No campo da cibersegurança, o termo backdoor evoca imagens de código malicioso oculto, túneis de rede secretos e vetores de ataque indetectáveis. Embora backdoors de software sejam bem conhecidos, backdoors de firmware e hardware representam uma ameaça mais insidiosa. Esses backdoors podem dar aos atacantes acesso persistente e difícil de detectar que pode subverter até mesmo os controles de segurança mais abrangentes.
Este blog explora backdoors de firmware, também referidos como backdoors de hardware, explicando como funcionam, como podem ser descobertos, exemplos de ataques reais, e, mais importante, técnicas acionáveis para defender sua infraestrutura.
Um backdoor de firmware é uma vulnerabilidade intencional ou acidental no código de baixo nível (firmware) que roda em dispositivos de hardware. Às vezes, eles são instalados por fabricantes para manutenção, mas frequentemente são explorados (ou até plantados) por atores maliciosos para acesso privilegiado e persistente ao dispositivo.
Backdoors de hardware vão além: são modificações/adições físicas ou lógicas ao próprio hardware (como chips em uma placa-mãe) que dão aos atacantes controle fundamental. Conforme definido por BlackFog:
Backdoors de Firmware: Encontrados em componentes de hardware, esses backdoors podem permitir que atacantes controlem dispositivos em um nível fundamental.
Backdoors de firmware e hardware funcionam incorporando-se nas camadas mais profundas de um dispositivo, frequentemente em imagens de firmware como:
Uma vez que um dispositivo é comprometido na camada de firmware/hardware, os atacantes podem:
Exemplo: Uma placa de rede comprometida pode enviar ou receber tráfego de comando e controle que é invisível para o sistema operacional ou suas ferramentas de registro.
Um dos exemplos mais famosos é BadUSB. Pesquisadores mostraram como o firmware de USB pode ser reprogramado para funcionar como um dispositivo malicioso, imitar teclados ou injetar malware toda vez que é conectado a um host.
Os vazamentos de Snowden expuseram que agências de inteligência interceptaram e implantaram chips ou firmware clandestinos em hardware destinado a alvos de alto perfil—espionagem no nível de hardware.
Em 2018, a Bloomberg alegou que pequenos chips embutidos por subcontratantes foram usados para criar backdoors em hardware fornecido a empresas americanas. (Note que esta história ainda é contestada na indústria.)
Em 2015, a Juniper Networks revelou um código não autorizado em seu firmware de firewall que permitiu que atacantes descriptografassem tráfego VPN e ganhassem acesso remoto—um clássico backdoor de firmware.
Em 2018, o malware LoJax foi detectado na natureza, infectando o firmware UEFI de sistemas Windows, permitindo persistência para o atacante mesmo após trocas de disco rígido ou reinstalação do sistema operacional.
A maioria das soluções de segurança tradicionais assume que o hardware e o firmware são confiáveis. A detecção é complicada porque:
Detectar backdoors em firmware e hardware é desafiador, mas possível com técnicas tanto manuais quanto automatizadas.
Importante: Nunca tente forense em hardware ou modificação de firmware em dispositivos de produção ou críticos a menos que tenha certeza do que está fazendo! Erros podem inutilizar dispositivos.
Backdoors de firmware muitas vezes "telefonam para casa" ou estabelecem canais de C2 (comando e controle). Use ferramentas como Wireshark ou tcpdump para analisar padrões de rede incomuns.
sudo tcpdump -i eth0 port not 22 and port not 80 and port not 443
from scapy.all import rdpcap
suspicious_ports = [1337, 12345, 54321] # Exemplo de portas de backdoor
packets = rdpcap('capture.pcap')
for pkt in packets:
if pkt.haslayer('TCP') and pkt[TCP].dport in suspicious_ports:
print(f"Pacote suspeito: {pkt.summary()}")
Obtenha a imagem do firmware do dispositivo, depois compare seu hash criptográfico com um amostra que seja conhecida e segura.
Exemplo em Bash:
dd if=/dev/mtd0 of=firmware-dump.bin # Dump do armazenamento em flash
sha256sum firmware-dump.bin
Compare a saída com hashes que são conhecidos como seguros fornecidos pelo fabricante do dispositivo.
Chipsec)Chipsec é uma estrutura de avaliação de segurança de plataforma que pode detectar infecções de firmware.
sudo chipsec_main -m tools.uefi.whitelist
Equipes avançadas de prevenção de backdoors podem usar técnicas incluindo:
Para firmware UEFI:
FWUPD no Linux para dispositivos com suporte do fornecedor:fwupdmgr get-devices
fwupdmgr get-history
Para dispositivos Linux embarcados:
dd if=/dev/mtd0 of=firmware.bin
strings firmware.bin | grep -i password
binwalk pode analisar e extrair componentes de uma imagem de firmware.
binwalk -e firmware.bin
Frequentemente, senhas de usernames/senhas de backdoors codificadas aparecem no firmware. Use grep:
strings firmware.bin | grep -Ei 'admin|root|backdoor|debug|test'
Exemplo de Script Bash para Procurar Credenciais Codificadas:
#!/bin/bash
for img in *.bin; do
echo "Analisando $img..."
strings "$img" | grep -E "admin|backdoor|debug"
done
Exemplo em Python Usando Binwalk e Strings:
import os
for fwfile in os.listdir('.'):
if fwfile.endswith('.bin'):
with open(fwfile, 'rb') as f:
contents = f.read().decode(errors='ignore')
if 'backdoor' in contents or 'debug' in contents:
print(f"Palavra-chave de backdoor potencial em {fwfile}")
FruityWiFi ou Fimrware Analysis Toolkit (FAT) para análise e extração elaboradas.Com o aumento da sofisticação nos ataques à cadeia de suprimentos, a indústria está respondendo:
Mas a guerra continua. Atacantes continuamente procuram por superfícies de ataque em níveis mais baixos e menos monitorados.
Backdoors de firmware e hardware estão entre as ameaças mais furtivas e persistentes na cibersegurança moderna. Sua capacidade de permanecer oculto, sobreviver a limpezas e operar em níveis privilegiados significa que tanto indivíduos quanto organizações devem monitorar vigilante não apenas o software, mas também as raízes de firmware e hardware de suas pilhas de tecnologia.
A segurança neste campo requer um entendimento profundo de seus dispositivos, um regime interno robusto de detecção, cadeias de suprimentos confiáveis e um olhar constante sobre as últimas pesquisas e ameaças emergentes.
Interessado em mais mergulhos profundos em detecção de ameaças e segurança em hardware? Inscreva-se ou deixe suas perguntas abaixo!
Se você achou este conteúdo valioso, imagine o que você poderia alcançar com nosso programa de treinamento de elite abrangente de 47 semanas. Junte-se a mais de 1.200 alunos que transformaram suas carreiras com as técnicas da Unidade 8200.