Компания ESET объявила о том, что один из её исследователей обнаружил ряд уязвимостей в потребительских ноутбуках Lenovo, которые затрагивают более сотни различных моделей и миллионы пользователей по всему миру.
По словам Мартина Смолара, аналитика по вредоносным программам компании ESET, который выявил уязвимости, CVE-2021-3970, CVE-2021-3971 и CVE-2021-3972 могут позволить злоумышленникам «отключить механизмы безопасности и установить на системы свои вредоносные UEFI-программы».
По сути, это позволит злоумышленникам развернуть вредоносное ПО на базе UEFI, такое, как LoJax и ESpecter.
Хотя уязвимости затрагивают только потребительские ноутбуки компании, после пандемии COVID-19 множество организаций перешли на удалённую работу, многие сотрудники используют потребительские устройства для работы из дома. На самом деле, исследования показывают, что 49% сотрудников по-прежнему используют персональные компьютеры для работы.
В результате, обнаруженные уязвимости Lenovo могут быть использованы для получения доступа к личному устройству сотрудника, которое злоумышленник может использовать для сбора защищённых данных или даже для взлома других устройств в сети.
Насколько серьёзной является угроза вредоносного ПО UEFI?
За последние годы было совершено несколько громких атак, связанных с UEFI-угрозами. Последний случай произошел в конце прошлого года, когда «Лаборатория Касперского» обнаружила компрометацию на уровне прошивки в журналах своего сканера микропрограммного обеспечения.
В этом случае хакеры внедрили цепочку заражения в поток выполнения последовательности загрузки компьютера, чтобы скомпрометировать сам сканер.
Несмотря на то, что организациям не стоит игнорировать уязвимость прошивки в ноутбуках Lenovo, аналитик Gartner Питер Ферстбрук подчёркивает, что риск, связанный с этими уязвимостями, минимален из-за сложности их эксплуатации.
Что могут сделать предприятия для устранения обнаруженных уязвимостей Lenovo
Единственный способ устранить уязвимости — обновить прошивку ноутбука. Lenovo представила список всех затронутых устройств, а также инструкции по их обновлению, чтобы пользователи могли найти продукты по названию или типу машины и вручную установить обновления.
Несмотря на то, что это достаточно простой процесс, с режимом «удалёнки», где сотрудники используют личные устройства, всё гораздо сложнее, поскольку службам безопасности придётся полагаться на сотрудников в вопросе установки обновлений.
Ещё по теме:
- Самые простые способы установки и обновления всех приложений на Mac
- Sony выпустила приложение для обновления DualSense посредством Windows
- Разработчики TMNT: Shredder's Revenge представили 11 минут геймплея проекта
