Thunderbolt es la interfaz de marca de hardware desarrollada por Intel . Actúa como una interfaz entre la computadora y los dispositivos externos. Si bien la mayoría de las computadoras con Windows vienen con todo tipo de puertos, muchas empresas usan Thunderbolt para conectarse a varios tipos de dispositivos. Facilita la conexión, pero según una investigación de la Universidad Tecnológica^(Technology) de Eindhoven^{(Eindhoven University)} , la seguridad detrás de Thunderbolt se puede violar mediante una técnica: Thunderspy . En esta publicación, compartiremos consejos que puede seguir para proteger su computadora contra Thunderspy .

¿Qué es Tunderspy ? ¿Como funciona?

Es un ataque sigiloso que permite a un atacante acceder a la funcionalidad de acceso directo a la memoria ( DMA ) para comprometer los dispositivos. El mayor problema es que no queda rastro, ya que funciona sin desplegar ninguna mente de malware o link bait. Puede eludir las mejores prácticas de seguridad y bloquear la computadora. ¿Entonces, cómo funciona? El atacante necesita acceso directo a la computadora. Según la investigación, lleva menos de 5 minutos con las herramientas adecuadas.

El atacante copia el firmware del controlador Thunderbolt^{(Thunderbolt Controller Firmware)} del dispositivo de origen en su dispositivo. Luego usa un parcheador de firmware ( TCFP ) para deshabilitar el modo de seguridad aplicado en el firmware Thunderbolt . La versión modificada se vuelve a copiar en la computadora de destino utilizando el dispositivo Bus Pirate . Luego, un dispositivo de ataque basado en Thunderbolt se conecta al dispositivo atacado. A continuación, utiliza la herramienta PCILeech para cargar un módulo de kernel que pasa por alto la pantalla de inicio de sesión de Windows .

Por lo tanto, incluso si la computadora tiene funciones de seguridad como Arranque seguro , ^{(Secure Boot)}BIOS sólido y contraseñas de cuenta del sistema operativo, y habilita el cifrado de disco completo, seguirá omitiendo todo.

SUGERENCIA^(TIP) : Spycheck verificará si su PC es vulnerable al ataque Thunderspy .

Consejos para protegerse contra Thunderspy

Microsoft recomienda^(recommends) tres formas de protegerse contra la amenaza moderna. Algunas de estas funciones integradas en Windows se pueden aprovechar, mientras que otras se deben habilitar para mitigar los ataques.

• Protecciones de PC de núcleo seguro
• Protección DMA del núcleo
• Integridad de código protegido por hipervisor ( HVCI )

Dicho esto, todo esto es posible en una PC con núcleo seguro. Simplemente no puede aplicar esto en una PC normal porque no hay hardware disponible que pueda protegerlo del ataque. La mejor manera de averiguar si su PC lo admite es consultando la sección Seguridad de Devic de la aplicación ^{(Devic Security)}Seguridad de Windows^{(Windows Security)} .

1] Protecciones de PC de núcleo seguro

Windows Security , el software de seguridad interno de Microsoft, ofrece Windows Defender System Guard y seguridad basada en virtualización. Sin embargo, necesita un dispositivo que use PC con núcleo seguro^{(Secured-core PCs)} . Utiliza seguridad de hardware rooteado en la CPU moderna para iniciar el sistema en un estado confiable. Ayuda a mitigar los intentos realizados por malware a nivel de firmware.

2] Protección DMA del núcleo

Introducida en Windows 10 v1803, la protección Kernel DMA se asegura de bloquear los periféricos externos de los ataques de acceso directo a la memoria^{(Memory Access)} ( DMA ) mediante dispositivos ^(DMA)PCI hotplug como Thunderbolt . Significa que si alguien intenta copiar firmware Thunderbolt malicioso en una máquina, se bloqueará en el puerto Thunderbolt . Sin embargo, si el usuario tiene el nombre de usuario y la contraseña, podrá omitirlo.

3] Protección de refuerzo^(Hardening) con integridad de código protegido por hipervisor ( ^{(Hypervisor-protected)}HVCI )

La integridad del código protegido por hipervisor o HVCI debe estar habilitada en Windows 10 . Aísla el subsistema de integridad del código y verifica que el código del Kernel no esté verificado ni firmado por Microsoft . También garantiza que el código del kernel no se pueda escribir ni ejecutar para asegurarse de que el código no verificado no se ejecute.

Thunderspy utiliza la herramienta PCILeech para cargar un módulo de kernel que pasa por alto la pantalla de inicio de sesión de Windows . El uso de HVCI^(HVCI) se asegurará de evitar esto, ya que no le permitirá ejecutar el código.

