BadBIOS - malware kỳ lạ phá hoại phần sụn máy tính và lây qua lap dat camera loa/mic?

Trong nhiều tháng sau đó, Ruiu đã theo dõi các triệu chứng kỳ lạ chưa từng có trên nhiều chiếc máy tính khác. Một chiếc máy tính chạy hệ điều hành nguồn mở nhân Unix - OpenBSD cũng bắt đầu tự điều chỉnh thiết lập và xóa dữ liệu mà không hề báo trước. Ruiu phát hiện dữ liệu truyền tải qua mạng dùng giao thức Internet đời mới IPv6 và lạ lùng thay chúng được truyền từ những chiếc máy tính mà IPv6 đã bị vô hiệu hóa. Điều kỳ lạ nhất mà Ruiu nhận ra là những chiếc máy tính bị lây nhiễm có khả năng tryền các gói dữ liệu nhỏ với những chiếc máy tính khác ngay cả khi chúng không cắm dây sạc, không dùng cáp Ethernet, card Wi-Fi và Bluetooth đã bị gỡ bỏ. Hoạt động điều tra tiếp kiến mở mang danh sách các hệ điều hành bị truyền nhiễm, không chỉ Mac OS X, OpenBSD mà còn là Windows và Linux. Ruiu cho biết trong suốt 3 năm, hiện tượng lây nhiễm bí hiểm vẫn xuất hiện dai dẳng, giống như một loại vi khuẩn lạ có thể sống sót trước những loại kháng sinh mạnh nhất. Mỗi chiếc máy tính bị truyền nhiễm sẽ mất nhiều giờ hay thậm chí nhiều tuần để dọn sạch malware thế nhưng triệu chứng lây truyền có thể xuất hiện trở lại. Dấu hiệu truyền nhiễm có thể thấy được ngay là một chiếc máy tính không thể boot từ đĩa CD nhưng một số triệu chứng khó thấy hơn có thể được phát hiện khi sử dụng các phương tiện giám sát tiến trình như Process Monitor hay Task Manager - được thiết kế để soát lỗi và giám định điều tra. Một đặc tính thích khác là bên cạnh khả năng vượt cơ chế tĩnh không (airgap - một thước đo bảo mật mạng nhằm đảm bảo một mạng lưới máy tính an toàn được cách ly vật lý với các mạng máy tính thiếu an toàn, chả hạn như Internet công cộng và kết nối mạng cục bộ không đảm bảo), malware tuồng như có khả năng tự bình phục. "Chúng tôi có một chiếc máy tính đã được cách ly airgap, BIOS của máy vừa được flash lại, lắp ổ cứng trống hoàn toàn, không có dữ liệu nào trên đó và cài đặt hệ điều hành Windows từ đĩa CD. Tại một thời khắc, lúc chúng tôi đang chỉnh sửa vài thành phần thì hốt nhiên hệ thống registry của máy bị vô hiệu hóa. Nó giống như: có gì đó là lạ, làm thế nào điều này có thể xảy ra? Làm thế nào chiếc máy có thể phản ứng và tiến công lại phần mềm mà chúng tôi đang dùng để tiến công nó? Đây là một chiếc máy tính đã được cách ly an toàn và điều sửng sốt nhất là tính năng chừng trong trình chỉnh sửa registry (Registry Editor - regedit) ngưng hoạt động khi chúng tôi đang dùng nó để tìm các khóa đăng ký," Ruiu kể lại. Hơn 2 tuần trước, Ruiu đã đăng cứ liệu điều tra về trường hợp của mình trên các mạng từng lớp Twitter , Facebook , Google+ và giả thuyết mà ông chia sẻ đã thu hút được sự quan hoài của một số chuyên gia bảo mật hàng đầu thế giới. Ruiu tin rằng malware được truyền qua những chiếc bút nhớ (USB) để lây vào các phần cứng cấp thấp nhất của máy tính. Với khả năng tụ tập vào hệ thống xuất/nhập căn bản (BIOS), giao diện firmware mở rộng thống nhất ( UEFI ) và khả năng là những tiêu chuẩn phần sụn khác, malware nói trên có thể tiến công một loạt các nền tảng, trốn tránh trước các loại hình nhận dạng phổ biến và sống sót trước những nổ lực triệt triệt để. Tuy nhiên, câu chuyện của Ruiu vẫn chưa dừng lại. Ông tiếp đưa ra một giả thuyết không tưởng khác: loại malware được ông đặt tên là " badBIOS " có khả năng dùng tần số cao để lây nhiễm, cụ thể là giữa loa máy tính và microphone để vượt khoảng trống không gian airgap.  