Thunderbolt هي واجهة العلامة التجارية للأجهزة التي طورتها Intel . يعمل كواجهة بين الكمبيوتر والأجهزة الخارجية. بينما تأتي معظم أجهزة الكمبيوتر التي تعمل بنظام Windows^(Windows) مع جميع أنواع المنافذ ، تستخدم العديد من الشركات Thunderbolt للاتصال بأنواع مختلفة من الأجهزة. إنه يجعل الاتصال سهلاً ، ولكن وفقًا لبحث في جامعة ^(Technology)أيندهوفن^{(Eindhoven University)} للتكنولوجيا ، يمكن اختراق الأمان وراء Thunderbolt باستخدام تقنية - ^{(Thunderbolt)}Thunderspy . في هذا المنشور ، سنشارك النصائح التي يمكنك اتباعها لحماية جهاز الكمبيوتر الخاص بك من Thunderspy .

ما هو تندرسبي^(Tunderspy) ؟ كيف يعمل؟

إنه هجوم خفي يسمح للمهاجم بالوصول إلى وظيفة الوصول المباشر للذاكرة ( DMA ) لاختراق الأجهزة. المشكلة الأكبر هي أنه لم يتبق أي أثر لأنه يعمل دون نشر أي عقل للبرامج الضارة أو طعم الروابط. يمكنه تجاوز أفضل ممارسات الأمان وقفل الكمبيوتر. فكيف يعمل؟ يحتاج المهاجم إلى وصول مباشر إلى الكمبيوتر. وفقًا للبحث ، يستغرق الأمر أقل من 5 دقائق باستخدام الأدوات المناسبة.

ينسخ المهاجم البرنامج الثابت لجهاز التحكم Thunderbolt^{(Thunderbolt Controller Firmware)} الخاص بالجهاز المصدر إلى جهازه. ثم يستخدم مصحح البرامج الثابتة ( TCFP ) لتعطيل وضع الأمان الذي يتم فرضه في برنامج Thunderbolt الثابت. يتم نسخ النسخة المعدلة مرة أخرى إلى الكمبيوتر الهدف باستخدام جهاز Bus Pirate . ثم يتم توصيل جهاز هجوم يستند إلى Thunderbolt بالجهاز الذي يتم مهاجمته. ثم يستخدم أداة PCILeech لتحميل وحدة kernel تتجاوز شاشة تسجيل الدخول إلى Windows .

لذا ، حتى إذا كان الكمبيوتر يحتوي على ميزات أمان مثل Secure Boot و ^{(Secure Boot)}BIOS القوي وكلمات مرور حساب نظام التشغيل وتمكين تشفير القرص الكامل ، فسيظل يتجاوز كل شيء.

نصيحة^(TIP) : سيتحقق Spycheck مما إذا كان جهاز الكمبيوتر الخاص بك عرضة لهجوم Thunderspy .

نصائح للحماية من الرعد

توصي^(recommends) Microsoft بثلاث طرق للحماية من التهديد الحديث. يمكن الاستفادة من بعض هذه الميزات المضمنة في Windows بينما يجب تمكين البعض الآخر للتخفيف من الهجمات.

• حماية الكمبيوتر الأساسية الآمنة
• حماية Kernel DMA
• سلامة التعليمات البرمجية المحمية Hypervisor ( HVCI )

ومع ذلك ، كل هذا ممكن على جهاز كمبيوتر شخصي آمن النواة. لا يمكنك ببساطة تطبيق هذا على جهاز كمبيوتر عادي لأن الجهاز غير متوفر يمكنه تأمينه من الهجوم. أفضل طريقة لمعرفة ما إذا كان جهاز الكمبيوتر الخاص بك يدعم ذلك عن طريق التحقق من قسم Devic Security في تطبيق ^{(Devic Security)}Windows Security .

1] حماية الكمبيوتر ذات النواة الآمنة

يوفر Windows Security^{(Windows Security)} ، وهو برنامج أمان داخلي من Microsoft ، Windows Defender System Guard والأمن القائم على الظاهرية. ومع ذلك ، فأنت بحاجة إلى جهاز يستخدم أجهزة كمبيوتر ذات نواة آمنة^{(Secured-core PCs)} . يستخدم أمان الأجهزة المتجذر في وحدة المعالجة المركزية^(CPU) الحديثة لتشغيل النظام في حالة موثوقة. يساعد في تخفيف محاولات البرامج الضارة على مستوى البرامج الثابتة.

2] حماية النواة DMA

تم تقديم حماية Kernel DMA في ^{(Kernel DMA)}نظام التشغيل Windows 10^{(Windows 10)} v1803 ، وهي تتأكد من حظر الأجهزة الطرفية الخارجية من هجمات الوصول المباشر للذاكرة^{(Memory Access)} ( DMA ) باستخدام أجهزة ^(DMA)توصيل PCI^(PCI) مثل Thunderbolt . هذا يعني أنه إذا حاول شخص ما نسخ برنامج Thunderbolt الثابت الضار إلى جهاز ، فسيتم حظره عبر منفذ Thunderbolt . ومع ذلك ، إذا كان المستخدم لديه اسم المستخدم وكلمة المرور ، فسيكون قادرًا على تجاوزهما.

3] حماية تصلب^(Hardening) مع تكامل رمز محمي Hypervisor ( ^{(Hypervisor-protected)}HVCI )

يجب تمكين تكامل التعليمات البرمجية المحمية Hypervisor أو HVCI في ^(HVCI)نظام التشغيل Windows 10^{(Windows 10)} . إنه يعزل النظام الفرعي لتكامل الكود ويتحقق من أن رمز Kernel لم يتم التحقق منه وتوقيعه بواسطة Microsoft . كما أنه يضمن أن كود kernel لا يمكن أن يكون قابلاً للكتابة والتنفيذ للتأكد من عدم تنفيذ التعليمات البرمجية التي لم يتم التحقق منها.

