דלתות אחוריות בקושחה מייצגות אחד האיומים המסוכנים ביותר בתחום הסייבר, המסתתרים מתחת לשכבות של תוכנה ולעיתים מוסתרים בתוך החומרה עצמה. דיונים אחרונים, כמו אלה המודגשים על ידי BlackFog ומומחי אבטחה, חושפים שדלתות אחוריות אלו יכולות לתת לתוקפים שליטה חסרת תקדים על התקנים - ממחשבים אישיים ושרתים ארגוניים ועד לתשתית קריטית.
בפוסט זה, נצלול לעומק ונבחן את הנושאים הבאים:
על ידי כיסוי היבטים אלו מרמה מתחילה ועד מתקדמת, נאפשר לך להגן על המערכות שלך מפני איום זה המסתתר.
קושחה היא התוכנה ברמה נמוכה שמפעילה רכיבי חומרה - לעיתים קרובות נמצאת בין ההתקן הפיזי לבין מערכת ההפעלה. בניגוד לתוכנה רגילה, קושחה היא בעיקר נסתרת למשתמשים ומעודכנת נדירות, מה שהופך אותה למטרה ייחודית להתקפות מתמשכות.
דלת אחורית בקושחה היא שיטה נסתרת או קוד שמושתל בקושחה של התקנים (לדוגמה, ראוטרים, שבבים, לוחות אם) שמעניקה גישה בלתי מורשית. תוקפים המשתמשים בדלתות אחוריות בקושחה יכולים:
דלתות אחוריות בקושחה פועלות ברמה בסיסית לפונקציונליות ההתקן. זה אומר:
לפי המילון של BlackFog:
"דלתות אחוריות בקושחה: נמצאות ברכיבי חומרה, דלתות אחוריות אלו יכולות לאפשר לתוקפים לשלוט בהתקנים ברמה בסיסית."
BlackFog ממקמים את הדלתות האחוריות, במיוחד אלו ברמת הקושחה, כוקטור איום קריטי בעידן "הנוזקות של הדור הבא". הם מדגישים שדלתות אחוריות כאלו אינן מוגבלות רק לסוכנויות מודיעין מתוחכמות; תקיפות שרשרת האספקה הפכו דלתות אחוריות בחומרה וקושחה לאיום ריאלי לארגונים בכל הגדלים.
מסקנות מפתח מ-BlackFog:
דלת אחורית בחומרה היא פגיעות מכוונת או בלתי מכוונת ברכיב פיזי (שבב, מודול, USB וכו'), שמאפשרת גישה או שליטה זדוניים. דלתות אחוריות אלו יכולות להיות:
רבים מהמכשירים המודרניים כוללים קושחה שניתנת לעדכון (UEFI/BIOS, כרטיסי רשת, בקרי כוננים קשיחים). תוקפים יכולים לכוון אל:
תרשים זרימת תקיפה לדוגמא:
ב-2013, מסמכים דלפו וחשפו את קטלוג ANT של ה-NSA, סל של רכיבי חומרה המשמשים לריגול. כלים כמו IRATEMONK ו-COTTONMOUTH תוכננו לשבש את ה-BIOS, כוננים קשיחים, ואפילו כבלי USB לחדירה מתמשכת.
דיווח מ-2018 העיד כי מרגלים סיניים שתלו שבבים זעירים על לוחות אם של Supermicro שנמצאו בשימוש אצל אמזון ואפל, כחלק מהתקפת שרשרת האספקה. עם כי מאוחר יותר הוטל ספק בתקרית, היא שמה את הדגש על הפוטנציאל לדלתות אחוריות מבוססות חומרה המוסתרים בשלבי יצור או הרכבה.
Intel ME הוא תת-מערכת משובצת שיש לה גישה מלאה לזיכרון מערכת, רשתות ואחסון. עם השנים, פגיעויות (כגון INTEL-SA-00086) וניצולים אפשרו לתוקפים לנצל את ME כדלת אחורית מוסתרת. ME פועלת באופן עצמאי מה-CPU וה-OS הראשיים, מה שהופך את זה לקשה מאוד לזהות או להשבית.
חוקרים חשפו מספר פגיעויות בשבבי Wi-Fi של Broadcom ו-Qualcomm שמאפשרות לתוקפים לבצע קוד בתוך הקושחה של השבב. זה יכול לאפשר לתוקפים להשתלט על מערך הרשת של ההתקן עם סימנים מינימליים.
קבוצות גניבת אישורים וכופר החלו למקד את הקושחה של UEFI/BIOS להטמעת קוד זדוני ששורד התקנות מחודשות של OS (למשל, LoJax, rootkit UEFI הראשון שנצפה בשימוש בעולם).
זיהוי דלתות אחוריות בקושחה וחומרה הוא אתגר בשל השתלבותן העמוקה וההסתרה שלהן. עם זאת, גישה רב-שכבתית יכולה להעלות את סיכוי הגילוי.
CHIPSEC הוא מסגרת להערכת אבטחת פלטפורמה בקוד פתוח לבדיקת רכיבים ברמה נמוכה.
בדיקת שלמות של BIOS/UEFI
# התקנת CHIPSEC (באמצעות pip)
pip install chipsec
# בדיקת BIOS/UEFI בלינוקס
sudo chipsec_main -m tools.uefi.find_vuln_uefi_vars
# הצגת פלאש SPI לבדיקה ידנית
sudo chipsec_util spi dump firmware.bin
ניתחו את הבינארי firmware.bin על ידי השוואת ה-Hash שלו למול Hash אמין מהיצרן.
fwupd הוא שירות לעדכון של קושחה בצורה בטוחה בלינוקס, תומך בקבצים חתומים מ-LVFS.
