tutti i tipi di porte, molte aziende utilizzano Thunderbolt per connettersi a vari tipi di dispositivi. Semplifica la connessione, ma secondo una ricerca della Eindhoven University of Technology , la sicurezza dietro Thunderbolt può essere violata utilizzando una tecnica: Thunderspy . In questo post, condivideremo i suggerimenti che puoi seguire per proteggere il tuo computer da Thunderspy .

Cos'è Tunderspy ? Come funziona?

È un attacco invisibile che consente a un utente malintenzionato di accedere alla funzionalità di accesso diretto alla memoria ( DMA ) per compromettere i dispositivi. Il problema più grande è che non rimane traccia poiché funziona senza distribuire alcuna mente di malware o link bait. Può aggirare le migliori pratiche di sicurezza e bloccare il computer. Quindi, come funziona? L'attaccante ha bisogno dell'accesso diretto al computer. Secondo la ricerca, bastano meno di 5 minuti con gli strumenti giusti.

L'attaccante copia il firmware del controller Thunderbolt^{(Thunderbolt Controller Firmware)} del dispositivo di origine sul proprio dispositivo. Quindi utilizza un patcher del firmware ( TCFP ) per disabilitare la modalità di sicurezza applicata nel firmware Thunderbolt . La versione modificata viene copiata sul computer di destinazione utilizzando il dispositivo Bus Pirate . Quindi un dispositivo di attacco basato su Thunderbolt viene collegato al dispositivo che viene attaccato. Quindi utilizza lo strumento PCILeech per caricare un modulo del kernel che ignora la schermata di accesso di Windows .

Quindi, anche se il computer ha funzionalità di sicurezza come Secure Boot , BIOS forte e password dell'account del sistema operativo e la crittografia completa del disco abilitata, abiliterà comunque tutto.

SUGGERIMENTO^(TIP) : Spycheck verificherà se il tuo PC è vulnerabile all'attacco Thunderspy .

Suggerimenti per proteggersi da Thunderspy

Microsoft consiglia^(recommends) tre modi per proteggersi dalla minaccia moderna. Alcune di queste funzionalità integrate in Windows possono essere sfruttate mentre alcune dovrebbero essere abilitate per mitigare gli attacchi.

• Protezioni PC Secured-core
• Protezione DMA del kernel
• Integrità del codice protetta dall'hypervisor ( HVCI )

Detto questo, tutto questo è possibile su un PC Secured-core. Semplicemente non puoi applicarlo su un normale PC perché non è disponibile l'hardware in grado di proteggerlo dall'attacco. Il modo migliore per scoprire se il tuo PC lo supporta è controllare la sezione Sicurezza del dispositivo dell'app ^{(Devic Security)}Sicurezza di Windows^{(Windows Security)} .

1] Protezioni PC Secured-core

Windows Security , il software di sicurezza interno di Microsoft, offre Windows Defender System Guard e la sicurezza basata sulla virtualizzazione. Tuttavia, è necessario un dispositivo che utilizzi PC Secured-core^{(Secured-core PCs)} . Utilizza la sicurezza hardware radicata nella moderna CPU per avviare il sistema in uno stato attendibile. Aiuta a mitigare i tentativi di malware a livello di firmware.

2] Protezione DMA del kernel

Introdotta in Windows 10 v1803, la protezione DMA del kernel^{(Kernel DMA)} assicura il blocco delle periferiche esterne dagli attacchi DMA ( Direct Memory Access ) utilizzando dispositivi hotplug PCI come ^(PCI)Thunderbolt . Significa che se qualcuno tenta di copiare il firmware Thunderbolt dannoso su una macchina, verrà bloccato sulla porta Thunderbolt . Tuttavia, se l'utente ha il nome utente e la password, sarà in grado di ignorarli.

3] Protezione avanzata con integrità del codice protetto ^{(Hypervisor-protected)}dall'hypervisor ( ^(HVCI)HVCI^(Hardening) )

L'integrità del codice protetto dall'hypervisor o HVCI deve essere abilitato su Windows 10 . Isola il sottosistema di integrità del codice e verifica che il codice del kernel non sia verificato e firmato da Microsoft . Garantisce inoltre che il codice del kernel non possa essere sia scrivibile che eseguibile per assicurarsi che il codice non verificato non venga eseguito.

Thunderspy usa lo strumento PCILeech per caricare un modulo del kernel che ignora la schermata di accesso di Windows . L'uso di HVCI^(HVCI) assicurerà di impedirlo poiché non consentirà di eseguire il codice.

La sicurezza dovrebbe essere sempre al primo posto quando si tratta di acquistare computer. Se hai a che fare con dati importanti, in particolare con il business, si consiglia di acquistare dispositivi PC Secured-core^{(Secured-core PC)} . Ecco la pagina ufficiale di tali dispositivi^{(such devices)} sul sito Web di Microsoft.

