Thunderbolt คืออินเทอร์เฟซ ของแบรนด์ฮาร์ดแวร์ที่พัฒนาโดยIntel มันทำหน้าที่เป็นส่วนต่อประสานระหว่างคอมพิวเตอร์และอุปกรณ์ภายนอก แม้ว่าคอมพิวเตอร์ Windows^(Windows)ส่วนใหญ่จะมาพร้อมกับพอร์ตทุกประเภท หลายบริษัทก็ใช้Thunderboltเพื่อเชื่อมต่อกับอุปกรณ์ประเภทต่างๆ ทำให้การเชื่อมต่อเป็นเรื่องง่าย แต่จากการวิจัยของEindhoven University of Technologyการรักษาความปลอดภัยที่อยู่เบื้องหลังThunderboltสามารถเจาะทะลุได้โดยใช้เทคนิค- Thunderspy ในโพสต์นี้ เราจะแบ่งปันเคล็ดลับที่คุณสามารถปฏิบัติตามเพื่อปกป้องคอมพิวเตอร์ของคุณจากThunderspy

ทันเดอร์สปี้^(Tunderspy)คืออะไร? มันทำงานอย่างไร?

เป็นการโจมตีแบบซ่อนตัวที่ช่วยให้ผู้โจมตีสามารถเข้าถึงฟังก์ชันการเข้าถึงหน่วยความจำโดยตรง ( DMA ) เพื่อประนีประนอมอุปกรณ์ ปัญหาที่ใหญ่ที่สุดคือไม่มีร่องรอยเหลืออยู่ในขณะที่ทำงานโดยไม่ต้องปรับใช้มัลแวร์หรือลิงค์เหยื่อ สามารถข้ามแนวทางปฏิบัติด้านความปลอดภัยที่ดีที่สุดและล็อกคอมพิวเตอร์ได้ แล้วมันทำงานอย่างไร? ผู้โจมตีจำเป็นต้องเข้าถึงคอมพิวเตอร์โดยตรง จากการวิจัยพบว่าการใช้เครื่องมือที่เหมาะสมใช้เวลาไม่ถึง 5 นาที

ผู้โจมตีคัดลอกเฟิร์มแวร์ตัวควบคุม Thunderbolt^{(Thunderbolt Controller Firmware)}ของอุปกรณ์ต้นทางไปยังอุปกรณ์ของเขา จากนั้นใช้ตัวแก้ไขเฟิร์มแวร์ ( TCFP ) เพื่อปิดใช้งานโหมดความปลอดภัยที่บังคับใช้ในเฟิร์มแวร์Thunderbolt เวอร์ชันที่แก้ไขจะถูกคัดลอกกลับไปที่คอมพิวเตอร์เป้าหมายโดยใช้อุปกรณ์Bus Pirate จากนั้นอุปกรณ์โจมตีที่ ใช้ Thunderboltจะเชื่อมต่อกับอุปกรณ์ที่ถูกโจมตี จากนั้นใช้ เครื่องมือ PCILeechเพื่อโหลดโมดูลเคอร์เนลที่ข้ามหน้าจอลงชื่อเข้าใช้Windows

ดังนั้นแม้ว่าคอมพิวเตอร์จะมีคุณลักษณะด้านความปลอดภัย เช่นSecure Boot , BIOSที่รัดกุมและรหัสผ่านของบัญชีระบบปฏิบัติการ และเปิดใช้งานการเข้ารหัสดิสก์ทั้งหมด ก็ยังจะข้ามทุกอย่างได้

เคล็ดลับ^(TIP) : Spycheck จะตรวจสอบว่าพีซีของคุณเสี่ยงต่อการถูกโจมตีจาก Thunderspyหรือไม่

เคล็ดลับในการป้องกัน Thunderspy

Microsoft แนะนำ^(recommends)สามวิธีในการป้องกันภัยคุกคามสมัยใหม่ คุณลักษณะเหล่านี้บางส่วนที่สร้างขึ้นใน Windows สามารถใช้ประโยชน์ได้ในขณะที่บางส่วนควรเปิดใช้งานเพื่อลดการโจมตี

• การปกป้องพีซีแบบคอร์ที่ปลอดภัย
• การป้องกันเคอร์เนล DMA
• ความสมบูรณ์ของรหัสที่ป้องกันโดยไฮเปอร์ไวเซอร์ ( HVCI )

