黑客可以用不可移除的恶意软件感染超过 100 款联想机型。你打补丁了吗?

图片[1]-黑客可以用不可移除的恶意软件感染超过 100 款联想机型。你打补丁了吗?-零度博客

不好了

最近3个新爆出的漏洞,以使黑客能够修改计算机的 UEFI。影响超过 100 万台笔记本电脑!UEFI是Unified Extensible Firmware Interface的缩写,是一种将计算机设备固件与其操作系统连接起来的软件。作为几乎任何现代机器开启时运行的第一款软件,它是安全链中的初始环节。由于 UEFI 驻留在主板上的闪存芯片中,因此感染很难检测,甚至更难清除。

其中两个漏洞(跟踪为 CVE-2021-3971 和 CVE-2021-3972)位于 UEFI 固件驱动程序中,仅在联想消费类笔记本电脑的制造过程中使用。联想工程师无意中将驱动程序包含在生产 BIOS 映像中,而没有正确停用。黑客可以利用这些有缺陷的驱动程序来禁用保护,包括 UEFI 安全启动、BIOS 控制寄存器位和受保护的范围寄存器,它们被嵌入到串行外围接口(SPI) 中,旨在防止对其运行的固件进行未经授权的更改。

在发现和分析漏洞后,安全公司 ESET 的研究人员发现了第三个漏洞 CVE-2021-3970。它允许黑客在机器进入系统管理模式时运行恶意固件,这是一种高权限操作模式,通常由硬件制造商用于低级系统管理。

“根据描述,对于足够高级的攻击者来说,这些都是非常‘哦,不’的攻击,”专门研究固件黑客的安全研究员 Trammel Hudson 告诉 Ars。“绕过 SPI 闪存权限非常糟糕。”

 

仅有的两个在野外使用的恶意 UEFI 固件的记录案例是LoJax,它是由俄罗斯国家黑客组织编写的,有多个名称,包括 Sednit、Fancy Bear 或 APT 28。第二个实例是 UEFI 恶意软件,其安全性卡巴斯基公司在亚洲外交人士的电脑上发现

ESET 发现的所有三个 Lenovo 漏洞都需要本地访问,这意味着攻击者必须已经以不受限制的权限控制易受攻击的机器。这种访问的门槛很高,可能需要在其他地方利用一个或多个其他关键漏洞,这些漏洞已经使用户面临相当大的风险。

尽管如此,这些漏洞仍然很严重,因为它们可以用恶意软件感染易受攻击的笔记本电脑,这远远超出了更传统的恶意软件通常所能达到的程度。联想在此处列出了 100 多种受影响的型号。

THE END
喜欢就支持一下吧
点赞2250 分享
相关推荐
永久免费白嫖 Office 软件!来自微软官方,可以放心合法使用!!| 零度解说-零度博客
一个自建平台即可搞定:ChatGPT、Claude、Google Gemini、Mistral、LLaMA2等主流AI大模型的无缝切换使用!-零度博客

一个自建平台即可搞定:ChatGPT、Claude、Google Gemini、Mistral、LLaMA2等主流AI大模型的无缝切换使用!

  一款免费开源的项目即可搞定:ChatGPT、Claude、Google Gemini、Mistral、LLaMA2等主流AI大模型的无缝切换使用! Lobe UI 是一个开源 UI 组件库,用于构建 AIGC Web 应用程序。   &...
admin的头像-零度博客admin
2.6W+2177
Windows 10 21H1 官方 正式版ISO 镜像下载大全-零度博客

Windows 10 21H1 官方 正式版ISO 镜像下载大全

Windows 10 21H1 简体中文多版本原版纯净官方镜像下载(请复制或点击使用迅雷 / 电驴等下载工具): Windows 10 21H1(64 位)消费者版本(家庭版,家庭单语言版,教育版,专业版,专业教育版,...
admin的头像-零度博客admin
1.3W+653
不想升级Win11?教你彻底锁定更流畅的 Windows 10 系统!附下载地址 | 零度解说-零度博客
一键BBRplus加速脚本-零度博客

一键BBRplus加速脚本

BBR是来自于Google的黑科技,目的是通过优化和控制TCP的拥塞,充分利用带宽并降低延迟,起到神奇般的加速效果。在BBR出来之前,就只有锐速比较好用,但是锐速是一个国产的闭源软件。 有些朋友会...
OpenAI  不可思议!植入机器人大脑会发生什么?.... Figure 1 | 零度解说-零度博客
最强AI芯片诞生!英伟达GTC大会推出“超级”GPU,这6个重点务必知晓! | 零度解说-零度博客

最强AI芯片诞生!英伟达GTC大会推出“超级”GPU,这6个重点务必知晓! | 零度解说

https://youtu.be/1Jh6DHe6_ig   AI 开发者盛会 | GTC 2024 完整直播视频:https://www.freedidi.com/11869.html
admin的头像-零度博客admin
1.3W+1527
丢失的安卓手机找回的地址-零度博客

丢失的安卓手机找回的地址

1.谷歌:https://www.google.com/android/find 2.三星:https://findmymobile.samsung.com 3.小米:https://i.mi.com 4.华为:http://cloud.huawei.com 5.oppo:https://cloud.oppo.com  
Windows 10 21H2正式版 、LTSC 2021 企业版下载-零度博客

Windows 10 21H2正式版 、LTSC 2021 企业版下载

1.Windows 10 21H2正式版:【点击下载】 (注:请按零度视频介绍的步骤进行下载)   https://www.youtube.com/watch?v=p7OLoGElUNU Windows 10专业工作站激活: 2.LTSC 2021 企业版:【点击...