Hiện tượng Bigfoot:  Chuyên gia bảo mật Dragos Ruiu. Sự lây truyền dằng dai và bí hiểm của malware badBIOS có thể được ví như Bigfoot - quái vật chân to vẫn được giới khoa học săn tìm trong nhiều thập kỷ qua và sự tồn tại của nó vẫn chưa được khẳng định hoặc phủ nhận. Thật vậy, Ruiu đã nhấn rằng trong khi có rất nhiều chuyên gia hỗ trợ điều tra nhưng không ai phản biện quy trình hay phát hiện của ông. Dragos Ruiu là một chuyên gia bảo mật đến từ Canada. Ông là người đứng ra tổ chức các hội nghị bảo mật nức danh như CanSecWest và PacSec đồng thời là nhà sáng lập cuộc thi hacking Pwn2Own. Với vai trò và tầm ảnh hưởng lớn trong thế giới bảo mật, Ruiu dĩ nhiên là một mục tiêu quyến rũ đối với các điệp viên cũng như các hacker nhằm mục đích tài chính. Tuy nhiên, Ruiu không phải là đích hấp dẫn nhất mà chính là hàng trăm hàng ngàn đồng nghiệp của ông - những người chưa từng đối mặt với hiện tượng kỳ lạ mà Ruiu gặp phải trên máy tính và hệ thống mạng của mình. Trái ngược với chủ nghĩa hiềm nghi phổ quát trong văn hóa bảo mật và hacking, các đồng nghiệp của Ruiu hồ hết đều phản ứng với một sự quan ngại lớn và họ thậm chí bị thuyết phục bởi thông tin của ông về badBIOS. Vào tuần trước, Alex Stamos - một trong những nhà nghiên cứu bảo mật đáng tin cẩn nhất đã viết trên trang Twitter cá nhân rằng: "Mọi người trong giới bảo mật cần phải dõi theo @dragosr và xem những phân tích của anh ta về #badBIOS." Trong khi đó, Jeff Moss - nhà sáng lập hội nghị bảo mật Defcon và Blackhat song song là cố vấn của thư ký Bộ An ninh Nội địa Hoa Kỳ -Janet Napolitano về bảo mật máy tính đã phản hồi trước dòng Tweet của Alex rằng: "Đây không phải là trò đùa, nó thật sự nghiêm trọng" và rất nhiều chuyên gia khác cũng tỏ sự nhất trí. Theo nhà nghiên cứu bảo mật Arrigo Triulzi: "Dragos là một trong những người đáng tin cậy và tôi chưa bao giờ nghĩ anh ta thiếu trung thực. Những gì Ruiu nói không phải là khoa học viễn tưởng được sáng tạo bởi một cá nhân, nhưng chúng ta chưa từng thấy thứ gì na ná từ trước đến nay."  Những khả năng:  Triulzi cho biết anh đã chứng kiến rất nhiều loại malware tấn côn firmware trong phòng thí điểm. Từng có một khách hàng của anh sử dụng máy tính Mac và BIOS của máyNgười dùng có thể tự lắp hệ thống camera quan sát nếu biết về máy tính và mạng. Các nhà cung cấp camera chuyên nghiệp chỉ tính những phí phát sinh kể từ khi người dùng quyết định mua hàng, thậm chí đến tận nơi lắp đặt để tư vấn miễn phí. Tuy nhiên, việc lắp đặt hệ thống camera thường liên quan đến mạng và Internet nên phương án để bên bán gửi kỹ thuật viên đến khảo sát, thi công là tốt hơn cả. Chi phí cho việc thuê lắp đặt một cái camera thường dao động từ 200.000 đến 300.000 đồng tùy mức độ phức tạp tại hiện trường và đây là giá tính ở nội thành TP.HCM.Bạn đọc Minh Hoàng (minhhoang@...) Cho rằng cần phải công bố rộng rãi thông tin những tuyến đường đang lắp đặt camera đến với người dân. “Dù nhiều lần đi lại trên tuyến Pháp Vân – Cầu Giẽ nhưng sau khi đọc Báo CAND tôi và một số bạn bè mới biết tại đây đã được lắp đặt camera giao thông. Theo tôi cần phải công bố rộng rãi cho người dân biết những đường nào đã lắp camera; thậm chí tại đây cần có biển gắn thông báo nêu rõ điều đó. Ngoài ra tại các tuyến đường có camera cần đặt các chốt Cảnh sát cố định và xử lý liên tục 24/24h tất cả những vi phạm như thế mới tăng tính răn đe. Thay vì cách làm từng đợt cao điểm hoặc xử lý không liên tục như hiện nay”. Bị nhiễm malware. 5 năm trước, bản thân Triulzi cũng đã chứng minh ý tưởng về một loại malware có thể dấm dúi lây nhiễm các bộ điều khiển giao tiếp mạng nằm trên bo mạch chủ của máy tính. Nghiên cứu của anh được xây dựng dựa trên một cơ sở nghiên cứu của John Heasman - người đã biểu diễn cách cấy một loại malware khó phát hiện được biết đến với tên gọi rootkit vào các thành phần ngoại vi liên kết với nhau của một chiếc máy tính - cụ thể hơn là một kết nối được Intel phát triển để kết liên các thiết bị phần cứng vào CPU. Ngoài ra, theo chuyên gia bảo mật kiêm CEO của công ty thể nghiệm xâm nhập Errata Security - Rob Graham thì vẫn có khả năng sử dụng âm thanh tần số cao để truyền tải các gói dữ liệu dối. Các tiêu chuẩn mạng thời gian đầu đều sử dụng kỹ thuật này và gần đây hơn thì các nhà nghiên cứu tại viện MIT cũng đã sử dụng mạng siêu thanh để truyền tải dữ liệu. Ví dụ nêu trên chứng minh tính khả thi của loại rootkit lây nhiễm firmware hay khả năng truyền tải dữ liệu bằng sóng siêu âm trong phòng thí điểm. Vậy trên thực tế thì sao? Triulzi gợi ý rằng badBIOS là một thứ khác biệt so với những loại malware mà chúng ta từng biết và nó hoàn toàn có thể được tạo ra. Ông đưa ra chứng dẫn về việc dùng một chiếc USB để truyền nhiễm trên một loạt các nền móng máy tính ở cấp độ BIOS, tương tự hệ thống phân phối được tìm thấy trên Stuxnet - một loại sâu máy tính do chính phủ Mỹ phối hợp cùng Israel tạo ra để phá hoại chương trình hạt nhân của Iran. Trước thưa của Ruiu về khả năng vượt airgap của badBOS, ông nối so sánh với Flame - một loại malware được chính phủ "tài trợ" có thể sử dụng tín hiệu Bluetooth để giao tế với các thiết bị không kết nối Internet. Graham nói: "Thật sự, những gì Dragos mỏng về badBIOS có thể được thực hành dễ dàng với khả năng của nhiều người. Nếu bỏ ra 1 năm, tôi có thể viết một thứ rưa rứa badBIOS. Sử dụng sóng âm thanh tần số siêu cao để giao du giữa các máy tính là một điều rất dễ." Một điều trùng hợp là các tờ báo tại Ý trong tuần này đã đưa tin về việc các điệp viên Nga đã tìm cách theo dõi những cá nhân chủ nghĩa thap gia hội nghị kinh tế cấp cao G20 diễn ra hồi tháng trước bằng cách đưa cho họ bút nhớ USB và những sợi cáp sạc được lập trình sẵn để chặn hoạt động liên lạc của họ.  