ที่กล่าวมา ทั้งหมดนี้เป็นไปได้บนพีซีแบบ Secured-core คุณไม่สามารถใช้สิ่งนี้กับพีซีทั่วไปได้เนื่องจากไม่มีฮาร์ดแวร์ที่สามารถป้องกันการโจมตีได้ วิธีที่ดีที่สุดในการค้นหาว่าพีซีของคุณรองรับหรือไม่ โดยการตรวจสอบ ส่วน ความปลอดภัย^{(Devic Security)}ของอุปกรณ์ในแอพWindows Security

1] การปกป้องพีซีแบบคอร์ที่ปลอดภัย

Windows Securityซึ่งเป็นซอฟต์แวร์รักษาความปลอดภัยภายในของ Microsoft มีWindows Defender System Guardและการรักษาความปลอดภัยแบบเวอร์ชวลไลเซชัน อย่างไรก็ตาม คุณต้องมีอุปกรณ์ที่ใช้ พีซี แบบSecured-core ^{(Secured-core PCs)}ใช้การรักษาความปลอดภัยฮาร์ดแวร์ที่รูทในCPU สมัยใหม่ เพื่อเปิดใช้ระบบในสถานะที่เชื่อถือได้ ช่วยลดความพยายามของมัลแวร์ในระดับเฟิร์มแวร์

2] การป้องกันเคอร์เนล DMA

เปิดตัวในWindows 10 v1803 การป้องกัน Kernel DMAทำให้แน่ใจได้ว่าจะบล็อกอุปกรณ์ต่อพ่วงภายนอกจากการโจมตี Direct Memory Access ( DMA ) โดยใช้อุปกรณ์ฮอต ปลั๊กPCIเช่นThunderbolt หมายความว่าถ้ามีคนพยายามคัดลอก เฟิร์มแวร์ Thunderbolt ที่เป็นอันตราย ไปยังเครื่อง เครื่องนั้นจะถูกบล็อกผ่านพอร์ตThunderbolt อย่างไรก็ตาม หากผู้ใช้มีชื่อผู้ใช้และรหัสผ่าน เขาจะสามารถเลี่ยงผ่านได้

3] การป้องกันการ ชุบแข็ง^(Hardening) ด้วย ความสมบูรณ์ของรหัส ที่ ป้องกันโดยHypervisor ( ^{(Hypervisor-protected)}HVCI )

ความสมบูรณ์ของโค้ดที่ป้องกันโดย Hypervisor หรือHVCIควรเปิดใช้งานบนWindows^{(Windows 10)} 10 มันแยกระบบย่อยความสมบูรณ์ของรหัสและตรวจสอบว่ามี รหัส เคอร์เนล^(Kernel)ไม่ได้รับการยืนยันและลงนามโดยMicrosoft นอกจากนี้ยังช่วยให้แน่ใจว่าโค้ดเคอร์เนลไม่สามารถเขียนได้และรันได้ เพื่อให้แน่ใจว่าโค้ดที่ไม่ผ่านการตรวจสอบจะไม่ทำงาน

Thunderspyใช้ เครื่องมือ PCILeechเพื่อโหลดโมดูลเคอร์เนลที่ข้ามหน้าจอลงชื่อเข้าใช้Windows การใช้HVCIจะช่วยป้องกันไม่ให้เกิดปัญหานี้ เนื่องจากจะไม่อนุญาตให้เรียกใช้โค้ด

ความปลอดภัยควรอยู่ที่ด้านบนสุดเสมอเมื่อต้องซื้อคอมพิวเตอร์ หากคุณจัดการกับข้อมูลที่มีความสำคัญ โดยเฉพาะอย่างยิ่งกับธุรกิจ ขอแนะนำให้ซื้ออุปกรณ์พีซีแบบ Secured-core ^{(Secured-core PC)}นี่คือหน้าอย่างเป็นทางการของอุปกรณ์ดังกล่าว^{(such devices)}บนเว็บไซต์ของ Microsoft

Tips to protect your computer against Thunderspy attack

Thunderbolt is the hardware brand interface developed by Intel. It acts as an interface between computer and external devices. While most of the Windows computers come with all sorts of ports, many companies use Thunderbolt to connect to various types of devices. It makes connecting easy, but according to research at the Eindhoven University of Technology, the security behind Thunderbolt can be breached using a technique — Thunderspy. In this post, we will share tips you can follow to protect your computer against Thunderspy.

What is Tunderspy? How does it work?

