Thunderspy

Thunderspy es un tipo de vulnerabilidad de seguridad , basada en el puerto Intel Thunderbolt 3 , reportada públicamente por primera vez el 10 de mayo de 2020, que puede resultar en un ataque de "malvada sirvienta " (es decir, un atacante de un dispositivo desatendido) obteniendo acceso completo a la información de una computadora en aproximadamente cinco minutos, y puede afectar a millones de computadoras Apple , Linux y Windows , así como a cualquier computadora fabricada antes de 2019, y algunas posteriores. ^{[ 1 ] [ 2 ] [ 3 ] [ 4 ] [ 5 ] [ 6 ] [ 7 ] [ 8 ]}

Según Björn Ruytenberg, descubridor de la vulnerabilidad, «Lo único que necesita hacer el atacante es desenroscar la tapa trasera, conectar un dispositivo momentáneamente, reprogramar el firmware, volver a colocar la tapa trasera y así obtener acceso completo al portátil. Todo esto se puede hacer en menos de cinco minutos». ^{[ 1 ]} El firmware malicioso se utiliza para clonar identidades de dispositivos, lo que posibilita un ataque DMA clásico. ^{[ 4 ]}

Las vulnerabilidades de seguridad de Thunderspy fueron reportadas públicamente por primera vez por Björn Ruytenberg de la Universidad Tecnológica de Eindhoven en los Países Bajos el 10 de mayo de 2020. ^{[ 9 ]} Thunderspy es similar a Thunderclap , ^{[ 10 ] [ 11 ]} otra vulnerabilidad de seguridad, reportada en 2019, que también implica el acceso a archivos de computadora a través del puerto Thunderbolt. ^{[ 8 ]}

La vulnerabilidad de seguridad afecta a millones de ordenadores Apple, Linux y Windows, así como a todos los ordenadores fabricados antes de 2019 y algunos posteriores. ^{[ 1 ] [ 3 ] [ 4 ]} Sin embargo, este impacto se limita principalmente a la precisión que un atacante tendría que tener para ejecutar el ataque. Es necesario el acceso físico a un equipo con un controlador Thunderbolt vulnerable, así como un chip ROM escribible para el firmware del controlador Thunderbolt. ^{[ 4 ]} Además, parte de Thunderspy, específicamente la parte que implica la reescritura del firmware del controlador, requiere que el dispositivo esté en modo de suspensión, ^{[ 4 ]} o al menos en algún tipo de estado de encendido, para ser efectivo. ^{[ 12 ]} Los equipos que fuerzan el apagado cuando se abre la carcasa pueden ayudar a resistir este ataque en la medida en que la función (interruptor) en sí misma resista la manipulación.

Debido a la naturaleza de los ataques que requieren acceso físico prolongado al hardware, es improbable que el ataque afecte a usuarios fuera de un entorno empresarial o gubernamental. ^{[ 12 ] [ 13 ]}

Los investigadores afirman que no existe una solución de software sencilla y que solo podría mitigarse desactivando por completo el puerto Thunderbolt. ^{[ 1 ]} Sin embargo, los impactos de este ataque (lectura de memoria a nivel de kernel sin necesidad de apagar la máquina) se mitigan en gran medida gracias a las funciones anti-intrusión que ofrecen muchas máquinas empresariales. ^{[ 14 ]} Intel afirma que habilitar dichas funciones restringiría sustancialmente la efectividad del ataque. ^{[ 15 ]} Las recomendaciones de seguridad oficiales de Microsoft recomiendan desactivar el modo de suspensión al usar BitLocker. ^{[ 16 ]} Usar la hibernación en lugar del modo de suspensión apaga el dispositivo, mitigando los riesgos potenciales de ataque a los datos cifrados.

• Sitio web oficial
• Vídeo (5:54) – Thunderspy: prueba de concepto en YouTube
• Vídeo (11:01) - No hay de qué preocuparse por Thunderspy - Aquí te explicamos por qué ( en YouTube)