בנוף אבטחת הסייבר, המונח דלת אחורית מעורר מחשבות על קוד זדוני מוסתר, מנהרות רשת סודיות, ווקטורים התקפתיים לא נראים. בעוד שדלתות אחוריות בתוכנה ידועות היטב, דלתות אחוריות בקושחה ובחומרה מהוות איום מסוכן יותר. דלתות אלו יכולות להעניק לתוקפים גישה מתמשכת שקשה לזהותה, שיכולה לעקוף אפילו את מנגנוני האבטחה המתקדמים ביותר.
בלוג זה מתעמק בדלתות אחוריות בקושחה, הידועות גם כדלתות אחוריות בחומרה, מסביר כיצד הן פועלות, כיצד ניתן לגלותן, דוגמאות מהחיים האמיתיים, ובעיקר, טכניקות מעשיות להגנה על התשתית שלך.
דלת אחורית בקושחה היא פגם מכוון או לא מכוון בקוד נמוך הרמה (קושחה) שרץ על התקני חומרה. לעיתים מותקנות אלו על ידי היצרנים לצרכי תחזוקה, אך לעיתים קרובות הן מנוצלות (או אפילו נטענות באופן יזום) על ידי תוקפים לצורך גישה מתמשכת ומורשית להתקנים.
דלתות אחוריות בחומרה מרחיבות את ההגדרה: מדובר בשינויים או תוספות פיזיות או לוגיות לחומרה עצמה (כמו שבבים על לוח אם) שמעניקים לתוקפים שליטה בסיסית. כמתואר על ידי BlackFog:
דלתות אחוריות בקושחה: נמצאות ברכיבי חומרה, הן יכולות לאפשר לתוקפים לשלוט בהתקנים ברמה בסיסית.
דלתות אחוריות בקושחה ובחומרה פועלות על ידי השתלבות בשכבות העמוקות ביותר של התקן, לעיתים בתמונות קושחה כגון:
ברגע שהתקן נפגע בשכבת הקושחה/חומרה, תוקפים יכולים:
דוגמה: כרטיס רשת שנפגע יכול לשלוח או לקבל תעבורת פיקוד ושליטה שלא נראית למערכת ההפעלה או לכלי המעקב שלה.
אחת הדוגמאות המפורסמות ביותר היא BadUSB. חוקרים הראו כיצד ניתן לתכנת מחדש קושחת USB כדי לתפקד כהתקן זדוני, להחליף מקלדות או להחדיר תוכנה זדונית בכל פעם שחברו למארח.
הדלפות סנודן חשפו שסוכנויות מודיעין פרצו והשתילו שבבים או קושחה סודיים בהתקנים שכוונו למטרות בעלות פרופיל גבוה—מרגלות ברמה החומרתית.
ב-2018, בלומברג דיווח ששבבים קטנים שהושתלו על ידי קבלני משנה היו כגב ליצור דלתות אחוריות בחומרה שסופקו לחברות אמריקאיות. (יש לציין כי סיפור זה נותר שנוי במחלוקת בתעשייה.)
ב-2015, רשתות ג'וניפר חשפו קוד לא מורשה בקושחת ה-firewall שלהן שאיפשר לתוקפים לפענח תעבורת VPN ולקבל גישה מרחוק—דלת אחורית חקירה בקושחה.
ב-2018, התגלה הזיהום LoJax שנפגע בקושחת UEFI של מערכות Windows, מה שאיפשר לתוקף התמדה אפילו לאחר החלפת כוננים או התקנה מחדש של המערכת הפעלה.
רוב פתרונות האבטחה המסורתיים מניחים שהחומרה והקושחה מהימנים. גילוי מתנהל קשה מכיוון ש:
זיהוי דלתות אחוריות בקושחה ובחומרה מציבה אתגר, אך ניתן לזהותן באמצעות שיטות ידניות וממוחשבות.
חשוב: לעולם אל תנסה פורנזיקה חומרתית או שינוי קושחה על התקנים ייצור או קריטיים אלא אם כן אתה בטוח במה שאתה עושה! טעויות עלולות לקרוע התקנים.