Phát hiện:  Trong 3 năm, Ruiu vẫn đang "vật lộn" với badBIOS và cơ chế truyền nhiễm của nó vẫn nằm trong bức màn bí hiểm. Vài tháng trước, sau khi mua một chiếc máy tính mới, Ruiu đã nhận ra nó gần như tức khắc bị lây sau khi ông cắm một chiếc USB vào máy. Ông mau chóng đưa ra giả thuyết rằng các máy tính bị lây truyền có thể đã truyền malware vào USB và ngược lại. "Điều tôi nghi là đã có hiện tượng tràn bộ đệm khi BIOS tự đọc trình điều khiển (driver) và chúng (badBIOS) đã tái lập trình các bộ điều khiển ổ nhớ gây quá tải BIOS và sau đó tự động thêm một thành phần vào bảng BIOS," Ruiu giải thích. Ông vẫn không biết phải chăng USB chính là dụng cụ kích hoạt lây truyền trên chiếc MacBook Air của mình cách đây 3 năm nay hay không và cũng không loại trừ khả năng USB đã bị lây nhiễm chỉ sau khi xúc tiếp với một chiếc máy nào đó, theo ông là 1 trong số 24 chiếc máy đang sử dụng trong phòng thử nghiệm. Tại hội nghị PacSec diễn ra vào tháng tới, Ruiu cho biết ông đã lên kế hoạch dùng một dụng cụ phân tách USB đắt tiền với hy vọng cung cấp thêm những bằng chứng mới về cơ chế truyền nhiễm. Ông gợi ý badBIOS chỉ là mô-đun kích hoạt của một gói dữ liệu nhiều tuổi với khả năng truyền nhiễm các hệ điều hành Windows, Mac OS X, BSD và Linux. "Nó xuất hiện từ mạng máy tính hay xuất hiện từ một chiếc USB bị nhiễm trước đó? Đây cũng là một phỏng đoán cho lý do vì sao máy chẳng thể phát động từ đĩa CD. Malware muốn duy trì sự hiện diện trên hệ thống và cố nhiên nó không muốn bạn phát động một OS khác mà nó không được lập trình để lây," Ruiu đề ra giả thuyết.  Mọi thứ vẫn đang được khắc phục:  Ruiu cho biết ông đã đi đến giả thuyết về khả năng truyền dữ liệu bằng âm thanh tần số cao của badBIOS sau khi quan sát các gói dữ liệu mã hóa được gởi nhận từ một chiếc laptop bị lây mà nó không hề có kết nối mạng, nhưng được đặt gần với một chiếc máy tính nhiễm badBIOS khác. Các gói dữ liệu được truyền đi ngay cả khi card Wi-Fi và Bluetooth của laptop đã bị gỡ bỏ. Ruiu cũng ngắt kết nối nguồn để máy chạy bằng pin nhằm loại bỏ khả năng máy nhận được tín hiệu từ kết nối điện. Mặc dầu vậy, các công cụ chẩn đoán vẫn cho thấy hoạt động truyền tải các gói dữ liệu vẫn được duy trì giữa 2 chiếc máy đã được cách ly. Sau cùng, khi Ruiu tháo bỏ loa và mic tích hợp trên 2 máy thì ngay lập tức, hoạt động truyền dữ liệu dừng lại. Nếu để nguyên loa và mic, 2 chiếc máy tính cách ly nghe đâu có thể sử dụng kết nối tần số cao để duy trì tình trạng truyền nhiễm badBIOS. Ruiu cho biết: "Máy tính được cách ly airgap vẫn hoạt động như thể đang kết nối Internet. Vấn đề lớn nhất mà chúng tôi đang gặp phải là chúng tôi chỉ có thể chỉnh sửa đơn giản vài thành phần của hệ thống. Nó (badBIOS) vô hiệu hóa nhiều thứ. Thế nhưng ngay khi chúng tôi phá vỡ kết nối giữa 2 máy, mọi thứ được hồi phục tự động. Thật là kỳ lạ." Vẫn còn quá sớm để tự tín mà nói những gì Ruiu đã và đang quan sát là một loại rootkit lây truyền qua USB có thể tiến công thành phần thấp cấp nhất của một chiếc máy tính và dùng nó để lây trên nhiều hệ điều hànhTính đến giữa tháng 4-2013, toàn Ngành mới có 13 hệ thống camera giám sát lắp đặt tại các đơn vị: Cục Hải quan Hà Nội, Hải Phòng, Quảng Ninh, Lào Cai, Tây Ninh, Đồng Nai, Bình Dương, Đà Nẵng. Tuy nhiên, đa số các cục hải quan được trang bị camera mới chỉ có camera quan sát, rất ít đơn vị được trang bị camera nhận dạng.Việc