Thunderbolt is de hardware-merkinterface ontwikkeld door Intel . Het fungeert als een interface tussen computer en externe apparaten. Hoewel de meeste Windows -computers worden geleverd met allerlei soorten poorten, gebruiken veel bedrijven Thunderbolt om verbinding te maken met verschillende soorten apparaten. Het maakt het verbinden gemakkelijk, maar volgens onderzoek van de Technische Universiteit ^{(Eindhoven University)}Eindhoven^(Technology) kan de beveiliging achter Thunderbolt worden doorbroken met een techniek: Thunderspy . In dit bericht zullen we tips delen die u kunt volgen om uw computer te beschermen tegen Thunderspy .

Wat is Tunderspy ? Hoe werkt het?

Het is een stealth-aanval waarmee een aanvaller toegang kan krijgen tot DMA - functionaliteit (Direct Memory Access) om apparaten te compromitteren. Het grootste probleem is dat er geen spoor meer is omdat het werkt zonder enige vorm van malware of link-aas. Het kan de beste beveiligingspraktijken omzeilen en de computer vergrendelen. Dus hoe werkt het? De aanvaller heeft directe toegang tot de computer nodig. Volgens het onderzoek duurt het met de juiste tools minder dan 5 minuten.

De aanvaller kopieert de Thunderbolt Controller Firmware van het bronapparaat naar zijn apparaat. Vervolgens wordt een firmware-patcher ( TCFP ) gebruikt om de beveiligingsmodus die in de Thunderbolt - firmware wordt afgedwongen, uit te schakelen. De gewijzigde versie wordt terug naar de doelcomputer gekopieerd met behulp van het Bus Pirate -apparaat. Vervolgens wordt een op Thunderbolt gebaseerd aanvalsapparaat aangesloten op het apparaat dat wordt aangevallen. Vervolgens gebruikt het de PCILeech- tool om een ​​kernelmodule te laden die het Windows -aanmeldingsscherm omzeilt.

Dus zelfs als de computer beveiligingsfuncties heeft zoals Secure Boot , sterke BIOS- en besturingssysteemaccountwachtwoorden en volledige schijfversleuteling ingeschakeld heeft, zal hij nog steeds alles omzeilen.

TIP : Spycheck controleert of uw pc kwetsbaar is voor de Thunderspy-aanval .

Tips om te beschermen tegen Thunderspy

Microsoft beveelt^(recommends) drie manieren aan om te beschermen tegen de moderne dreiging. Sommige van deze functies die in Windows zijn ingebouwd, kunnen worden gebruikt, terwijl andere moeten worden ingeschakeld om de aanvallen te verminderen.

• Secured-core pc-beveiliging
• Kernel DMA-bescherming
• Door hypervisor beschermde code-integriteit ( HVCI )

Dat gezegd hebbende, dit is allemaal mogelijk op een Secured-core pc. Je kunt dit simpelweg niet toepassen op een gewone pc omdat de hardware niet beschikbaar is die hem tegen de aanval kan beveiligen. De beste manier om erachter te komen of uw pc dit ondersteunt, is door het gedeelte Devic Security van de Windows Security- app te controleren.

1] Secured-core pc-beveiliging

Windows Security , de interne beveiligingssoftware van Microsoft, biedt Windows Defender System Guard en op virtualisatie gebaseerde beveiliging. U hebt echter een apparaat nodig dat gebruikmaakt van Secured-core pc's . Het maakt gebruik van geroote hardwarebeveiliging in de moderne CPU om het systeem in een vertrouwde staat te brengen. Het helpt pogingen van malware op firmwareniveau te verminderen.

2] Kernel DMA-bescherming

Geïntroduceerd in Windows 10 v1803, zorgt Kernel DMA - bescherming ervoor dat externe randapparatuur wordt geblokkeerd tegen DMA - aanvallen ( Direct Memory Access ) met behulp van ^{(Memory Access)}PCI -hotplug-apparaten zoals Thunderbolt . Het betekent dat als iemand probeert kwaadaardige Thunderbolt -firmware naar een machine te kopiëren, deze via de ^{(Thunderbolt)}Thunderbolt - poort wordt geblokkeerd . Als de gebruiker echter de gebruikersnaam en het wachtwoord heeft, kan hij deze omzeilen.

3] Harde^(Hardening) bescherming met door Hypervisor beschermde^{(Hypervisor-protected)} code-integriteit ( HVCI )

Door hypervisor beschermde code-integriteit of HVCI moet worden ingeschakeld op Windows 10 . Het isoleert het code-integriteitssubsysteem en verifieert dat de kernelcode^(Kernel) niet is geverifieerd en ondertekend door Microsoft . Het zorgt er ook voor dat kernelcode niet zowel beschrijfbaar als uitvoerbaar kan zijn om ervoor te zorgen dat niet-geverifieerde code niet wordt uitgevoerd.

Thunderspy gebruikt de PCILeech- tool om een ​​kernelmodule te laden die het Windows -aanmeldingsscherm omzeilt. Het gebruik van HVCI^(HVCI) zorgt ervoor dat dit wordt voorkomen, omdat het de code niet kan uitvoeren.

