Złośliwy kod może przetrwać nawet reinstalację systemu. Ukryty backdoor BIOS-ach straszy

Naukowcy odkryli ukryte tylne drzwi w oprogramowaniu układowym komputera, które omijają funkcję Secure Boot AMI, Gigabyte, Insyde Software i Cisco potwierdziły istnienie luki w zabezpieczeniach, a prawdopodobnie problem dotyczy także wielu innych producentów.

Badacze bezpieczeństwa znaleźli ukryty mechanizm, który pozwala ominąć funkcję Secure Boot, uruchamiając powłokę UEFI, narzędzie wiersza poleceń wbudowane bezpośrednio w oprogramowanie układowe, służące do debugowania lub naprawy. Kilku producentów, w tym AMI, Gigabyte, Insyde Software i Cisco, potwierdziło istnienie luki, a wielu innych jest prawdopodobnie narażonych na jej działanie.

Secure Boot miał blokować nieautoryzowany kod

Technologia UEFI Secure Boot ma gwarantować, że podczas rozruchu komputera zostanie załadowane wyłącznie zaufane, podpisane cyfrowo oprogramowanie, takie jak programy ładujące i jądro systemu operacyjnego. Naukowcy odkryli jednak sposób, dzięki któremu można ominąć to zabezpieczenie.

SPI Flash, moduł pamięci przechowujący oprogramowanie układowe UEFI (Unified Extensible Firmware Interface) systemu, często ma wbudowany moduł powłoki UEFI. Jest to samodzielny interfejs wiersza poleceń, który umożliwia bezpośrednią interakcję ze środowiskiem UEFI. Narzędzie to zostało wdrożone w celu debugowania, diagnostyki i zaawansowanego zarządzania platformą, ale wielu producentów OEM i niezależnych dostawców BIOS-u dołącza je do oprogramowania sprzętowego w produkcji.

Wiele implementacji oprogramowania układowego zawiera wpis rozruchowy dla powłoki UEFI. Zazwyczaj nie jest on łatwo dostępny – producenci usuwają lub pomijają ten wpis, gdy włączona jest funkcja bezpiecznego rozruchu. Jednak ze względu na poważną lukę w zabezpieczeniach atakujący mogą tworzyć wpisy rozruchowe UEFI, które mimo to pozwolą na uruchomienie powłoki.

„Osoba atakująca, która ma możliwość tworzenia dodatkowych wpisów rozruchowych UEFI, może odwołać się do powłoki UEFI, nawet jeśli wdrożone są standardowe kontrole uniemożliwiające jej uruchomienie” – czytamy w ostrzeżeniu.

Dzięki dostępowi do powłoki UEFI atakujący może dowolnie modyfikować środowisko przed rozruchem, w tym nadpisywać wartości pamięci związane z funkcją Secure Boot i uruchamiać nieautoryzowany kod w trakcie wczesnego procesu rozruchu.

„Kod wykonywany w fazie przed uruchomieniem może ustanowić trwały dostęp, w tym możliwość załadowania złośliwych komponentów rozruchowych lub oprogramowania na poziomie jądra, które może przetrwać zarówno ponowne uruchomienie systemu, jak i, w niektórych przypadkach, ponowną instalację systemu operacyjnego” – ostrzega CERT/CC.
 

Tego rodzaju aktywność może być niewidoczna dla mechanizmów kontroli bezpieczeństwa systemu operacyjnego oraz oprogramowania do wykrywania i reagowania na zagrożenia w punktach końcowych (EDR). Ta luka w zabezpieczeniach dotyczy wielu dostawców w całym łańcuchu dostaw oprogramowania sprzętowego.

Problem potwierdziły AMI, Gigabyte i Cisco

AMI (American Megatrends Incorporated), Gigabyte, Insyde i Cisco (zajmujące się serwerami UCS) już potwierdziły obecność pewnego rodzaju błędu.

Luka w zabezpieczeniach flagowego oprogramowania układowego UEFI Aptio V firmy AMI, oznaczona numerem CVE-2026-33197 , została oceniona na 8,7 na 10 – wysoki stopień zagrożenia.

 Firma Gigabyte, która korzysta z oprogramowania sprzętowego AMI, potwierdziła, że ​​jest ono podatne na ataki, i udostępniła publicznie aktualizacje BIOS-u przed 14 lipca 2026 r.

Insyde Software, globalny producent oprogramowania sprzętowego niskiego poziomu, poinformował, że tylko część klientów „zdecydowała się na dołączenie powłoki z własnych powodów i może to mieć wpływ na ich decyzję. Większość klientów nie wysyła powłoki.

Dell, HP i Lenovo nadal bez jasnej odpowiedzi

Firmy Intel i Phoenix Technologies zapewniają, że nie są dotknięte tą sytuacją. Jednakże długa lista dużych firm, w tym Dell, HP, Lenovo, Microsoft, Asus, Supermicro i inne, jest oznaczona jako „nieznane”, co oznacza, że ​​CERT/CC nie otrzymało żadnego oświadczenia.