דלתות אחוריות בקושחה לעיתים "מצחצחות ביתה" או מקימות ערוצי פיקוד ובקרה (C2). השתמש בכלים כגון Wireshark או tcpdump כדי לתפוס דפוסי רשת לא רגילים.
sudo tcpdump -i eth0 port not 22 and port not 80 and port not 443
from scapy.all import rdpcap
suspicious_ports = [1337, 12345, 54321] # Example backdoor ports
packets = rdpcap('capture.pcap')
for pkt in packets:
if pkt.haslayer('TCP') and pkt[TCP].dport in suspicious_ports:
print(f"Suspicious packet: {pkt.summary()}")
השג את התמונה של קושחת ההתקן ולאחר מכן השווה את סיכום הקריפטוגרפי שלה לדוגמה ידועה טובה.
דוגמה ב-Bash:
dd if=/dev/mtd0 of=firmware-dump.bin # Dump from flash storage
sha256sum firmware-dump.bin
השווה את הפלט מול סיכומים טובים ידועים שניתנו על ידי יצרן ההתקן.
Chipsec)Chipsec הוא מסגרת הערכת אבטחת פלטפורמה שיכולה לזהות זיהומי קושחה.
sudo chipsec_main -m tools.uefi.whitelist
צוותים מתקדמים נגד דלתות אחוריות עשויים להשתמש בטכניקות שכוללות:
עבור קושחת UEFI:
FWUPD בלינוקס עבור התקנים הנתמכים על ידי יצרן:fwupdmgr get-devices
fwupdmgr get-history
עבור התקני לינוקס מוטבעים:
dd if=/dev/mtd0 of=firmware.bin
strings firmware.bin | grep -i password
binwalk יכול לנתח ולחלץ רכיבים מתמונת קושחה.
binwalk -e firmware.bin
לעיתים קרובות, שם משתמש/סיסמאות דלתות אחוריות מוקשים דולפים בקושחה. השתמש ב-grep:
strings firmware.bin | grep -Ei 'admin|root|backdoor|debug|test'
דוגמת סקריפט Bash לחיפוש אישורים קשיחים:
#!/bin/bash
for img in *.bin; do
echo "Analyzing $img..."
strings "$img" | grep -E "admin|backdoor|debug"
done
דוגמת Python עם Binwalk ו-Strings:
import os
for fwfile in os.listdir('.'):
if fwfile.endswith('.bin'):
with open(fwfile, 'rb') as f:
contents = f.read().decode(errors='ignore')
if 'backdoor' in contents or 'debug' in contents:
print(f"Potential backdoor keyword in {fwfile}")
FruityWiFi או ב-ערכת כלים לניתוח קושחה (FAT) לצורך ניתוח וחילוץ יסודיים.עם עליית תחכום בהתקפות על שרשרת האספקה, התעשייה מגיבה:
אבל המלחמה נמשכת. תוקפים ממשיכים לחפש משטחי התקפה נמוכים ופחות מפוקחים.
דלתות אחוריות בקושחה ובחומרה הן מאויבות המוסתרות והעקשניות ביותר באיומי הסייבר המודרניים. יכולתן להישאר מוסתרות, לשרוד מחיקות, ולפעול ברמות מורשות, משמעה הן עבור יחידים והן עבור ארגונים תהיינה בערנות למעקב לא רק אחרי תוכנה, אלא גם אחרי קושחה ו-שורשי החומרה של ערימות הטכנולוגיה שלהם.
אבטחה בתחום זה מצריכה הבנה עמוקה של מכשיריך, משטר גילוי פנימי מושרש, שרשראות אספקה אמינות ועין קבועה על מחקרים חדשים ואיומים מתמחים.
מעניין ביותר בצלילות עמוקות לתוך גילוי איומים ואבטחת חומרה? הירשם או השאר את שאלותיך למטה!
אם מצאתם את התוכן הזה בעל ערך, תארו לעצמכם מה תוכלו להשיג עם תוכנית ההכשרה המקיפה והאליטיסטית שלנו בת 47 שבועות. הצטרפו ליותר מ-1,200 סטודנטים ששינו את הקריירה שלהם בעזרת טכניקות יחידה 8200.