Uma falha no carregador de inicialização do Linux GRUB2 pode ser usada para comprometer o processo de inicialização segura da maioria dos computadores e servidores, inclusive máquinas com o Windows e de outros sistemas operacionais. GRUB2, acrônimo de Grand Unified Bootloader versão 2, é o carregador de inicialização padrão usado pela maioria dos sistemas Linux. É um software relativamente complexo que suporta muitos recursos e configurações, portanto, toda distribuição Linux mantém seu próprio gerenciador de inicialização baseado no GRUB2.
Um patch de correção foi disponibilizado nesta quarta-feira, 29, mas exigirá teste e implantação manuais e provavelmente levará muito tempo. É razoável esperar que alguns sistemas nunca sejam atualizados e permaneçam vulneráveis a malware no tocante a inicialização e a modificações de firmware não autorizadas, segundo pesquisadores de segurança.
Uma ferramenta que pode auxiliar nesse processo é o Secure Boot, mecanismo padronizado que verifica criptograficamente a integridade de todos os componentes envolvidos no processo de inicialização de um computador até que o sistema operacional seja inicializado e assuma a execução. A Inicialização segura é um recurso da UEFI (Unified Extensible Firmware Interface), que substituiu o firmware herdado do BIOS (Basic Input/Output System) em todos os computadores modernos. Entretanto, o Secure Boot não é uma solução perfeita e as vulnerabilidades em certas implementações da UEFI no passado permitiram que invasores ignorassem a verificação, mas esses ataques geralmente eram limitados a fabricantes de computadores específicos ou variantes da UEFI.
A vulnerabilidade do GRUB2 encontrada por pesquisadores da empresa de segurança Eclypsium, no entanto, pode ter um impacto muito mais amplo devido à versatilidade do GRUB: pode ser usada para inicializar diferentes sistemas operacionais, incluindo o Windows, por exemplo, em configurações de inicialização dupla ou inicialização múltipla. Isso significa que, se os invasores quiserem instalar um kit de inicialização em um computador Windows com a inicialização segura ativada, eles poderão substituir o carregador de inicialização do Windows por um “calço” assinado de uma distribuição Linux e uma versão do GRUB2 com essa vulnerabilidade. Em seguida, eles podem configurar o GRUB2 para inicializar o Windows e explorar a vulnerabilidade para obter o controle do sistema operacional.
Veja isso
Windows e Linux são alvos do ransomware Tycoon
Servidores Linux estão sob ataque há uma década
Convém observar que quase todas as implementações de UEFI são fornecidas com uma chave raiz que pertence à Microsoft e estabelece a raiz da confiança para toda a plataforma. Isso é conhecido como Autoridade de Certificação UEFI (CA) da Microsoft. Depois que o Secure Boot é ativado no computador, todos os componentes de inicialização precisam ser assinados com uma chave vinculada a esta CA para o sistema operacional iniciar, o que significa que as distribuições Linux também precisam ter seus gerenciadores de inicialização assinados pela Microsoft.
Os pesquisadores da Eclypsium descobriram também uma vulnerabilidade de buffer overflow na maneira como o GRUB2 analisa o conteúdo de seu arquivo de configuração chamado grub.cfg. Enquanto o binário do GRUB geralmente é assinado, seu arquivo de configuração não é para ser editável por administradores de sistema que desejam alterar opções diferentes de como o sistema operacional é inicializado ou adicionar entradas de inicialização ao configurar computadores com várias opções de sistemas operacionais.
Ao adicionar conteúdo criado especificamente no arquivo de configuração, os invasores podem explorar a vulnerabilidade para executar códigos maliciosos no contexto do gerenciador de inicialização confiável antes que o sistema operacional seja iniciado. Isso lhes confere uma posição altamente privilegiada e persistência no sistema, além de controle total sobre o sistema operacional e seu kernel.
Os ataques no nível de inicialização, conhecidos como rootkits de inicialização ou simplesmente bootkits, costumavam ser bastante comuns há uma década e eram um dos principais motivos pelos quais o Secure Boot foi criado. Esses ataques ainda existem e podem ter como alvo sistemas que não têm o Secure Boot ativado. Por exemplo, os ransomwares Petya e NotPetya eram conhecidos por criptografar ou pelo MBR (Master Boot Record) de computadores. Uma quadrilha de criminosos cibernéticos conhecida como FIN1 usou um utilitário para modificar o VBR (Volume Boot Record) do sistema e iniciar o backdoor do Nemesis antes que o Windows ou o software de segurança tivesse a chance de inicializar completamente.
