Après une cyberattaque, une des fonctions de sécurité d'Intel compromise ?

C’est une des conséquences de l’attaque subie par le fabricant de matériel informatique MSI en avril dernier : des clés privées appartenant à la fonction de sécurité Boot Guard d’Intel se trouveraient dans la nature, sur le Dark Web. Il s’agit d’une fonction de sécurité conçue pour empêcher le chargement de microprogrammes malveillants. Résultat : Intel est en train d’enquêter activement, révèle le site BleepingComputer, le lundi 8 mai.

Le 7 avril dernier, des pirates informatiques appartenant au groupe Money Message ont attaqué le fabricant de matériel informatique taïwanais Micro-Star International (MSI). Ils ont affirmé avoir volé 1,5 To de données dont des microprogrammes, des codes sources et des bases de données. Ils auraient réclamé le paiement d’une rançon de 4 millions de dollars. Face au refus de MSI de la payer, des données volées ont été publiées la semaine dernière, rapportent nos confrères.

« L’ensemble de l’écosystème Intel est affecté par cette fuite de données de MSI »

Parmi elles : le code source du micrologiciel utilisé par les cartes mères de MSI – or, ce dernier contient les clés privées d’Intel Boot Guard pour 116 produits MSI, alerte Alex Matrosov, un expert en cybersécurité, sur son compte Twitter.

⛓️Recently, @msiUSA announced a significant data breach. The data has now been made public, revealing a vast number of private keys that could affect numerous devices.

🔥FW Image Signing Keys: 57 products
🔥Intel BootGuard BPM/KM Keys: 166 products

🔬https://t.co/uwqWIU9xhR

— Alex Matrosov (@matrosov) May 4, 2023

Le spécialiste a ajouté que cette fuite pourrait avoir causé l’inefficacité d’Intel Boot Guard sur les appareils MSI qui utilisent les puces internes de « 11e génération Tiger Lake, de 12e génération Adler Lake et de 13e génération Raptor Lake ». Interrogé par nos confrères, Alex Matrosov a souligné que « l’ensemble de l’écosystème Intel est affecté par cette violation de données de MSI. C’est une menace directe pour les clients de MSI et malheureusement pas seulement pour eux », a-t-il prévenu.

Intel ne confirme pas que les clés privées sont dans la nature

La fonction de sécurité « Intel Boot Guard » serait donc bien touchée par l’attaque. Selon Intel, « des chercheurs ont affirmé que des clés de signature privée étaient incluses dans les données (concernées par la cyberattaque, NDLR), notamment les clés de signature OEM de MSI pour Intel Boot Guard ». L’entreprise a seulement indiqué qu’elle enquêtait activement sur ce problème, sans confirmer que les clés privées étaient dans la nature. La société a ajouté que « les clés OEM Intel BootGuard sont générées par le fabricant du système, il ne s’agit pas de clés de signature d’Intel ».

Normalement, Intel Boot Guard empêche l’installation de microprogrammes malveillants. Ce type de logiciels se charge avant le système d’exploitation, ce qui lui permet d’agir sans être repéré par les logiciels de sécurité, et de contribuer à l’installation de logiciels malveillants une fois qu’un appareil est compromis. Le système d’Intel vérifie normalement si le microprogramme en question est légitime à l’aide d’une clé de signature privée et d’une clé publique intégrée au matériel Intel. Si la signature échoue, le micrologiciel n’est pas chargé.

À lire aussi : Cyberattaques : en quoi consiste le « bouclier cybereuropéen » voulu par l’UE ?

Or, si ces clés sont dans la nature, elles pourraient être utilisées pour signer des logiciels malveillants, déguisés en logiciels liés à MSI. En d’autres termes, la fonction de sécurité n’est plus fiable sur les appareils qui utiliseraient les clés réputées compromises. Dans un message adressé à nos confrères de TechTarget, Alex Matrosov a ajouté que d’autres fournisseurs de matériel et modèles étaient impactés, à savoir les clients légers t430 et t638 de HP, les modèles Ideacentre AIO 330-20IGM, 310s-08igm et a340-24igm de Lenovo ; les ordinateurs portables v330 et v130 de Lenovo ; la passerelle IoT fitlet2 de CompuLab, et enfin les Ultrabooks StarLite MkIII et MkIV de Star Labs.