Thunderboltは、 ^{(Thunderbolt)}Intelによって開発されたハードウェアブランドインターフェイスです。これは、コンピューターと外部デバイス間のインターフェースとして機能します。ほとんどのWindowsコンピューターにはあらゆる種類のポートが付属していますが、多くの企業はThunderboltを使用してさまざまな種類のデバイスに接続しています。接続は簡単ですが、アイントホーフェン工科^(Technology)大学^{(Eindhoven University)}の調査によると、Thunderboltの背後にあるセキュリティは、Thunderspyという手法を使用して侵害される可能性があります。この投稿では、 Thunderspy^(Thunderspy)からコンピューターを保護するために従うことができるヒントを共有します。

Tunderspyとは何ですか？それはどのように機能しますか？

攻撃者がダイレクトメモリアクセス（ DMA^(DMA)）機能にアクセスしてデバイスを侵害できるようにするステルス攻撃。最大の問題は、マルウェアやリンクベイトを気にせずに機能するため、痕跡が残っていないことです。それは最良のセキュリティ慣行を迂回してコンピュータをロックすることができます。それで、それはどのように機能しますか？攻撃者はコンピュータに直接アクセスする必要があります。調査によると、適切なツールを使用すれば5分もかかりません。

攻撃者は、ソースデバイスのThunderboltControllerファームウェアを自分のデバイスにコピーします。^{(Thunderbolt Controller Firmware)}次に、ファームウェアパッチャー（TCFP ）を使用して、 ^(TCFP)Thunderboltファームウェアで適用されるセキュリティモードを無効にします。変更されたバージョンは、 BusPirate^{(Bus Pirate)}デバイスを使用してターゲットコンピューターにコピーされます。次に、Thunderboltベースの攻撃デバイスが攻撃対象のデバイスに接続されます。次に、PCILeechツールを使用して、 ^(PCILeech)Windowsサインイン画面をバイパスするカーネルモジュールをロードします。

そのため、コンピュータにセキュアブート^{(Secure Boot)}、強力なBIOS、オペレーティングシステムアカウントのパスワードなどのセキュリティ機能があり、フルディスク暗号化が有効になっている場合でも、すべてをバイパスします。

ヒント^(TIP)：Spycheckは、PCがThunderspy攻撃に対して脆弱かどうかをチェックします。

サンダースパイから保護するためのヒント

マイクロソフトは、最新の脅威から保護するための3つの方法を推奨しています。^(recommends)Windowsに組み込まれているこれらの機能の一部は活用できますが、攻撃を軽減するために有効にする必要がある機能もあります。

• セキュアコアPC保護
• カーネルDMA保護
• ハイパーバイザーで保護されたコードの整合性（HVCI）

とはいえ、これはすべてセキュアコアPCで可能です。攻撃から保護できるハードウェアが利用できないため、通常のPCにこれを適用することはできません。PCがそれをサポートしているかどうかを確認する最良の方法は、 Windowsセキュリティ^{(Windows Security)}アプリのDevicSecurityセクションを確認することです。

1]セキュアコアPC保護

^{(Windows Security)}Microsoftの社内セキュリティソフトウェアであるWindowsSecurityは、Windows DefenderSystemGuardと仮想化ベースのセキュリティを提供します。ただし、セキュアコアPC^{(Secured-core PCs)}を使用するデバイスが必要です。最新のCPU^(CPU)のルート化されたハードウェアセキュリティを使用して、システムを信頼できる状態で起動します。マルウェアによるファームウェアレベルでの試行を軽減するのに役立ちます。

2]カーネルDMA保護

Windows 10 v1803で導入されたカーネルDMA保護により、 ^{(Kernel DMA)}ThunderboltなどのPCIホットプラグデバイスを使用したダイレクト^(PCI)メモリアクセス^{(Memory Access)}（DMA）攻撃から外部周辺機器を確実にブロックできます。これは、誰かが悪意のあるThunderboltファームウェアをマシンにコピーしようとすると、 ^{(Thunderbolt)}Thunderboltポートを介してブロックされることを意味します。ただし、ユーザーがユーザー名とパスワードを持っている場合は、それをバイパスできます。

3]ハイパーバイザーで保護されたコード整合性（HVCI ^(HVCI)）^{(Hypervisor-protected)}による保護^(Hardening)の強化

ハイパーバイザーで保護されたコードの整合性またはHVCIは、 ^(HVCI)Windows10で有効にする必要があります。コード整合性サブシステムを分離し、カーネルコードが^(Kernel)Microsoftによって検証および署名されていないことを確認します。また、検証されていないコードが実行されないようにするために、カーネルコードが書き込み可能と実行可能の両方にならないようにします。

Thunderspyは、PCILeechツールを使用して、 ^(PCILeech)Windowsサインイン画面をバイパスするカーネルモジュールをロードします。HVCIを使用すると、コードを実行できなくなるため、これを確実に防ぐことができます。