trang bị đồng bộ hệ thống camera quan sát và camera nhận dạng tại cảng nội địa, cửa khẩu sân bay quốc tế, cảng biển, cửa khẩu đường bộ đảm bảo công tác giám sát hải quan 24 giờ/7 ngày; nhận dạng số container, biển kiểm soát ô tô và thời gian vận chuyển ra vào khu vực giám sát hải quan.Phó trưởng Phòng Nguyễn Thị Chung Thủy cho biết thêm, Cục Hải quan Hà Nội quản lý 3 cảng nội địa (ICD): Thụy Vân (Phú Thọ), Gia Thụy, ICD Mỹ Đình và mới chỉ có một ICD có hệ thống camera giám sát do DN lắp đặt. Để đồng bộ việc lắp đặt hệ thống camera giám sát hải quan tại các ICD, đơn vị cũng đang rà soát thực tế địa bàn đề xuất Tổng cục Hải quan trang bị hệ thống camera giám sát. Bằng một loại malware chẳng thể phát hiện. Và càng khó hơn để vững chắc rằng liệu các hệ thống bị truyền nhiễm có sử dụng sóng âm thanh tần số cao để giao dịch với các máy cách ly khác không. Sau gần 2 tuần với các chủ đề bàn bạc trực tuyến, không ai có thể xác định vấn đề thật sự mà Ruiu đang gặp phải. "Nó giống như một loại hình thâm nhập tinh tướng và tiên tiến hơn những gì chúng tôi có thể nhấn. Chúng tôi nhận thấy cá thủ tục điều tra của mình vẫn quá yếu kém khi đối mặt với những thử thách như vậy. Các công ty cần phải cẩn thận hơn khi sử dụng dữ liệu điều tra nếu chạm trán với những kẻ tấn công tinh vi như trường hợp của badBIOS.  ...  Ngay sau khi Ruiu đăng những điều tra của mình lên mạng tầng lớp, một chuyên gia bảo mật nức danh không kém là Phillip Jaenke (còn được biết đến với cái tên rootwyrm)Theo Tổng cục Hải quan, container hàng hóa XK, NK đưa vào đưa ra khu vực ICD qua cổng ICD sẽ được giám sát bằng camera quan sát và camera nhận dạng. Hệ thống này được tích hợp với các phần mềm quản lý hải quan như quản lý tờ khai, quản lý rủi ro, quản lý hàng chuyển cửa khẩu… và các chương trình của DN kinh doanh ICD. Nhờ đó, hệ thống quản lý rủi ro tự động cung cấp thông tin cảnh báo đối với lô hàng, container cần theo dõi, giám sát chặt chẽ trong quá trình tập kết tại kho bãi ICD, vận chuyển từ ICD đối với lô hàng, container chưa thông quan hoặc thông tin yêu cầu kiểm tra container ngay tại ICD… Giám sát bằng camera quan sát cũng sẽ được lắp đặt tại khu vực kiểm tra thực tế hàng hóa, khu vực tiếp nhận và kiểm tra hồ sơ hải quan để theo dõi toàn cảnh các khu vực, giám sát liên tục được đối tượng cần theo dõi.Tại Hải quan Hải Phòng, đến nay đơn vị đã hoàn tất việc lắp đặt và đưa vào sử dụng hệ thống camera giám sát hải quan tại hai chi cục là Chi cục Hải quan cửa khẩu cảng Hải Phòng khu vực I và khu vực II. Đã đăng tải ý kiến của mình trên trang web riêng và cho rằng mọi người đã hiểu sai về badBIOS cũng như quá lo âu về nó. Trích lời Jaenke: Phil Jaenke. Thực tế thì mọi thứ tôi đã đọc về badBIOS là hoàn toàn không đúng; từ cái khái niệm gọi là "thoát khỏi không gian cách ly airgap" cho đến những thứ khác. Tôi đã xúc tiếp với nhiều loại malware tấn công BIOS và firmware trong quá cố. Tôi cũng đã tham gia phát triển và chỉnh sửa BIOS trong vòng 2 thập kỷ. Đây là một kỹ thuật rất quan yếu để bạn có thể chế tạo tốt các hệ thống thường ngày mà không cần đến chỉ dẫn từ các nhà sinh sản chuyên nghiệp. Hoạt động phân tách sẽ trở thành nực cười nếu mọi người không thật sự chú trọng và tin tưởng.