📸 DaMAgeCard — новый способ DMA-атак через высокоскоростные периферийные устройства

Команда Positive Labs (@positivelabs) обнаружила, что уже известные DMA-атаки получили новую точку входа при наличии физического доступа к целевым устройствам.

Всему виной — появление устройств, поддерживающих стандарт SD Express, который позволяет получить внушительный прирост скорости при передаче данных с карт памяти на устройство.

В посте — коротко (на Хабре — подробно).

1️⃣ DMA (direct memory access) — это режим обмена данными, в котором не участвует центральный процессор, информацией управляет периферийное оборудование, подключаясь к высокоскоростной компьютерной шине PCIe, соединяющей внутренние устройства компьютера между собой. Это ускоряет работу, но в то же время создает вектор атаки.

2️⃣ Первая версия шины PCIe была создана в 1990-х годах. Физические разъемы тогда находились под крышкой компьютеров, и злоумышленники были сильно ограничены в инструментах. Поэтому DMA-атаки могли совершать только профессиональные APT-группировки.

3️⃣ С увеличением объема и качества обрабатываемой информации (фото и видео) значительно выросли требования к скорости периферийного оборудования. В ответ на это был создан стандарт SD Express, позволяющий увеличить скорость прежде всего за счет подключения карты памяти к шине PCIe.

4️⃣ Высокопроизводительные ноутбуки уже выпускаются с картридерами, поддерживающими стандарт SD Express. Этим и могут воспользоваться киберпреступники, которые при помощи «злого» устройства, совместимого с интерфейсом целевого оборудования, могут получить доступ к шине PCIe.

5️⃣ Атакующие через такое подключение могут получить возможность читать и редактировать данные в памяти устройства, внедрять вредоносный код в программы, извлекать ключи шифрования и пароли, обходить аутентификацию операционной системы и отключать средства защиты.

Алексей Усанов, руководитель Positive Labs, отметил:

«Сегодня существует, пожалуй, только один метод защиты от DMA-атак — это технология IOMMU, которая управляет доступом к памяти в рамках операций ввода-вывода. Однако с каждым годом появляются новые способы обхода этого механизма. Чтобы защита заработала, нужно продумать модель угроз, правильно реализовать логику управления доступом и внедрить ее во всей производственной цепочке. Это касается среди прочего разработчиков прошивок, операционных систем и программных компонентов».

Сейчас картридеры с поддержкой стандарта SD Express используется в основном в оборудовании премиум-класса. Однако в ближайшем будущем он может появиться во многих компьютерах, видеокамерах, смартфонах и других устройствах массового пользования. В этом случае у злоумышленников появится удобная точка проникновения в системы без необходимости вскрывать гаджеты.

🚝 Подробности — в исследовании со всей технической начинкой и экспериментами в нашем блоге на Хабре.

@Positive_Technologies