Thunderbolt é a interface da marca de hardware desenvolvida pela Intel . Ele atua como uma interface entre o computador e os dispositivos externos. Enquanto a maioria dos computadores Windows vem com todos os tipos de portas, muitas empresas usam Thunderbolt para se conectar a vários tipos de dispositivos. Isso facilita a conexão, mas, de acordo com pesquisas da Universidade de Tecnologia de ^(Technology)Eindhoven^{(Eindhoven University)} , a segurança por trás do Thunderbolt pode ser violada usando uma técnica – Thunderspy . Neste post, compartilharemos dicas que você pode seguir para proteger seu computador contra o Thunderspy .

O que é Tunderspy ? Como funciona?

É um ataque furtivo que permite que um invasor acesse a funcionalidade de acesso direto à memória ( DMA ) para comprometer dispositivos. O maior problema é que não há vestígios, pois funciona sem implantar qualquer mente de malware ou isca de link. Ele pode ignorar as melhores práticas de segurança e bloquear o computador. Então, como isso funciona? O invasor precisa de acesso direto ao computador. De acordo com a pesquisa, leva menos de 5 minutos com as ferramentas certas.

O invasor copia o firmware do controlador Thunderbolt^{(Thunderbolt Controller Firmware)} do dispositivo de origem para o dispositivo dele. Em seguida, ele usa um patcher de firmware ( TCFP ) para desativar o modo de segurança aplicado no firmware Thunderbolt . A versão modificada é copiada de volta para o computador de destino usando o dispositivo Bus Pirate . Em seguida, um dispositivo de ataque baseado em Thunderbolt é conectado ao dispositivo que está sendo atacado. Em seguida, ele usa a ferramenta PCILeech para carregar um módulo de kernel que ignora a tela de login do Windows .

Portanto, mesmo que o computador tenha recursos de segurança como inicialização segura , ^{(Secure Boot)}BIOS forte e senhas de conta do sistema operacional, e a criptografia de disco completo habilitada, ele ainda ignorará tudo.

DICA^(TIP) : O Spycheck verificará se o seu PC está vulnerável ao ataque Thunderspy .

Dicas para se proteger contra o Thunderspy

A Microsoft recomenda^(recommends) três maneiras de se proteger contra a ameaça moderna. Alguns desses recursos integrados ao Windows podem ser aproveitados, enquanto alguns devem ser habilitados para mitigar os ataques.

• Proteções de PC de núcleo seguro
• Proteção DMA do kernel
• Integridade de código protegida por hipervisor ( HVCI )

Dito isto, tudo isso é possível em um PC com núcleo seguro. Você simplesmente não pode aplicar isso em um PC comum porque o hardware não está disponível para protegê-lo do ataque. A melhor maneira de descobrir se o seu PC é compatível é verificando a seção Devic Security do aplicativo Windows Security .

1] Proteções de PC de núcleo seguro

O Windows Security^{(Windows Security)} , o software de segurança interno da Microsoft, oferece o Windows Defender System Guard e segurança baseada em virtualização. No entanto, você precisa de um dispositivo que use PCs de núcleo seguro^{(Secured-core PCs)} . Ele usa segurança de hardware enraizada na CPU moderna para iniciar o sistema em um estado confiável. Ele ajuda a mitigar as tentativas feitas por malware no nível do firmware.

2] Proteção DMA do kernel

Introduzida no Windows 10 v1803, a proteção Kernel DMA garante o bloqueio de periféricos externos de ataques de Acesso Direto à Memória^{(Memory Access)} ( DMA ) usando dispositivos hotplug PCI , como ^(PCI)Thunderbolt . Isso significa que se alguém tentar copiar o firmware Thunderbolt malicioso para uma máquina, ele será bloqueado pela porta Thunderbolt . No entanto, se o usuário tiver o nome de usuário e a senha, ele poderá ignorá-lo.

3] Proteção reforçada^(HVCI) com integridade de código protegida por hipervisor ( ^{(Hypervisor-protected)}HVCI^(Hardening) )

A integridade de código protegida por hipervisor ou HVCI deve ser habilitada no Windows 10 . Ele isola o subsistema de integridade do código e verifica se o código do Kernel não foi verificado e assinado pela Microsoft . Ele também garante que o código do kernel não possa ser gravável e executável para garantir que o código não verificado não seja executado.

O Thunderspy^(Thunderspy) usa a ferramenta PCILeech para carregar um módulo de kernel que ignora a tela de login do Windows . O uso de HVCI^(HVCI) evitará isso, pois não permitirá que ele execute o código.

