Investigadores de seguridad han descubierto una serie de vulnerabilidades en la interfaz unificada de firmware extensible (UEFI) que permiten la ejecución de código malicioso al iniciar el sistema. Estas brechas, que llevan más de una década existiendo, pueden ser explotadas para comprometer dispositivos Windows y Linux.
Un reporte publicado por ArsTechnica detalla los hallazgos realizados por Binarly, firma especializada en análisis de problemas potenciales en el firmware. Durante la Conferencia Black Hat Europa 2023, los investigadores revelaron que LogoFAIL aprovecha múltiples vulnerabilidades presentes en sistemas Windows y Linux durante décadas.
LogoFAIL explota una debilidad en las bibliotecas de análisis de imágenes utilizadas por UEFI durante el arranque. El ataque sustituye el logotipo del fabricante que aparece al encender la computadora por un archivo similar, diseñado para ejecutar un script. Dado que ocurre durante el proceso de inicio, no existe (por ahora) ninguna solución de seguridad capaz de detenerlo.
Para aprovecharse de esta vulnerabilidad, el atacante debe reemplazar primero la imagen del logotipo almacenada en la partición del cargador de arranque (bootloader). Al reiniciar el equipo, el archivo infectado ejecutará el código malicioso durante la fase del entorno de ejecución del controlador (DXE), donde se realiza gran parte de la inicialización del sistema. Esto impide que pueda ser detectado por cualquier solución de seguridad del CPU o del sistema operativo.
Una vez instalado, LogoFAIL crea un kit de arranque para permanecer en la computadora «para siempre» y sobrevive a cualquier formateo del disco.
Cómo eliminar LogoFAIL
Debido a que LogoFAIL aprovecha las vulnerabilidades en la interfaz unificada de firmware extensible, cualquier placa madre que utilice UEFI está en riesgo. «Estas vulnerabilidades están presentes en la mayoría de los casos dentro del código de referencia, lo que afecta no a un solo proveedor sino a todo el ecosistema de este código y a los proveedores de dispositivos donde se utiliza», declaró Alex Matrosov, director ejecutivo de Binarly.
Los investigadores efectuaron una demostración de LogoFAIL en una computadora Lenovo ThinkCentre M70s con procesador Intel y medidas de seguridad de hardware activadas.
Dado que el exploit afecta a todos los sistemas Intel, AMD y ARM, es necesario esperar a un parche del fabricante. Algunos equipos Dell y las Mac con procesadores Intel son inmunes al ataque debido a mecanismos de seguridad que impiden la sustitución de los logotipos UEFI.
Hasta el momento no existe evidencia de que algún atacante haya sacado provecho, aunque los investigadores dejan claro que no hay modo de saberlo. Un atacante habría modificado el logotipo de la computadora sin que el usuario se percate, puesto que las vulnerabilidades tienen más de una década.