Tips to protect your computer against Thunderspy attack

Thunderbolt is the hardware brand interface developed by Intel. It acts as an interface between computer and external devices. While most of the Windows computers come with all sorts of ports, many companies use Thunderbolt to connect to various types of devices. It makes connecting easy, but according to research at the Eindhoven University of Technology, the security behind Thunderbolt can be breached using a technique — Thunderspy. In this post, we will share tips you can follow to protect your computer against Thunderspy.

What is Tunderspy? How does it work?

Its a stealth attack that allows an attacker to access direct memory access (DMA) functionality to compromise devices. The biggest problem is that there is no trace left as it works without deploying any mind of malware or link bait. It can bypass the best security practices and lock the computer.  So how does it work? The attacker needs direct access to the computer. According to the research, it takes less than5 minutes with the right tools.

The attacker copies the Thunderbolt Controller Firmware of the source device to his device. It then uses a firmware patcher (TCFP) to disable the security mode enforced in the Thunderbolt firmware. The modified version is copied back to the target computer using the Bus Pirate device. Then a Thunderbolt-based attack device is connected to the device being attacked. It then uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen.

So even if the computer has security features like Secure Boot, strong BIOS, and operating system account passwords, and enabled full disk encryption, enabled, it will still bypass everything.

TIP: Spycheck will check if your PC is vulnerable to the Thunderspy attack.

Tips to protect against Thunderspy

Microsoft recommends three ways to protect against the modern threat. Some of these features that are built into Windows can be leveraged while some should be enabled to mitigate the attacks.

• Secured-core PC protections
• Kernel DMA protection
• Hypervisor-protected code integrity (HVCI)

That said, all this is possible on a Secured-core PC. You simply cannot apply this on a regular PC because the hardware is not available that can secure it from the attack. The best way to find out if your PC supports it is by checking the Devic Security section of the Windows Security app.

1] Secured-core PC protections

Windows Security, Microsoft’s in-house security software, offers Windows Defender System Guard and virtualization-based security. However, you need a device that uses Secured-core PCs. It uses rooted hardware security in the modern CPU to launch the system into a trusted state. It helps mitigate attempts made by malware at the firmware level.

2] Kernel DMA protection

Introduced in Windows 10 v1803, Kernel DMA protection makes sure to block external peripherals from Direct Memory Access (DMA) attacks using PCI hotplug devices such as Thunderbolt. It means if someone tries to copy malicious Thunderbolt firmware to a machine, it will be blocked over the Thunderbolt port. However, if the user has the username and password,  he will be able to bypass it.

3] Hardening protection with Hypervisor-protected code integrity (HVCI)

Hypervisor-protected code integrity or HVCI should be enabled on Windows 10. It isolates the code integrity subsystem and verified that there Kernel code is not verified and signed by Microsoft. It also ensures that kernel code cannot be both writable and executable to make sure unverified code does not execute.

Thunderspy uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen. Using HVCI will make sure to prevent this as it will not allow it to execute the code.

Security should always be at the top when it comes to buying computers. If you deal with data that is important, especially with business, it is recommended to purchase Secured-core PC devices. Here is the official page of such devices on the Microsoft website.

Related posts

• Come evitare Phishing Scams and Attacks?

• Che cos'è il Trojan di accesso remoto? Prevenzione, rilevamento e rimozione

• Remove virus da USB Flash Drive utilizzando Command Prompt or Batch File

• Rogue Security Software or Scareware: Come controllare, prevenire, rimuovere?

• Cos'è Win32: BogEnt e come rimuoverlo?

• Malware Submission: dove inviare i file di malware a Microsoft & others?

• Potenzialmente indesiderato Programs or Applications; Avoid Installazione di PUP/PUA

• Fix Search Errore fallito quando si esegue Chrome Malware Scanner

• Cryptojacking Il nuovo browser mining threat Devi sapere

• Come rimuovere Virus Alert da Microsoft su Windows PC

• Cos'è Rootkit? Come funziona Rootkits? Rootkits ha spiegato

• Come utilizzare Malwarebytes Anti-Malware per rimuovere Malware

• Come utilizzare Avast Boot Scan per rimuovere Malware da Windows PC

• Browser Hijacking and Free Browser Hijacker Removal Tools

• DLL Hijacking Vulnerability Attacks, Prevention & Detection

• Controlla se il tuo computer è stato infettato dallo ASUS Update Malware

• In che modo Microsoft identificano le applicazioni indesiderate Malware & Potentially

• Quali sono vivendo gli attacchi Land? Come stare al sicuro?

• Cos'è il virus IDP.Generic e come rimuoverlo?

• Come si può ottenere uno computer virus, un trojan, il lavoro, spyware or malware?