# Dựa trên các trường hợp và thí dụ cụ thể. Kết quả là họ đang đi sai đường. Trước nhất hết, ý tưởng ở đây là một loại malware BIOS có thể thoát khỏi không gian cách ly airgap và truyền đến máy khác. Thật nực cười! Tôi không quan hoài bạn nghĩ là mình biết - nhưng mã BIOS không thể truyền đi được hay nói cách khác nó không thiên cư (portable). Thậm chí bạn có được một nguồn mã BIOS của nhiều bo mạch chủ phổ biến thì trên mỗi model, phiên bản chỉnh sửa và phiên bản thứ cấp đòi hỏi bạn phải viết lại các thành phần UEFI trước khi có thể đổi thay thư viện và vỏ UEFI. Thứ 2, ý tưởng về malware BIOS có thể xô trước các phương tiện dò tìm lại càng nực cười hơn. Tôi đã làm việc với BIOS qua nhiều thế hệ và tôi có thể phát hiện mọi hoạt động nạp mã độc gần như ngay lập tức. Hiện tại thì tôi không gặp khó khăn gì để phát hiện mã độc qua bảng trích giải dump ROM. Khi tôi mở bảng trích giải BIOS bằng phương tiện MMTool của American Megatrend (dụng cụ phân tích dành riêng cho Aptio V - loại UEFI mà họ sinh sản), tôi không chỉ có thể theo dõi mà còn trích giải được từng thành phần thực thi đơn lẻ của BIOS. Các thành phần này bao gồm mã microcode của CPU, Ethernet Option ROM, firmware phần cứng âm thanh v.V… Một phép so sánh đơn giản có thể ngay tức khắc phơi bày những thay đổi dù là nhỏ nhất đối với hồ hết các thành phần. Đây không phải là một dụng cụ "có sẵn và miễn phí" nhưng nếu chịu khó cữ thì bạn vẫn dễ dàng có nó trong tay. Nếu vẫn chưa đủ thì đây là một phần bảng chú giải từ phương tiện MMTool . Bạn nhận thấy gì không? Firmware được chia nhỏ thành các vùng. Đây là AMI BIOS 8 MB của một chiếc bo mạch chủ Gigabyte. Hồ hết các bo mạch chủ UEFI đều có 4 MB bộ nhớ (32 Mbit) - rõ ràng là không lớn. Điểm cần chú ý là mọi thay đổi trên firmware ở đây đều dễ dàng bị phát hiện, chọn ra và tách bỏ. Mọi nổ lực mã hóa các thành phần tại đây sẽ tăng yêu cầu thực thi hệ thống lên rất cao, rất đặc trưng. Mỗi khi bạn chỉnh sửa một trong số các thần phần nói trên, một vùng đặc số rà checksum không truy xuất sẽ cảnh báo bạn. Dòng thông tin thường thấy là: "BIOS Checksum Error: Press F1 to continue, Del to enter Setup." Không dừng lại ở đó, BIOS có tính đặc trưng cực cao. Mã có thể hoạt động ở một cấp độ mà chúng ta hoàn toàn không có khả năng khái niệm hóa ở thời điểm ngày nay. Ngoài ra, tính đặc trưng cực cao của BIOS còn phụ thuộc vào những chân xúc tiếp và dây dẫn gắn với bo mạch. Bạn chẳng thể lấy một con BIOS 8 MB của AMI từ một bo mạch nào đó và gắn vào một chiếc bo mạch khác. Đây là lý do tại sao các loại BIOS do AMI, Phoenix Technologies chỉ chuyên dùng cho bo mạch Gigabyte và Award hay InSyde chỉ dùng trên bo mạch của máy tính Sony/HP. Có thể gọi khái niệm này là common core và các lõi đặc trưng này chỉ hỗ trợ từng loại bán dẫn và dây dẫn trên một bo mạch riêng biệt. Từ dẫn chứng trên, tôi cho rằng việc malware vượt khoảng không cách ly bằng tần số âm thanh siêu cao thật sự nực cười. Điều này có thể xảy ra trên lý thuyết và đã được chứng minh bằng việc sử dụng chuỗi các cổng logic