コンピュータの購入に関しては、セキュリティを常に最優先する必要があります。特にビジネスで重要なデータを扱う場合は、セキュアコアPC^{(Secured-core PC)}デバイスを購入することをお勧めします。これは、MicrosoftのWebサイトにあるそのようなデバイス^{(such devices)}の公式ページです。

Tips to protect your computer against Thunderspy attack

Thunderbolt is the hardware brand interface developed by Intel. It acts as an interface between computer and external devices. While most of the Windows computers come with all sorts of ports, many companies use Thunderbolt to connect to various types of devices. It makes connecting easy, but according to research at the Eindhoven University of Technology, the security behind Thunderbolt can be breached using a technique — Thunderspy. In this post, we will share tips you can follow to protect your computer against Thunderspy.

What is Tunderspy? How does it work?

Its a stealth attack that allows an attacker to access direct memory access (DMA) functionality to compromise devices. The biggest problem is that there is no trace left as it works without deploying any mind of malware or link bait. It can bypass the best security practices and lock the computer.  So how does it work? The attacker needs direct access to the computer. According to the research, it takes less than5 minutes with the right tools.

The attacker copies the Thunderbolt Controller Firmware of the source device to his device. It then uses a firmware patcher (TCFP) to disable the security mode enforced in the Thunderbolt firmware. The modified version is copied back to the target computer using the Bus Pirate device. Then a Thunderbolt-based attack device is connected to the device being attacked. It then uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen.

So even if the computer has security features like Secure Boot, strong BIOS, and operating system account passwords, and enabled full disk encryption, enabled, it will still bypass everything.

TIP: Spycheck will check if your PC is vulnerable to the Thunderspy attack.

Tips to protect against Thunderspy

Microsoft recommends three ways to protect against the modern threat. Some of these features that are built into Windows can be leveraged while some should be enabled to mitigate the attacks.

• Secured-core PC protections
• Kernel DMA protection
• Hypervisor-protected code integrity (HVCI)

That said, all this is possible on a Secured-core PC. You simply cannot apply this on a regular PC because the hardware is not available that can secure it from the attack. The best way to find out if your PC supports it is by checking the Devic Security section of the Windows Security app.

1] Secured-core PC protections

Windows Security, Microsoft’s in-house security software, offers Windows Defender System Guard and virtualization-based security. However, you need a device that uses Secured-core PCs. It uses rooted hardware security in the modern CPU to launch the system into a trusted state. It helps mitigate attempts made by malware at the firmware level.

2] Kernel DMA protection

Introduced in Windows 10 v1803, Kernel DMA protection makes sure to block external peripherals from Direct Memory Access (DMA) attacks using PCI hotplug devices such as Thunderbolt. It means if someone tries to copy malicious Thunderbolt firmware to a machine, it will be blocked over the Thunderbolt port. However, if the user has the username and password,  he will be able to bypass it.

3] Hardening protection with Hypervisor-protected code integrity (HVCI)

Hypervisor-protected code integrity or HVCI should be enabled on Windows 10. It isolates the code integrity subsystem and verified that there Kernel code is not verified and signed by Microsoft. It also ensures that kernel code cannot be both writable and executable to make sure unverified code does not execute.

Thunderspy uses the PCILeech tool to load a kernel module that bypasses the Windows sign-in screen. Using HVCI will make sure to prevent this as it will not allow it to execute the code.

Security should always be at the top when it comes to buying computers. If you deal with data that is important, especially with business, it is recommended to purchase Secured-core PC devices. Here is the official page of such devices on the Microsoft website.

Related posts

• Phishing Scams and Attacksを回避する方法？

• リモートAccess Trojanとは何ですか？防止、Detection & Removal

• USB Flash DriveからCommand Prompt or Batch Fileを使用したRemove virus

• Rogue Security Software or Scareware：チェック方法、防止、削除？

• Win32：BogEntとは何ですか？

• Windows 10からDriver Tonicをアンインストールまたは削除する方法

• Malwareを防ぐ方法 - ヒントがWindows 11/10を確保するために

• ウイルス、スパイウェア、マルウェアを駆除する3つの方法

• Rootkitとは何ですか？ Rootkitsはどのように機能しますか？ Rootkits説明した

• 悪意のある広告攻撃：定義、例、保護、セキュリティ

• Microsoft Windows Logo process Task Manager。それはウイルスですか？

• リモートAdministration Tools：リスク、Threats、Prevention

• IDP.genericウイルスとは何ですか

• IObit Malware Fighter Free review & download

• ファイルが悪意のあるかどうかを確認する方法Windows 11/10

• ファイルをスキャンするには、最高のオンラインOnline Malware Scanners

• Windows 11/10からChromium Virusを削除する方法

• Chrome browserのinBuilt Malware Scanner & Cleanup Toolの使用方法

• 安全にWindowsからそれを削除するIDP.Generic and Howは何ですか？

• Malwareを削除するMalwarebytes Anti-Malwareを使用する方法