Заобикаляне на Boot Guard: Открита е уязвимост в BIOS-а на лаптопи на Gigabyte и Clevo

В края на февруари 2025 Binarly получи доклад за подозрителен инцидент в UEFI екосистемата. Запис в публичното хранилище SupplyChainAttacks посочва изтичане на частни ключове Boot Guard във фърмуера на устройствата Clevo. Източникът е форумът Win-Raid, където потребител е открил частните ключове в публичното пространство като част от пакет за актуализация на BIOS.

Подозренията се потвърдиха: изследването показа, че бинарният файл BootGuardKey.exe наистина съдържа два частни ключа, дублирани и в отделни PEM-файлове. Извлечените ключови модули съвпадат с модулите, използвани в ключовия манифест на Boot Guard и манифеста на политиката за зареждане във фърмуера на Clevo. Това означава, че атакуващият може да подпише злонамерен фърмуер, който успешно да се удостовери на ниво платформа, заобикаляйки механизма за сигурност на Boot Guard.

Binarly идентифицира 15 фърмуера с разкрити ключове, обхващащи 10 уникални устройства. Всички те използват BIOS от Insyde и са произведени на платформата ODM на Clevo. Те включват моделите G5, G6 и G7 на Gigabyte, включително излезлия през тази година G6X 9KG.

Забележително е, че засегнатите устройства включват както остарели модели, така и актуални версии на фърмуера. С други думи, компрометираните ключове продължават да се използват в настоящите продукти, което прави потенциалната заплаха особено опасна.

В списъка са включени и два системни BIOS-а с име NoteBook System Firmware, които не са пряко свързани с конкретни марки устройства, което подсказва за възможно участие на други OEM производители.

Важно е да се подчертае, че проблемът засяга само устройства, базирани на платформи Clevo. В обширната база данни на Binarly, включваща над 200 000 пакета фърмуер от различни производители не са открити подобни течове сред други производители. Това предполага, че инцидентът е свързан предимно с грешки в управлението на ключовете при конкретен ODM.

На 28 февруари Binarly изпрати уведомление за уязвимост под код BRLY-2025-002 до координационния център CERT/CC. Случаят обаче беше затворен няколко дни по-късно без подробно обяснение. Екипът на Binarly планира да разкаже всички подробности за инцидента и повтарящите се грешки в управлението на ключовете на предстоящата конференция RSA.