Thunderbolt , Intel tarafından geliştirilen donanım markası arabirimidir . Bilgisayar ve harici cihazlar arasında bir arayüz görevi görür. Windows bilgisayarların çoğu her türden bağlantı noktasıyla birlikte gelirken, birçok şirket çeşitli aygıt türlerine bağlanmak için Thunderbolt'u kullanır. ^{(Thunderbolt)}Bağlantıyı kolaylaştırır, ancak Eindhoven ^{(Eindhoven University)}Teknoloji^(Technology) Üniversitesi'ndeki araştırmaya göre, Thunderbolt'un^{(Thunderbolt)} arkasındaki güvenlik, bir teknik kullanılarak ihlal edilebilir - Thunderspy . Bu gönderide, bilgisayarınızı Thunderspy'a^(Thunderspy) karşı korumak için izleyebileceğiniz ipuçlarını paylaşacağız .

Tunderspy nedir ? O nasıl çalışır?

Bu, bir saldırganın aygıtları tehlikeye atmak için doğrudan bellek erişimi ( DMA ) işlevine erişmesine izin veren gizli bir saldırıdır. ^(DMA)En büyük sorun, herhangi bir kötü amaçlı yazılım veya bağlantı yemi dağıtmadan çalıştığı için hiçbir iz kalmamasıdır. En iyi güvenlik uygulamalarını atlayabilir ve bilgisayarı kilitleyebilir. Peki nasıl çalışır? Saldırganın bilgisayara doğrudan erişmesi gerekiyor. Araştırmaya göre doğru araçlarla 5 dakikadan az sürüyor.

Saldırgan, kaynak cihazın Thunderbolt Controller Firmware'ini^{(Thunderbolt Controller Firmware)} kendi cihazına kopyalar . Ardından , Thunderbolt belleniminde uygulanan güvenlik modunu devre dışı bırakmak için bir bellenim yaması ( TCFP ) kullanır . Değiştirilen sürüm, Bus Pirate^{(Bus Pirate)} aygıtı kullanılarak hedef bilgisayara geri kopyalanır . Ardından , saldırıya uğrayan cihaza Thunderbolt tabanlı bir saldırı cihazı bağlanır. Ardından , Windows oturum açma ekranını atlayan bir çekirdek modülünü yüklemek için PCILeech aracını kullanır.^(PCILeech)

Bu nedenle, bilgisayar Güvenli Önyükleme^{(Secure Boot)} , güçlü BIOS ve işletim sistemi hesabı parolaları gibi güvenlik özelliklerine sahip olsa ve etkinleştirilmiş tam disk şifrelemesi etkinleştirilmiş olsa bile, yine de her şeyi atlayacaktır.

İPUCU^(TIP) : Spycheck, bilgisayarınızın Thunderspy saldırısına karşı savunmasız olup olmadığını kontrol eder .

Thunderspy'a karşı koruma ipuçları

Microsoft , modern tehdide karşı koruma sağlamak için üç yol önerir . ^(recommends)Windows'ta yerleşik olarak bulunan bu özelliklerden bazıları kullanılabilirken, bazıları saldırıları azaltmak için etkinleştirilmelidir.

• Güvenli çekirdekli bilgisayar korumaları
• Çekirdek DMA koruması
• Hipervizör korumalı kod bütünlüğü ( HVCI )

Bununla birlikte, tüm bunlar Güvenli çekirdekli bir PC'de mümkündür. Bunu normal bir PC'ye uygulayamazsınız çünkü onu saldırıdan koruyabilecek donanım mevcut değildir. Bilgisayarınızın destekleyip desteklemediğini öğrenmenin en iyi yolu , Windows Güvenlik^{(Windows Security)} uygulamasının Aygıt Güvenliği^{(Devic Security)} bölümünü kontrol etmektir.

1] Güvenli çekirdekli PC korumaları

Microsoft'un şirket içi güvenlik yazılımı olan Windows Security^{(Windows Security)} , Windows Defender Sistem Koruması ve sanallaştırma tabanlı güvenlik sunar. Ancak, Secured-core PC'leri^{(Secured-core PCs)} kullanan bir cihaza ihtiyacınız var . Sistemi güvenilir bir duruma başlatmak için modern CPU'da^(CPU) köklü donanım güvenliğini kullanır . Ürün yazılımı düzeyinde kötü amaçlı yazılımlar tarafından yapılan girişimlerin azaltılmasına yardımcı olur.

2] Çekirdek DMA koruması

Windows 10 v1803'te tanıtılan Kernel DMA koruması, ^{(Kernel DMA)}Thunderbolt gibi PCI çalışırken takılabilir aygıtları kullanarak harici çevre birimlerinin Doğrudan Bellek Erişimi^{(Memory Access)} ( DMA ) saldırılarını engellemesini sağlar . Bu, birisi kötü niyetli Thunderbolt^{(Thunderbolt)} ürün yazılımını bir makineye kopyalamaya çalışırsa , Thunderbolt bağlantı noktası üzerinden engelleneceği anlamına gelir . Ancak, kullanıcı kullanıcı adı ve şifreye sahipse, bunu atlayabilecektir.

3] Hipervizör korumalı^{(Hypervisor-protected)} kod bütünlüğü ( HVCI ) ile sertleştirme^(Hardening) koruması

Windows 10'da^{(Windows 10)} hiper yönetici korumalı kod bütünlüğü veya HVCI etkinleştirilmelidir . Kod bütünlüğü alt sistemini yalıtır ve orada Çekirdek kodunun ^(Kernel)Microsoft tarafından doğrulanmadığını ve imzalanmadığını doğrular . Ayrıca, doğrulanmamış kodun yürütülmediğinden emin olmak için çekirdek kodunun hem yazılabilir hem de yürütülebilir olmamasını sağlar.

