研究人员在计算机外围设备中发现了多个未签名固件的实例，恶意参与者可以利用这些实例攻击运行Windows和Linux的笔记本电脑和服务器。

根据上周与BleepingComputer共享的一份报告，Eclypsium的研究人员能够在与戴尔，惠普，联想和其他主要制造商的计算机一起积极使用的WiFi适配器，USB集线器，触控板和相机中找到未签名的固件。

这是一个很大的问题，因为数百万的此类设备直接受到旨在滥用此漏洞来收集和泄露用户敏感信息，触发服务拒绝状态并感染各种恶意软件（例如勒索软件）的攻击。

自从至少2010年以来，滥用固件漏洞的攻击以前就使用过Equation Group的EquationDrug和GrayFish间谍平台中的固件更新模块，用包含  当场闪存的恶意有效载荷的恶意固件替换设备的合法固件。

脆弱的触控板，相机，Wi-Fi适配器和USB集线器

攻击者可以通过几种方式利用未经签名的固件，具体取决于他们通过滥用此缺陷而设法破坏的组件。

对于网络适配器，它们可以捕获或更改网络流量，而PCI设备可以使它们窃取信息，甚至可以通过直接内存访问（DMA）攻击来接管系统。

另一方面，通过完全控制目标的摄像头，应该允许他们开始从周围环境捕获视频和音频内容，同时滥用与计算机相连的硬盘驱动器的固件，从而有可能丢弃恶意工具并运行恶意代码，将完全摆脱操作系统的安全检查。

报告说：“但是，总的问题仍然是相同的。如果一个组件不需要签名的固件，攻击者通常可以轻松获得对该组件的控制权，而无需特殊的特权。”

您可以在下面找到Eclipsium研究人员能够在各种外围设备中发现的不安全固件的一些示例：

研究人员说，即使他们为每个特定的外设测试了一个特定的设备，“其他型号甚至其他厂商也会遇到相同的问题。”

“联想表示ODM没有在当前一代产品中修复此问题的机制，”而“惠普表示他们正在开发固件更新，而下一代相机将在未来的型号中签署固件。 ”

对于戴尔XPS笔记本电脑，没有明确答案是谁负责确保驱动程序和固件正确签名，因为芯片组制造商和驱动程序开发商高通表示这应由微软负责，并且不进行签名验证这些芯片的计划。

微软回答说，设备供应商应该是阻止恶意固件加载到设备上的供应商。

拦截BMC流量

作为研究的一部分，Eclypsium还能够证明使用Broadcom BCM5719芯片组和未签名的固件（具有多个主要服务器制造商的服务器所使用的NIC）对具有网络接口卡（NIC）的服务器的成功攻击。

除了受欢迎之外，研究人员还选择了这种特定的模型，因为它被称为NIC，它不对从主机上载的固件执行签名检查。

即使主机上的软件并不专用于服务器的基板管理控制器（BMC）流量，Eclypsium仍能够将自己修改的固件“加载到系统中的NIC中，在该系统中，BMC配置为与以下设备共享NIC”主办。”

这样一来，他们就可以分析MC网络数据包的内容，恶意软件可以利用此功能进行间谍目的或实时更改BMC流量。

“这还可以用于阻止从BMC发送到中央日志记录服务器的警报，选择性地将它们重定向到其他服务器，将流量复制并发送到远程位置进行分析，以及与远程命令建立出站网络连接，直接从NIC本身控制服务器，而主机或BMC却不知道这一切正在发生。”

另外，由于NIC是基于PCI的设备，攻击者可能发起DMA攻击，使他们能够绕过主CPU和OS直接访问系统内存，从而窃取信息，甚至完全控制受到感染的服务器。

未签名的固件是一个被忽视的威胁

尽管Apple的macOS每次加载驱动程序包和固件时都会自动检查签名，以防止攻击滥用未签名的固件，但Windows和Linux仅在最初安装固件或驱动程序时执行签名验证。

Eclypsium 总结道： “不幸的是，未经签名的固件所带来的问题不容易解决。如果该组件并非旨在检查签名的固件，则通常无法通过固件更新来解决。”

“在许多情况下，设备或产品线中的根本问题根本无法解决，这意味着该产品线中的所有设备在其整个生命周期中都将继续受到攻击。”

总而言之，各种外围设备中未签名的固件是一个重大的网络安全问题，也是一个经常被忽视的问题，它可能导致严重的安全问题，包括数据，完整性和隐私丢失，并帮助威胁行为者提升特权并绕过安全性可以有效阻止其攻击的控件。

TAG网络高级分析师凯蒂·泰特勒（Katie Teitler）说：“软件和网络漏洞通常是组织安全重点的重点，但固件漏洞可能使对手完全控制受感染的设备。”

“这可能导致植入后门，嗅探网络流量，泄露数据等等。但是，不幸的是，固件漏洞可能更难检测且更难以修补。最佳实践是在组件级别部署自动扫描漏洞和错误配置的方法，并持续监视新问题或漏洞。”