# רשימת התקנים וגרסאות קושחה מותקנות
fwupdmgr get-devices
# אימות מול תצלומים חדשות מהיצרן
fwupdmgr get-updates
קושחה עם דלתות אחוריות לעיתים "מתקשרות הביתה". ניטור אחר תעבורת רשת חריגה מ-IoT, ראוטרים, או מכשירים משובצים יכול לחשוף התנהגות חשודה.
sudo tcpdump -i eth0 host suspicious.domain.com
import re
with open("tcpdump.log", "r") as f:
for line in f:
if re.search(r'example\.c2server\.com', line):
print("תעבורת C2 אפשרית:", line)
ניתוח ידני לעיתים נחוץ כאן, עם כלי מעבדה מתקדמים.
Binwalk משמש לניתוח קבצים בינאריים (דמפינג קושחה) לקוד מוטבע, קבצים מכווצים וחתימות ידועות.
# סריקה של קובץ קושחה לכותרות וקוד ידוע
binwalk -e firmware.bin
# דוגמא לאוטומציה של חילוץ מחרוזות חשודות
binwalk -e firmware.bin
grep -rn "password" _firmware.bin.extracted/
grep -rn "backdoor" _firmware.bin.extracted/
אוטומציה של ניתוח קושחה מופקת עבור מחרוזות סיסמאות מוצפנות או דלתות אחוריות.
דוגמא ב-Bash:
strings firmware.bin | grep -Ei 'password|backdoor|admin'
דוגמא ב-Python:
with open("firmware.bin", "rb") as f:
data = f.read()
import re
matches = re.findall(b'(backdoor|password|admin)', data)
if matches:
print("מדדים אפשריים לדלתות אחוריות נמצאו:", matches)
בהתחשב בקושי בזיהוי דלתות אחוריות בחומרה/קושחה, המניעה היא קריטית. הנה צעדים פרקטיים, מרמה מתחילה ועד מתקדמת:
כאשר חשד או מודיעין איום מצביעים על אפשרות לדלת אחורית בקושחה/חומרה, נחוצה פורנזיקה מתקדמת.
הציגו קושחה מההתקן, השוו Hash/signature עם תמונות רשמיות מהיצרן.
# Hash קובץ שהוצג
sha256sum firmware.bin
# השוו עם Hash מהיצרן באינטרנט
ישנם רכיבי חומרה שמציעים ממשקי JTAG או UART לגישה ברמה נמוכה לקושחה. בשימוש בפתרון בעיות חומרה, אנליסטים יכולים להוציא, לבדוק או לשכתב זיכרון הפלאש ישירות.
הערה: פתרון בעיות חומרה צריך להתבצע רק על ידי אנשי מקצוע מנוסים, כי טיפול לא נכון יכול לפגוע בהתקן.
חוקרים משתמשים בצריכת חשמל, פליטת אלקטרומגנטית או מדידות תזמון כדי להסיק פעילות חומרה מוסתרת.
אם נמצא חריגה ייחודית או נחשדת לדלת אחורית, תאמו את הספקים של ההתקן ו-CERT לחשיפה מאורגנת של פגיעות.
דלתות אחוריות בקושחה ובחומרה נמצאות בצומת של אבטחה, פרטיות ופוליטיקה גאו-פוליטית. ככל ש-IoT, התקנים משובצים ותשתית ענן הופכים יותר ויותר שכיחים, איומים אלו רק גוברים. למגנים:
עסקים גדולים, ממשלות ויחידים חייבים להכיר בכך שהאבטחה לא מסתיימת במערכת ההפעלה—היא מתחילה בסיליקון.
מילון המונחים של BlackFog - דלת אחורית
https://www.blackfog.com/glossary/backdoor/
ThreatLocker - מהי תקיפת דלת אחורית? כיצד למנוע
https://www.threatlocker.com/blog/what-is-a-backdoor-attack-how-to-prevent
PrivacyGuides - דלת אחורית בחומרה כאיום אבטחה?
https://discuss.privacyguides.net/t/hardware-backdoor-as-a-security-threat/13646
מניחת פגיעות של Intel Management Engine (ME)
https://www.intel.com/content/www/us/en/security-center/advisory/intel-sa-00086.html
קטלוג ANT של ה-NSA בויקיפדיה
https://en.wikipedia.org/wiki/ANT_catalog
LoJax rootkit ראשון על UEFI בעולם (WeLiveSecurity)
https://www.welivesecurity.com/2018/09/27/lojax-first-uefi-rootkit-wild/
מאגר GitHub של CHIPSEC
https://github.com/chipsec/chipsec
ניתוח קושחה עם Binwalk
https://github.com/ReFirmLabs/binwalk
fwupd והשירות לקושחה של יצרנים בלינוקס (LVFS)
https://fwupd.org/
מילות מפתח: דלת אחורית בקושחה, דלת אחורית בחומרה, אבטחת סייבר, BlackFog, אבטחת קושחה, שרשרת אספקה, נוזקה, BIOS, UEFI, Intel ME, אבטחת חומרה, אבטחת IoT, ניתוח קושחה, מניעת דלת אחורית, binwalk, chipsec, python, bash, סריקת קושחה
האם יש לך חוויות או תובנות על דלתות אחוריות בחומרה או קושחה? שתף את הפרספקטיבה שלך או שאל שאלות בתגובות למטה!
אם מצאתם את התוכן הזה בעל ערך, תארו לעצמכם מה תוכלו להשיג עם תוכנית ההכשרה המקיפה והאליטיסטית שלנו בת 47 שבועות. הצטרפו ליותר מ-1,200 סטודנטים ששינו את הקריירה שלהם בעזרת טכניקות יחידה 8200.