A segurança deve estar sempre no topo quando se trata de comprar computadores. Se você lida com dados que são importantes, especialmente com negócios, é recomendável comprar dispositivos de PC de núcleo seguro . ^{(Secured-core PC)}Aqui está a página oficial de tais dispositivos^{(such devices)} no site da Microsoft.

Tips to protect your computer against Thunderspy attack

Thunderbolt is the hardware brand interface developed by Intel. It acts as an interface between computer and external devices. While most of the Windows computers come with all sorts of ports, many companies use Thunderbolt to connect to various types of devices. It makes connecting easy, but according to research at the Eindhoven University of Technology, the security behind Thunderbolt can be breached using a technique — Thunderspy. In this post, we will share tips you can follow to protect your computer against Thunderspy.

What is Tunderspy? How does it work?

Its a stealth attack that allows an attacker to access direct memory access (DMA) functionality to compromise devices. The biggest problem is that there is no trace left as it works without deploying any mind of malware or link bait. It can bypass the best security practices and lock the computer.  So how does it work? The attacker needs direct access to the computer. According to the research, it takes less than5 minutes with the right tools.

The attacker copies the Thunderbolt Controller Firmware of the source device to his device. It then uses a firmware patcher (TCFP) to disable the security mode enforced in the Thunderbolt firmware. The modified version is copied back to the target computer using the Bus Pirate device. Then a Thunderbolt-based attack device is connected to the device being attacked. It then uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen.

So even if the computer has security features like Secure Boot, strong BIOS, and operating system account passwords, and enabled full disk encryption, enabled, it will still bypass everything.

TIP: Spycheck will check if your PC is vulnerable to the Thunderspy attack.

Tips to protect against Thunderspy

Microsoft recommends three ways to protect against the modern threat. Some of these features that are built into Windows can be leveraged while some should be enabled to mitigate the attacks.

• Secured-core PC protections
• Kernel DMA protection
• Hypervisor-protected code integrity (HVCI)

That said, all this is possible on a Secured-core PC. You simply cannot apply this on a regular PC because the hardware is not available that can secure it from the attack. The best way to find out if your PC supports it is by checking the Devic Security section of the Windows Security app.

1] Secured-core PC protections

Windows Security, Microsoft’s in-house security software, offers Windows Defender System Guard and virtualization-based security. However, you need a device that uses Secured-core PCs. It uses rooted hardware security in the modern CPU to launch the system into a trusted state. It helps mitigate attempts made by malware at the firmware level.

2] Kernel DMA protection

Introduced in Windows 10 v1803, Kernel DMA protection makes sure to block external peripherals from Direct Memory Access (DMA) attacks using PCI hotplug devices such as Thunderbolt. It means if someone tries to copy malicious Thunderbolt firmware to a machine, it will be blocked over the Thunderbolt port. However, if the user has the username and password,  he will be able to bypass it.

3] Hardening protection with Hypervisor-protected code integrity (HVCI)

Hypervisor-protected code integrity or HVCI should be enabled on Windows 10. It isolates the code integrity subsystem and verified that there Kernel code is not verified and signed by Microsoft. It also ensures that kernel code cannot be both writable and executable to make sure unverified code does not execute.

Thunderspy uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen. Using HVCI will make sure to prevent this as it will not allow it to execute the code.

Security should always be at the top when it comes to buying computers. If you deal with data that is important, especially with business, it is recommended to purchase Secured-core PC devices. Here is the official page of such devices on the Microsoft website.

Related posts

• Como evitar o Phishing Scams and Attacks?

• O que é remoto Access Trojan? Prevenção, Detection & Removal

• Remove virus de USB Flash Drive usando Command Prompt or Batch File

• Rogue Security Software or Scareware: Como verificar, prevenir, eliminar?

• O que é Win32: BogEnt e como removê-lo?

• Malware Submission: Onde enviar arquivos de malware para Microsoft & others?

• Como remover Virus Alert de Microsoft em Windows PC

• Melhor software gratuito de remoção de spyware e malware

• O que é IDP.Generic and How para removê-lo com segurança de Windows?

• Fileless Malware Attacks, Protection and Detection

• O que é Rootkit? Como funcionam Rootkits? Rootkits explicou

• Como usar Malware Scanner & Cleanup Tool embutido Chrome browser de

• Grátis Malware Removal Tools para remover Specific Virus em Windows 11/10

• O módulo especificado não foi encontrado erro no Windows 10

• O que estão vivendo fora dos ataques Land? Como ficar seguro?

• Como prevenir Malware - Dicas para proteger Windows 11/10

• Como você pode obter um computer virus, trojan, trabalho, spyware or malware?

• Browser Hijacking and Free Browser Hijacker Removal Tools

• 3 maneiras de se livrar de vírus, spyware e malware

• Cyber Attacks - Definição, Types, Prevenção