「Thunderspy攻擊」PC、筆電都危險！利用 Thunderbolt 漏洞，一根螺絲起子五分鐘就能竊取資料

來自荷蘭埃因霍溫理工大學的開發者Björn Ruytenberg在thunderspy.io網站公開了Thunderspy的概略說明，這種針對Thunderbolt介面進行的攻擊手法可以繞過電腦鎖定或硬碟加密保護，攻擊者只需接觸到電腦約5分鐘左右的時間，就能不著痕跡地竊取資料，更麻煩的是甚至無法透過軟體更新修補。

輕鬆突破多重保護

根據thunderspy.io網站所提供的資訊，Thunderspy是種利用Thunderbolt介面漏洞進行攻擊的手法，對於有搭載Thunderbolt端子的電腦來說，即便電腦處於鎖定或睡眠狀態，而且硬碟已加密的情況，攻擊者只要短暫物理接觸電腦（意味無法從遠端攻擊），就可以讀取和複製電腦中的所有資料。

攻擊者可以獨立進行Thunderspy攻擊，過程中不需與受害者互動，所以不需誘騙受害者點擊釣魚連結或是插入隨身碟等惡意硬體，且攻擊過程是隱匿的，受害者難以找到任何攻擊痕跡。

Thunderspy的麻煩之處還不只這樣，如果使用者已經提高電腦的安全防護，在離開電腦時將其鎖定或睡眠，並啟用Secure Boot、BIOS保護、作業系統密碼、硬碟全機加密等防護措施，攻擊者還是僅需螺絲起子和一些攜帶方便的硬體，就能在5分鐘的時間攻破防線。

雖然說Thunderspy無法從遠端發動攻擊，攻擊者需要實際接觸到電腦才能竊取資料，但因為可以繞過許多防護措施，而且需要的時間很短，可能會受到邪惡女傭攻擊（Evil Maid Attack），所以仍具有相當高的危險性。

舉例來說，如果受害者為住在旅館的商務人士，而攻擊者為打掃的房務人員，那麼攻擊者只要趁打掃的時候將電腦開機（停在登入畫面不輸入密碼），就可能將電腦中的機密資料竊走。

漏洞難以透過軟體修補

Björn Ruytenberg也在thunderspy.io提出了Thunderspy的概念驗證展示影片，他先讓攻擊目標開機並停留在輸入密碼的畫面，然後將稱為「Bus Pirate」的裝置連接至目標電腦Thunderbolt控制器的SPI介面，先讀出控制器韌體，並將其改寫後寫回，最後將Thunderbolt介面的攻擊裝置連接至目標電腦，就可以搭配特殊軟體在不輸入密碼的情況下登入目標電腦的作業系統，進而開始竊取內部資料。

此外Björn Ruytenberg也提出了多個概念驗證，包括建立任意Thunderbolt設備身份（Device Identity）、複製目標電腦的設備身份並執行DMA攻擊、將禁用Thunderbolt或僅限USB、DisplayPort功能的端子恢復Thunderbolt傳輸能力、永久關閉Thunderbolt安全性功能、阻檔更新韌體等等。

這個漏洞會影響於2011年至2020年推出搭載Thunderbolt 1、2、3的電腦，僅有部分於2019年後推出且搭載Kernel DMA Protection保護機制的電腦可以免除部分風險，甚至會影響到USB 4與Thunderbolt 4等未來規範，而且這個問題無法以軟體方式修補，需要修正硬體才能解決。

Björn Ruytenberg提供了開源的Windows、Linux版Spycheck程式，協助使用者判斷電腦是否受到影響，並提出相關資安建議，有需要的讀者可以至thunderspy.io網站下載。

採用Thunderbolt埠的個人電腦含有無法修補的安全漏洞

荷蘭安荷芬理工大學（Eindhoven University of Technology）的研究人員近日揭露，由英特爾（Intel）與蘋果共同開發的Thunderbolt介面含有安全漏洞，只要給駭客實體接觸裝置5分鐘的時間，就能讀取及複製裝置上的所有資料，影響Thunderbolt 1、2、3，並波及自2011到2020年間、支援Thunderbolt連結埠的個人電腦。此外，研究人員指出，其實英特爾早就知道相關漏洞的存在，但遲遲未修補，推斷相關漏洞無法透過軟體修補，只能藉由變更晶片設計解決。

Thunderbolt為一硬體連結介面，可用來連結其它周邊設備或進行充電，目前已釋出3個版本，是許多個人電腦的連結規格之一。

研究人員在Thunderbolt上發現了7個安全漏洞，包括不夠充份的韌體驗證、脆弱的裝置認證、可使用未經驗證的裝置元資料、利用向後相容性執行降級攻擊、採用未經認證的控制器配置、SPI快閃接口缺陷，以及在Boot Camp上缺乏Thunderbolt安全機制，並將它們統稱為Thunderspy。

Thunderspy漏洞可用來執行9種攻擊場景，而研究人員的作法則是打造一個任意的Thunderbolt裝置身分，克隆經使用者認證的Thunderbolt裝置，最終取得PCIe連線並執行直接記憶體存取（Direct Memory Access，DMA）攻擊。

相關攻擊完全不需要使用者的互動，也不受以下情境的限制，包括：電腦是否處於休眠的鎖住狀態、裝置已設定Secure Boot、採用強大的作業系統或BIOS、啟用硬碟加密，只要讓駭客能夠實際存取Thunderbolt裝置，再加上一支螺絲起子與客製化的Thunderbolt硬體，5分鐘就能攻陷電腦。

所有自2011年到2020年間出貨的、支援Thunderbolt的個人電腦都受到Thunderspy漏洞的影響，包括Windows、Linux與macOS。2019年之後出貨的某些系統，因為具備Kernel DMA Protection功能，受到的衝擊相對輕微，但無法完全倖免於難，仍舊面臨類似邪惡USB（BadUSB）的攻擊風險。

研究人員警告，Thunderspy不僅無法藉由軟體修補，還可能影響尚未出爐的USB 4與Thunderbolt 4，得重新設計晶片才能解決。

英特爾也在同一天發表了官方聲明，表示他們是在今年2月接獲研究人員的通知，但相關漏洞並非是新的，而且作業系統業者已在去年修補。英特爾強調，研究人員使用客製化周邊設備所展示的攻擊行動，並未影響那些已修補的系統。

英特爾指的是，包括Windows、Linux與macOS都在去年導入了DMA保護，而研究人員以客製化設備所示範的攻擊行動，並不能攻陷這些系統。

然而，研究人員則說，就算作業系統嵌入了DMA保護，但該機制需要硬體與UEFI（BIOS）的支援，因此只有在2019年之後的系統才可能具備該功能，而其它系統則會永遠曝露在Thunderspy漏洞風險中。

此外，研究人員表示，除了DMA保護之外，英特爾並未提供任何可解決Thunderspy漏洞的緩解措施，也未分配相關的漏洞編號，或公布任何的安全公告，可推測這些漏洞其實是無法藉由軟體修補，而是需要變更晶片設計。

事實上，英特爾只建議所有個人電腦用戶，都應該遵循標準的安全作法，像是只使用可靠的周邊裝置，以及避免讓未經授權的人存取電腦。

一根螺絲起子五分鐘就能竊取資料？🤔所以「竊取資料」全部都可以放在「一根螺絲起子」裡面！😈

Thunderspy PoC demo 1: Unlocking Windows PC in 5 minutes