Thunderspy , Windows oturum açma ekranını atlayan bir çekirdek modülünü yüklemek için PCILeech aracını kullanır . HVCI kullanmak , kodu yürütmesine izin vermeyeceğinden bunu önlemeyi sağlayacaktır.

Bilgisayar satın alırken güvenlik her zaman en üstte olmalıdır. Özellikle iş ile ilgili önemli verilerle ilgileniyorsanız, Güvenli çekirdekli PC^{(Secured-core PC)} cihazları satın almanız önerilir . İşte Microsoft web sitesinde bu tür cihazların^{(such devices)} resmi sayfası .

Tips to protect your computer against Thunderspy attack

Thunderbolt is the hardware brand interface developed by Intel. It acts as an interface between computer and external devices. While most of the Windows computers come with all sorts of ports, many companies use Thunderbolt to connect to various types of devices. It makes connecting easy, but according to research at the Eindhoven University of Technology, the security behind Thunderbolt can be breached using a technique — Thunderspy. In this post, we will share tips you can follow to protect your computer against Thunderspy.

What is Tunderspy? How does it work?

Its a stealth attack that allows an attacker to access direct memory access (DMA) functionality to compromise devices. The biggest problem is that there is no trace left as it works without deploying any mind of malware or link bait. It can bypass the best security practices and lock the computer.  So how does it work? The attacker needs direct access to the computer. According to the research, it takes less than5 minutes with the right tools.

The attacker copies the Thunderbolt Controller Firmware of the source device to his device. It then uses a firmware patcher (TCFP) to disable the security mode enforced in the Thunderbolt firmware. The modified version is copied back to the target computer using the Bus Pirate device. Then a Thunderbolt-based attack device is connected to the device being attacked. It then uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen.

So even if the computer has security features like Secure Boot, strong BIOS, and operating system account passwords, and enabled full disk encryption, enabled, it will still bypass everything.

TIP: Spycheck will check if your PC is vulnerable to the Thunderspy attack.

Tips to protect against Thunderspy

Microsoft recommends three ways to protect against the modern threat. Some of these features that are built into Windows can be leveraged while some should be enabled to mitigate the attacks.

• Secured-core PC protections
• Kernel DMA protection
• Hypervisor-protected code integrity (HVCI)

That said, all this is possible on a Secured-core PC. You simply cannot apply this on a regular PC because the hardware is not available that can secure it from the attack. The best way to find out if your PC supports it is by checking the Devic Security section of the Windows Security app.

1] Secured-core PC protections

Windows Security, Microsoft’s in-house security software, offers Windows Defender System Guard and virtualization-based security. However, you need a device that uses Secured-core PCs. It uses rooted hardware security in the modern CPU to launch the system into a trusted state. It helps mitigate attempts made by malware at the firmware level.

2] Kernel DMA protection

Introduced in Windows 10 v1803, Kernel DMA protection makes sure to block external peripherals from Direct Memory Access (DMA) attacks using PCI hotplug devices such as Thunderbolt. It means if someone tries to copy malicious Thunderbolt firmware to a machine, it will be blocked over the Thunderbolt port. However, if the user has the username and password,  he will be able to bypass it.

3] Hardening protection with Hypervisor-protected code integrity (HVCI)

Hypervisor-protected code integrity or HVCI should be enabled on Windows 10. It isolates the code integrity subsystem and verified that there Kernel code is not verified and signed by Microsoft. It also ensures that kernel code cannot be both writable and executable to make sure unverified code does not execute.

Thunderspy uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen. Using HVCI will make sure to prevent this as it will not allow it to execute the code.

Security should always be at the top when it comes to buying computers. If you deal with data that is important, especially with business, it is recommended to purchase Secured-core PC devices. Here is the official page of such devices on the Microsoft website.

Related posts

• Phishing Scams and Attacks Nasıl Kaçınılır?

• Uzak Access Trojan nedir? Önleme, Detection & Removal

• Remove virus USB Flash Drive'dan Command Prompt or Batch File'u kullanma

• Rogue Security Software or Scareware: Nasıl önlemek, kaldır kontrol etmek?

• Win32 nedir: BogEnt ve nasıl kaldırılır?

• En İyi Ücretsiz Casus Yazılım ve Kötü Amaçlı Yazılım Temizleme Yazılımı

• Cryptojecking Yeni browser mining threat'ü bilmeniz gereken

• Browser Hijacking and Free Browser Hijacker Removal Tools

• Virüslerden, Casus Yazılımlardan ve Kötü Amaçlı Yazılımlardan Kurtulmanın 3 Yolu

• Bir dosyayı taramak için en iyi çevrimiçi Online Malware Scanners

• Windows 10 kötü amaçlı yazılımlar için Registry nasıl kontrol edilir

• Virus Alert Microsoft'ten Windows PC'den nasıl kaldırılır?

• Malwarebytes Anti-Malware Nasıl Kullanılır Malware kaldırmak için

• İpuçları güvenli Windows 11/10 - Nasıl Malware önlemek için

• DLL Hijacking Vulnerability Attacks, Prevention & Detection

• Task Manager içinde Microsoft Windows Logo process; Bir virüs mi?

• Belirtilen modül Windows 10'da hata bulunamadı

• Windows'den güvenli bir şekilde kaldırmak için IDP.Generic and How nedir?

• Chrome browser's Inbuilt Malware Scanner & Cleanup Tool nasıl kullanılır?

• Potansiyel İstenmeyen Programs or Applications; Avoid yüklemeden PUP/PUA