Its a stealth attack that allows an attacker to access direct memory access (DMA) functionality to compromise devices. The biggest problem is that there is no trace left as it works without deploying any mind of malware or link bait. It can bypass the best security practices and lock the computer.  So how does it work? The attacker needs direct access to the computer. According to the research, it takes less than5 minutes with the right tools.

The attacker copies the Thunderbolt Controller Firmware of the source device to his device. It then uses a firmware patcher (TCFP) to disable the security mode enforced in the Thunderbolt firmware. The modified version is copied back to the target computer using the Bus Pirate device. Then a Thunderbolt-based attack device is connected to the device being attacked. It then uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen.

So even if the computer has security features like Secure Boot, strong BIOS, and operating system account passwords, and enabled full disk encryption, enabled, it will still bypass everything.

TIP: Spycheck will check if your PC is vulnerable to the Thunderspy attack.

Tips to protect against Thunderspy

Microsoft recommends three ways to protect against the modern threat. Some of these features that are built into Windows can be leveraged while some should be enabled to mitigate the attacks.

• Secured-core PC protections
• Kernel DMA protection
• Hypervisor-protected code integrity (HVCI)

That said, all this is possible on a Secured-core PC. You simply cannot apply this on a regular PC because the hardware is not available that can secure it from the attack. The best way to find out if your PC supports it is by checking the Devic Security section of the Windows Security app.

1] Secured-core PC protections

Windows Security, Microsoft’s in-house security software, offers Windows Defender System Guard and virtualization-based security. However, you need a device that uses Secured-core PCs. It uses rooted hardware security in the modern CPU to launch the system into a trusted state. It helps mitigate attempts made by malware at the firmware level.

2] Kernel DMA protection

Introduced in Windows 10 v1803, Kernel DMA protection makes sure to block external peripherals from Direct Memory Access (DMA) attacks using PCI hotplug devices such as Thunderbolt. It means if someone tries to copy malicious Thunderbolt firmware to a machine, it will be blocked over the Thunderbolt port. However, if the user has the username and password,  he will be able to bypass it.

3] Hardening protection with Hypervisor-protected code integrity (HVCI)

Hypervisor-protected code integrity or HVCI should be enabled on Windows 10. It isolates the code integrity subsystem and verified that there Kernel code is not verified and signed by Microsoft. It also ensures that kernel code cannot be both writable and executable to make sure unverified code does not execute.

Thunderspy uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen. Using HVCI will make sure to prevent this as it will not allow it to execute the code.

Security should always be at the top when it comes to buying computers. If you deal with data that is important, especially with business, it is recommended to purchase Secured-core PC devices. Here is the official page of such devices on the Microsoft website.

Related posts

• วิธีหลีกเลี่ยง Phishing Scams and Attacks?

• Access Trojan ระยะไกลคืออะไร การป้องกัน, Detection & Removal

• Remove virus จาก USB Flash Drive ใช้ Command Prompt or Batch File

• Rogue Security Software or Scareware: วิธีการตรวจสอบป้องกันลบ?

• Win32: BogEnt คืออะไรและวิธีการลบมัน?

• Cryptojacking browser mining threat ใหม่ที่คุณต้องรู้เกี่ยวกับ

• สุดยอดซอฟต์แวร์กำจัดสปายแวร์และมัลแวร์ฟรี

• Microsoft Windows Logo process ใน Task Manager; มันเป็นไวรัสหรือไม่

• วิธีใช้ Avast Boot Scan เพื่อลบ Malware จาก Windows PC

• วิธีการใช้ Malwarebytes Anti-Malware เพื่อลบ Malware

• Crystal Security เป็นฟรี Cloud ที่ใช้ Malware Detection Tool สำหรับพีซี

• สุดยอดออนไลน์ Online Malware Scanners เพื่อสแกนไฟล์

• ระยะไกล Administration Tools: ความเสี่ยง Threats, Prevention

• คุณจะได้รับ computer virus, โทรจันทำงานได้อย่างไร spyware or malware

• Browser Hijacking and Free Browser Hijacker Removal Tools

• IObit Malware Fighter Free review & download

• ฟรี Malware Removal Tools เพื่อลบ Specific Virus ใน Windows 11/10

• วิธีการถอนการติดตั้งหรือลบ Driver Tonic จาก Windows 10

• ไวรัส IDP.Generic คืออะไรและวิธีการลบมัน?

• Fileless Malware Attacks, Protection and Detection