-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Firmware- en Intel Boot Guard-keys uitgelekt bij
                  ransomware-aanval op MSI
Advisory ID     : NCSC-2023-0235
Versie          : 1.00
Kans            : low
CVE ID          :
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  (Remote) code execution (Administrator/Root rechten)
Uitgiftedatum   : 20230510
Toepassing      : Intel Boot Guard
                  MSI-systemen
Versie(s)       :
Platform(s)     :

Beschrijving
   Eind maart is hardwarefabrikant MSI getroffen door een
   ransomware-aanval. Als gevolg van deze ransomware-aanval zijn
   volgens beveiligingsbedrijf Binarly private keys uitgelekt die
   worden gebruikt voor het digitaal ondertekenen van firmware voor
   moederborden. Tevens zijn private keys gecompromitteerd die door
   Intel Boot Guard worden gebruikt.

   Intel Boot Guard is technologie die door Intel is ontwikkeld. Intel
   Boot Guard verifieert tijdens het opstartproces van een systeem of
   de firmware van een moederbord digitaal door de leverancier is
   ondertekend. Het uitlekken van MSI's Intel Boot Guard- en
   firmware-keys stelt een kwaadwillende in staat om zelf malafide
   firmware te ondertekenen. Een kwaadwillende met (in beginsel lokale)
   toegang tot een kwetsbaar systeem kan deze firmware vervolgens
   installeren en uitvoeren. De kwaadwillende krijgt hiermee vergaande
   toegang tot het systeem waarbij alle bovenliggende
   beveiligingsmaatregelen worden omzeild. De kwaadwillende krijgt
   zodoende bijvoorbeeld toegang tot gegevens die op het systeem staan
   opgeslagen of kan de toegang gebruiken voor het uitvoeren van
   verdere aanvallen.

   Chipfabrikant Intel heeft aan het NCSC laten weten dat de gelekte
   private keys MSI-specifiek zijn en dus alleen voor MSI-systemen
   kunnen worden gebruikt. Moederborden van MSI zijn echter mogelijk
   verwerkt in producten van andere leveranciers. Daardoor kan misbruik
   van de gelekte keys dus mogelijk ook op deze systemen plaatsvinden.
   Zie "Mogelijke oplossingen" voor meer informatie over getroffen
   systemen.

   Omdat succesvol misbruik technisch complex is en in beginsel lokale
   toegang tot een kwetsbaar systeem vereist, acht het NCSC de kans op
   misbruik klein. Het is echter niet ondenkbaar dat de gelekte keys
   bij gerichte aanvallen zullen worden misbruikt. Bij het NCSC zijn
   vooralsnog geen signalen over misbruik van het gelekte
   sleutelmateriaal bekend.

Mogelijke oplossingen
   Vooralsnog zijn door MSI en Intel geen definitieve oplossingen
   gedeeld. Organisaties kunnen de volgende, algemene maatregelen
   treffen om de kans op misbruik te verkleinen:

   * Zorg ervoor dat de basisbeveiligingsmaatregelen in uw IT-omgeving
   op orde zijn. Zorg bijvoorbeeld dat systemen van de laatste
   beveiligingsupdates zijn voorzien, maak gebruik van
   antivirus-oplossingen en pas netwerksegmentatie toe.
   * Beperk de opstartmogelijkheden vanaf verwisselbare media zoals
   USB-sticks en CD-roms. Dit bemoeilijkt het installeren van malafide
   firmware wanneer een kwaadwillende fysieke toegang tot een systeem
   heeft.

   Binarly heeft twee (beperkte) overzichten met potentieel getroffen
   producten gepubliceerd. Deze overzichten zijn indicatief en niet
   door het NCSC geverifieerd. Organisaties die gebruikmaken van
   MSI-systemen of producten die in de overzichten van Binarly
   voorkomen, worden geadviseerd contact op te nemen met hun
   leverancier voor meer informatie en concreet handelingsperspectief.
   De overzichten met getroffen systemen zijn te vinden op de volgende
   pagina's:

   https://github.com/binarly-io/SupplyChainAttacks/blob/main/MSI
      /MsiImpactedDevices.md
   https://github.com/binarly-io/SupplyChainAttacks/blob/main/MSI
      /IntelOemKeyImpactedDevices.md

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
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=mM5q
-----END PGP SIGNATURE-----