Beveiliging moet altijd bovenaan staan ​​als het gaat om het kopen van computers. Als je te maken hebt met data die belangrijk zijn, vooral zakelijk, is het aan te raden om Secured-core pc- apparaten aan te schaffen. Hier is de officiële pagina van dergelijke apparaten^{(such devices)} op de Microsoft-website.

Tips to protect your computer against Thunderspy attack

Thunderbolt is the hardware brand interface developed by Intel. It acts as an interface between computer and external devices. While most of the Windows computers come with all sorts of ports, many companies use Thunderbolt to connect to various types of devices. It makes connecting easy, but according to research at the Eindhoven University of Technology, the security behind Thunderbolt can be breached using a technique — Thunderspy. In this post, we will share tips you can follow to protect your computer against Thunderspy.

What is Tunderspy? How does it work?

Its a stealth attack that allows an attacker to access direct memory access (DMA) functionality to compromise devices. The biggest problem is that there is no trace left as it works without deploying any mind of malware or link bait. It can bypass the best security practices and lock the computer.  So how does it work? The attacker needs direct access to the computer. According to the research, it takes less than5 minutes with the right tools.

The attacker copies the Thunderbolt Controller Firmware of the source device to his device. It then uses a firmware patcher (TCFP) to disable the security mode enforced in the Thunderbolt firmware. The modified version is copied back to the target computer using the Bus Pirate device. Then a Thunderbolt-based attack device is connected to the device being attacked. It then uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen.

So even if the computer has security features like Secure Boot, strong BIOS, and operating system account passwords, and enabled full disk encryption, enabled, it will still bypass everything.

TIP: Spycheck will check if your PC is vulnerable to the Thunderspy attack.

Tips to protect against Thunderspy

Microsoft recommends three ways to protect against the modern threat. Some of these features that are built into Windows can be leveraged while some should be enabled to mitigate the attacks.

• Secured-core PC protections
• Kernel DMA protection
• Hypervisor-protected code integrity (HVCI)

That said, all this is possible on a Secured-core PC. You simply cannot apply this on a regular PC because the hardware is not available that can secure it from the attack. The best way to find out if your PC supports it is by checking the Devic Security section of the Windows Security app.

1] Secured-core PC protections

Windows Security, Microsoft’s in-house security software, offers Windows Defender System Guard and virtualization-based security. However, you need a device that uses Secured-core PCs. It uses rooted hardware security in the modern CPU to launch the system into a trusted state. It helps mitigate attempts made by malware at the firmware level.

2] Kernel DMA protection

Introduced in Windows 10 v1803, Kernel DMA protection makes sure to block external peripherals from Direct Memory Access (DMA) attacks using PCI hotplug devices such as Thunderbolt. It means if someone tries to copy malicious Thunderbolt firmware to a machine, it will be blocked over the Thunderbolt port. However, if the user has the username and password,  he will be able to bypass it.

3] Hardening protection with Hypervisor-protected code integrity (HVCI)

Hypervisor-protected code integrity or HVCI should be enabled on Windows 10. It isolates the code integrity subsystem and verified that there Kernel code is not verified and signed by Microsoft. It also ensures that kernel code cannot be both writable and executable to make sure unverified code does not execute.

Thunderspy uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen. Using HVCI will make sure to prevent this as it will not allow it to execute the code.

Security should always be at the top when it comes to buying computers. If you deal with data that is important, especially with business, it is recommended to purchase Secured-core PC devices. Here is the official page of such devices on the Microsoft website.

Related posts

• Hoe phishing-zwendel en -aanvallen te voorkomen?

• Wat is een trojan voor externe toegang? Preventie, detectie en verwijdering

• Verwijder het virus van de USB Flash Drive met behulp van de opdrachtprompt of batchbestand

• Rogue Security Software of Scareware: hoe controleren, voorkomen, verwijderen?

• Wat is Win32: BogEnt en hoe verwijder je het?

• IObit Malware Fighter Gratis beoordeling en download

• Voorkom Drive-by-downloads en gerelateerde malware-aanvallen

• Crystal Security is een gratis cloudgebaseerde malwaredetectietool voor pc

• Wat zijn Living Off The Land-aanvallen? Hoe veilig blijven?

• De beste virus- en malwarescanners GEGARANDEERD om elk virus te vernietigen

• Hulpprogramma's voor extern beheer: risico's, bedreigingen, preventie

• De opgegeven module kan niet worden gevonden fout op Windows 11/10

• Hoe te controleren of een bestand kwaadaardig is of niet op Windows 11/10

• Fix Zoeken mislukt fout bij het uitvoeren van Chrome Malware Scanner

• Bundelware: handleiding voor definitie, preventie en verwijdering

• Beste online online malwarescanners om een ​​bestand te scannen

• Cryptojacking, de nieuwe bedreiging voor browsermining die u moet kennen

• Gratis hulpprogramma's voor het verwijderen van malware om een ​​specifiek virus te verwijderen in Windows 11/10

• Cyberaanvallen - Definitie, typen, preventie

• Wat is CandyOpen? Hoe CandyOpen van Windows 10 te verwijderen?