^(Thunderspy)يستخدم Thunderspy أداة PCILeech لتحميل وحدة kernel تتجاوز شاشة تسجيل الدخول إلى Windows . سيؤدي استخدام HVCI إلى التأكد من منع هذا لأنه لن يسمح له بتنفيذ الكود.

يجب أن يكون الأمان دائمًا في المقدمة عندما يتعلق الأمر بشراء أجهزة الكمبيوتر. إذا كنت تتعامل مع بيانات مهمة ، خاصةً مع الأعمال التجارية ، فمن المستحسن شراء أجهزة كمبيوتر ذات نواة آمنة^{(Secured-core PC)} . ها هي الصفحة الرسمية لهذه الأجهزة^{(such devices)} على موقع مايكروسوفت.

Tips to protect your computer against Thunderspy attack

Thunderbolt is the hardware brand interface developed by Intel. It acts as an interface between computer and external devices. While most of the Windows computers come with all sorts of ports, many companies use Thunderbolt to connect to various types of devices. It makes connecting easy, but according to research at the Eindhoven University of Technology, the security behind Thunderbolt can be breached using a technique — Thunderspy. In this post, we will share tips you can follow to protect your computer against Thunderspy.

What is Tunderspy? How does it work?

Its a stealth attack that allows an attacker to access direct memory access (DMA) functionality to compromise devices. The biggest problem is that there is no trace left as it works without deploying any mind of malware or link bait. It can bypass the best security practices and lock the computer.  So how does it work? The attacker needs direct access to the computer. According to the research, it takes less than5 minutes with the right tools.

The attacker copies the Thunderbolt Controller Firmware of the source device to his device. It then uses a firmware patcher (TCFP) to disable the security mode enforced in the Thunderbolt firmware. The modified version is copied back to the target computer using the Bus Pirate device. Then a Thunderbolt-based attack device is connected to the device being attacked. It then uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen.

So even if the computer has security features like Secure Boot, strong BIOS, and operating system account passwords, and enabled full disk encryption, enabled, it will still bypass everything.

TIP: Spycheck will check if your PC is vulnerable to the Thunderspy attack.

Tips to protect against Thunderspy

Microsoft recommends three ways to protect against the modern threat. Some of these features that are built into Windows can be leveraged while some should be enabled to mitigate the attacks.

• Secured-core PC protections
• Kernel DMA protection
• Hypervisor-protected code integrity (HVCI)

That said, all this is possible on a Secured-core PC. You simply cannot apply this on a regular PC because the hardware is not available that can secure it from the attack. The best way to find out if your PC supports it is by checking the Devic Security section of the Windows Security app.

1] Secured-core PC protections

Windows Security, Microsoft’s in-house security software, offers Windows Defender System Guard and virtualization-based security. However, you need a device that uses Secured-core PCs. It uses rooted hardware security in the modern CPU to launch the system into a trusted state. It helps mitigate attempts made by malware at the firmware level.

2] Kernel DMA protection

Introduced in Windows 10 v1803, Kernel DMA protection makes sure to block external peripherals from Direct Memory Access (DMA) attacks using PCI hotplug devices such as Thunderbolt. It means if someone tries to copy malicious Thunderbolt firmware to a machine, it will be blocked over the Thunderbolt port. However, if the user has the username and password,  he will be able to bypass it.

3] Hardening protection with Hypervisor-protected code integrity (HVCI)

Hypervisor-protected code integrity or HVCI should be enabled on Windows 10. It isolates the code integrity subsystem and verified that there Kernel code is not verified and signed by Microsoft. It also ensures that kernel code cannot be both writable and executable to make sure unverified code does not execute.

Thunderspy uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen. Using HVCI will make sure to prevent this as it will not allow it to execute the code.

Security should always be at the top when it comes to buying computers. If you deal with data that is important, especially with business, it is recommended to purchase Secured-core PC devices. Here is the official page of such devices on the Microsoft website.

Related posts

• كيفية تجنب Phishing Scams and Attacks؟

• ما هو بعيد Access Trojan؟ الوقاية، Detection & Removal

• Remove virus من USB Flash Drive باستخدام Command Prompt or Batch File

• Rogue Security Software or Scareware: كيفية التحقق، منع، إزالة؟

• ما هو Win32: BogEnt وكيفية إزالته؟

• كيفية استخدام Chrome browser في Malware Scanner & Cleanup Tool يحمل في ثناياه عوامل

• الهجمات التقليدية: التعريف، الأمثلة، الحماية، الأمن

• Crystal Security هو مجاني Cloud مقرها Malware Detection Tool

• ما هو IDP.Generic and How لإزالته بأمان من Windows؟

• ما هو Cyber crime؟ كيفية التعامل معها؟

• Bundleware: تعريف، Prevention، Removal Guide

• ما هو FileRepMalware؟ يجب عليك إزالته؟

• كيفية التحقق Registry للبرامج الضارة في Windows 10

• خطأ فشل Fix Search عند تشغيل Chrome Malware Scanner

• ما هو فيروس IDP.generic وكيفية إزالته؟

• 3 طرق للتخلص من الفيروسات وبرامج التجسس والبرامج الضارة

• Malware Removal Tools مجانا لإزالة Specific Virus في Windows 11/10

• ما هو Rootkit؟ كيف يعمل Rootkits؟ وأوضح Rootkits

• IObit Malware Fighter Free review & download

• Fileless Malware Attacks، Protection and Detection