De acordo com a Bleeping Computer, os criadores de malware começaram a assinar malware com certificados de assinatura de código roubados da NVIDIA.
Os sistemas de proteção (antivírus de nível corporativo e de usuário) permitem que esse malware passe, porque o consideram confiável (eles são assinados por um certificado de desenvolvedor válido) e permitem que você obtenha acesso privilegiado ao Windows.
Especialistas encontraram pelo menos dois certificados de assinatura de código roubados no vazamento da NVIDIA, que os desenvolvedores da NVIDIA usaram para assinar seus drivers e arquivos executáveis. Os arquivos executáveis e drivers que funcionam no nível do kernel assinados com esses certificados não são considerados perigosos pelo sistema operacional Windows e podem ser executados no sistema sem notificar o usuário.
A Bleeping Computer explicou que, de acordo com o VirusTotal, os certificados NVIDIA Code Signing foram usados para assinar código por autores de várias ferramentas de malware e hacking, incluindo modificações de Cobalt Strike, malware Mimikatz, backdoors e trojans para fornecer acesso remoto discreto ao sistema com direitos administrativos . Há também malware em alguns drivers modificados hospedados em recursos de terceiros, mas assinados pela NVIDIA.
Notavelmente, os invasores usam certificados NVIDIA expirados, mas o Windows ainda permite que drivers assinados com esses certificados sejam carregados e executados.
Assim, usando esses certificados roubados, os invasores têm a vantagem de fazer seus programas parecerem programas NVIDIA legítimos e permitir que o Windows carregue drivers maliciosos e execute executáveis infectados.
Especialistas em segurança da informação aconselham o uso de um método adicional de proteção contra a instalação de drivers infectados. Por exemplo, os administradores podem configurar a política do Windows Defender Application Control (WDAC) para controlar quais drivers NVIDIA podem ser carregados. Eles também desaconselham a instalação de drivers NVIDIA de fontes desconhecidas e certifique-se de verificá-los antes de instalá-los em ambientes antivírus, por exemplo, analisando-os por meio do VirusTotal.
O problema é que os certificados roubados podem em breve ser adicionados à CRL da Microsoft para evitar que o Windows carregue drivers maliciosos. No entanto, os usuários comuns podem sofrer por causa disso. Ele também bloqueará os drivers NVIDIA corretos instalados anteriormente e fará com que o sistema operacional Windows não funcione corretamente.
Em 26 de fevereiro, a NVIDIA lançou uma investigação sobre um ataque cibernético em seus sistemas. Em seu percurso, foram roubadas 71 mil credenciais de funcionários da empresa.
Mais tarde, soube-se que os hackers do Lbbabo.netSU$ invadiram a rede interna da NVIDIA e copiaram mais de 1 TB de dados críticos da empresa. A NVIDIA tentou hackear e criptografar os dados confidenciais copiados para impedir sua distribuição. Ela quase conseguiu, mas o backup ajudou os hackers. Depois disso, os hackers começam a espalhar partes do vazamento na comunidade fechada. Por exemplo, eles publicaram o código-fonte dos drivers NVIDIA.
Em 28 de fevereiro, hackers do Lbbabo.netSU$ revelaram que os dados roubados da NVIDIA continham drivers, circuitos, firmware e um algoritmo para o limitador de hash RTX 30. Eles começaram a distribuir parte do vazamento em domínio público.
Em 2 de março, hackers exigiram que a NVIDIA criasse drivers GeForce para Windows, macOS e Linux de código aberto sob uma licença gratuita. Se a empresa não fizer isso até 4 de março, os hackers publicarão desenvolvimentos confidenciais da empresa em domínio público: especificações completas dos chipsets, seus esquemas, o design das GPUs atuais e novas da NVIDIA, bem como RTX 3090 Ti Arquivos Verilog.
Além disso, hackers da Lbbabo.netSU$ colocaram à venda por US$ 1 milhão os dados do algoritmo para o limitador de hash RTX 30 do vazamento da NVIDIA. Eles afirmam que, com essas informações, é possível fazer uma ferramenta para contornar o limite de mineração para cartões com hashrate Ethereum reduzido pela metade para chips GA102 e GA104 na arquitetura Ampere. Os hackers explicaram que será possível remover a restrição de mineração programaticamente e sem alterar o firmware do BIOS das placas de vídeo, e o código para neutralizar a ferramenta antimineração da NVIDIA pode ser incorporado a todos os mineradores modernos.
bbabo.Net