Rosenbridge: pesquisa expõe backdoor de hardware em CPUs x86 da VIA

O que foi descoberto

O projeto rosenbridge, publicado no GitHub pelo pesquisador Christopher Domas (@xoreaxeaxeax), revela um backdoor de hardware em alguns processadores x86 para desktop, notebook e mercado embarcado. Segundo o repositório, a falha permite que código em ring 3 (userland) contorne as proteções do processador e leia e escreva livremente em dados de ring 0 (kernel).

O detalhe mais grave: embora o backdoor normalmente precise de execução em ring 0 para ser ativado, o autor afirma tê-lo encontrado habilitado por padrão em alguns sistemas, o que abriria caminho para que qualquer código sem privilégios modifique o kernel.

Como funciona

De acordo com a documentação do projeto, o rosenbridge é um pequeno núcleo não-x86 embutido ao lado do núcleo x86 principal na CPU. Ele é ligado por um bit de controle em um model-specific-register (MSR) e acionado por uma launch-instruction. A partir daí, o núcleo oculto recebe comandos empacotados em uma instrução x86 formatada de maneira específica e os executa, ignorando todas as proteções de memória e verificações de privilégio. O autor chama esse conjunto de comandos de deeply embedded instruction set (DEIS).

O projeto destaca que esse núcleo é distinto de outros coprocessadores conhecidos em CPUs x86, como o Management Engine (Intel) ou o Platform Security Processor (AMD). Segundo a descrição, ele é mais profundamente embutido: tem acesso não só a toda a memória da CPU, mas também ao register file e ao pipeline de execução.

Quais processadores são afetados

A fonte indica que apenas CPUs VIA C3 são consideradas afetadas. A linha C, conforme o texto, é voltada para automação industrial, pontos de venda (PDV), caixas eletrônicos (ATM) e hardware da área de saúde, além de desktops e notebooks de consumo.

O próprio projeto pondera o alcance: gerações de CPUs posteriores à C3 não contêm mais esse recurso. O trabalho é apresentado como estudo de caso e experimento mental sobre como backdoors podem surgir em processadores cada vez mais complexos.

Há ainda um disclaimer importante no repositório: o autor afirma não implicar intenção maliciosa. A hipótese apresentada é que a funcionalidade tenha sido criada de boa-fé como recurso útil para o mercado embarcado e deixada habilitada por engano em gerações iniciais do processador.

O que muda para quem constrói software no Brasil

Hardware VIA C3 é antigo e de nicho, mas o alerta é concreto para quem opera infraestrutura de longa vida útil. No Brasil, equipamentos de PDV, ATMs e sistemas de automação industrial costumam permanecer em campo por muitos anos, às vezes com o mesmo hardware embarcado rodando por mais de uma década. Devs e times de segurança que mantêm esse tipo de parque precisam ao menos mapear o que ainda roda em CPUs VIA antes de descartar a questão como irrelevante.

O repositório oferece ferramentas práticas para o processo:

• Verificação: clonar o repo, compilar o utilitário em util e rodar sudo ./bin/check após sudo modprobe msr.
• Mitigação: um script em fix que tenta fechar o backdoor cedo no processo de boot via atualização de MSRs.

Duas ressalvas importantes citadas pela própria fonte: o utilitário de checagem precisa rodar em baremetal (não em máquina virtual), está em estado alpha e pode travar sistemas não afetados. E, mesmo com o script de correção aplicado, um atacante com acesso em nível de kernel ainda pode reabilitar o backdoor, ou seja, a mitigação não é definitiva e exige adaptação por sistema.

Contexto

O trabalho é apresentado como ponto de partida para pesquisa mais profunda de vulnerabilidades em processadores. A ferramenta sandsifter, do mesmo autor, é usada de forma extensiva na descoberta de instruções desconhecidas, técnica que serviu de base para isolar a launch-instruction e a bridge-instruction do rosenbridge. As referências para whitepaper e slides estavam marcadas como TODO no repositório no momento da consulta.

Fonte: Hacker News