La seguridad siempre debe estar en la cima cuando se trata de comprar computadoras. Si maneja datos que son importantes, especialmente con negocios, se recomienda comprar dispositivos de PC con núcleo seguro . ^{(Secured-core PC)}Aquí está la página oficial de dichos dispositivos^{(such devices)} en el sitio web de Microsoft.

Tips to protect your computer against Thunderspy attack

Thunderbolt is the hardware brand interface developed by Intel. It acts as an interface between computer and external devices. While most of the Windows computers come with all sorts of ports, many companies use Thunderbolt to connect to various types of devices. It makes connecting easy, but according to research at the Eindhoven University of Technology, the security behind Thunderbolt can be breached using a technique — Thunderspy. In this post, we will share tips you can follow to protect your computer against Thunderspy.

What is Tunderspy? How does it work?

Its a stealth attack that allows an attacker to access direct memory access (DMA) functionality to compromise devices. The biggest problem is that there is no trace left as it works without deploying any mind of malware or link bait. It can bypass the best security practices and lock the computer.  So how does it work? The attacker needs direct access to the computer. According to the research, it takes less than5 minutes with the right tools.

The attacker copies the Thunderbolt Controller Firmware of the source device to his device. It then uses a firmware patcher (TCFP) to disable the security mode enforced in the Thunderbolt firmware. The modified version is copied back to the target computer using the Bus Pirate device. Then a Thunderbolt-based attack device is connected to the device being attacked. It then uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen.

So even if the computer has security features like Secure Boot, strong BIOS, and operating system account passwords, and enabled full disk encryption, enabled, it will still bypass everything.

TIP: Spycheck will check if your PC is vulnerable to the Thunderspy attack.

Tips to protect against Thunderspy

Microsoft recommends three ways to protect against the modern threat. Some of these features that are built into Windows can be leveraged while some should be enabled to mitigate the attacks.

• Secured-core PC protections
• Kernel DMA protection
• Hypervisor-protected code integrity (HVCI)

That said, all this is possible on a Secured-core PC. You simply cannot apply this on a regular PC because the hardware is not available that can secure it from the attack. The best way to find out if your PC supports it is by checking the Devic Security section of the Windows Security app.

1] Secured-core PC protections

Windows Security, Microsoft’s in-house security software, offers Windows Defender System Guard and virtualization-based security. However, you need a device that uses Secured-core PCs. It uses rooted hardware security in the modern CPU to launch the system into a trusted state. It helps mitigate attempts made by malware at the firmware level.

2] Kernel DMA protection

Introduced in Windows 10 v1803, Kernel DMA protection makes sure to block external peripherals from Direct Memory Access (DMA) attacks using PCI hotplug devices such as Thunderbolt. It means if someone tries to copy malicious Thunderbolt firmware to a machine, it will be blocked over the Thunderbolt port. However, if the user has the username and password,  he will be able to bypass it.

3] Hardening protection with Hypervisor-protected code integrity (HVCI)

Hypervisor-protected code integrity or HVCI should be enabled on Windows 10. It isolates the code integrity subsystem and verified that there Kernel code is not verified and signed by Microsoft. It also ensures that kernel code cannot be both writable and executable to make sure unverified code does not execute.

Thunderspy uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen. Using HVCI will make sure to prevent this as it will not allow it to execute the code.

Security should always be at the top when it comes to buying computers. If you deal with data that is important, especially with business, it is recommended to purchase Secured-core PC devices. Here is the official page of such devices on the Microsoft website.

Related posts

• ¿Cómo evitar Phishing Scams and Attacks?

• ¿Qué es remoto Access Trojan? Prevención, Detection & Removal

• Remove virus de USB Flash Drive usando Command Prompt or Batch File

• Rogue Security Software or Scareware: ¿Cómo comprobar, prevenir, eliminar?

• ¿Qué es Win32: BogEnt y cómo eliminarlo?

• DLL Hijacking Vulnerability Attacks, Prevention & Detection

• Cómo prevenir Malware - Consejos para asegurar Windows 11/10

• ¿Cómo puedes obtener un computer virus, Trojan, trabajo, spyware or malware?

• Cómo verificar si un archivo es malicioso o no en Windows 11/10

• ¿Qué es un Backdoor attack? Meaning, Examples, Definitions

• Cómo usar el Chrome browser incorporado Malware Scanner & Cleanup Tool

• Fileless Malware Attacks, Protection and Detection

• Prevent Drive-by descargas y ataques de malware relacionados

• Cómo usar Avast Boot Scan para eliminar Malware de Windows PC

• Microsoft Windows Logo process en Task Manager; ¿Es un virus?

• 3 Maneras de Deshacerse de Virus, Spyware y Malware

• Cómo eliminar Virus Alert de Microsoft en Windows PC

• Cómo eliminar Malware de su PC en Windows 10

• BUNDLEWARE: DEFINICIÓN, Prevention, Removal Guide

• REMOTO Administration Tools: RIESGOS, Threats, Prevention