lập trình phân vùng FPGA và bo mạch trần. Thế nhưng để thực hành, hệ thống đòi hỏi phải được chống nhiễu EFI/MRI nhằm ngăn truyền tải tín hiệu bằng các kỹ thuật biến đổi điện áp khác nhau. Tiếp theo, kỹ thuật áp dụng điện áp đòi hỏi phải chạy các đoạn mã mà chúng chỉ có thể hoạt động trên một loại bo mạch đặc trưng. Ý tưởng có thể đưa ra là một loại bo mạch chủ đa nền tảng, đa năng, có khả năng nhận nhiều loại BIOS. Thế nhưng UEFI không phải là một hệ thống thực thi có thể di cư. Vấn đề ở đây là MÃ di trú và ngay cả khi chúng đã bị phá hỏng, mã Intel Tiano sẽ chẳng thể chạy trên Phoenix SecureCore; Phoenix SecureCore không thể chạy trên Aptio V và Aptio V không thể chạy trên InsydeH2O mà không qua chỉnh sửa. Về cái ý tưởng sử dụng card âm thanh để vượt khoảng không airgap, điều này thật rồ dại. Một chiếc card âm thanh máy tính, chả hạn như Realteak AC889 thì nó không thể nhận tín hiệu âm thanh ở cấp độ BIOS bởi mic lúc này vẫn chưa được kết nối và khởi động. Khi khởi động BIOS thì có thể bạn nghe một tiếng "bong hay bum" gì đó và bạn tưởng rằng nó phát sơ sài? KHÔNG. Đây là một kết nối mềm kích hoạt GPIO trong firmware biên/giải mã âm thanh. Nó có trên máy tính từ những năm cuối thập niên 90. Cho nên, BIOS không bao giờ hấp thu được âm thanh qua mic ở tuổi này. Thêm nữa, tiêu chuẩn Audio 101 về tầm phát/nhận âm thanh đặc thù cho biết mic trên laptop thường nhật có tần số thu âm từ 5000 đén 14.000 Hz. Mọi âm thanh ngoài tầm thu âm này đều vô dụng và mic chẳng thể nhận được. Trong khi đó, loa trên laptop của bạn có thể có tần số từ 160 đến 20.0000 Hz nếu bạn may mắn. Âm thanh trong tần số này có thể nghe rõ. Nhưng hoạt động truyền tải tần số cao đòi hỏi bạn phải có các thành phần thu phát tần số cao. Và điều này là chẳng thể trên các thiết bị được thông qua bởi Ủy ban truyền thông liên bang Mỹ (FCC). BadBIOS thật sự có năng lực truyền tải bằng sóng âm thanh? Câu giải đáp là CÓ. Trên lý thuyết thì chúng ta có thể tạo ra một loại malware phá hoại thành phần thấp cấp của BIOS một cách bí ẩn. Nhưng nó chỉ có thể lây nhiễm trên một loại máy tính một mực và thậm chí chẳng thể trốn tránh trước các giải pháp phát hiện từ xa bằng các kỹ thuật phân tách cơ bản nhất chứ chưa nói đến các kỹ thuật bảo mật cao cấp hơn. Ai cũng có thể xem hướng dẫn và sử dụng Intel RSTe OROM để so sánh kết quả trích giải và phát hiện những đổi thay kỳ lạ trên BIOS. Theo tôi nghĩ, thứ 1 là một số chuyên gia bảo mật cho rằng mình giỏi trong lĩnh vực bảo mật nhưng thật sự không biết gì về cách phần cứng hoạt động. Thứ 2 là badBIOS hiển nhiên không phải là một loại malware phá hoại BIOS/firmware. Nó vẫn còn dễ bị phát hiện và nó không có cách nào có thể truyền nhiễm từ Apple sang PC hay thậm chí từ PC sang PC hoặc MacBook 2013 sang MacBook 2011. Tôi không cho rằng BIOS hay UEFI đủ an toàn nhưng tôi nói những gì bạn biết về badBIOS ngày nay là không xác thực. Trên đây vẫn là quan điểm cá nhân của Jaenke bởi nhiều chuyên gia khác vẫn đồng tình với nghiên cứu của Ruiu. BadBIOS là gì, cơ chế hoạt động của nó như thế nào và nó có thật sự nguy hiểm? Hạ hồi phân giải!   Theo: ArsTechnica ; RootWyrm