【国际资讯】数百万台Mac仍易受EFI固件漏洞影响

前言

将操作系统和软件更新至最新状态：这是为了预防遭受网络攻击，每个安全专家都会强烈建议你做的最常见也最重要的事情。然而，就算安装了系统上的所有软件更新，你的电脑还是有可能遭受攻击。

来自安全公司Duo Labs的研究人员分析了超过7.3万个Mac系统后发现大量苹果Mac机器要么未能安装EFI固件漏洞补丁，要么并未收到任何更新。

难以检测到遭利用迹象

苹果公司为比电脑操作系统和管理程序更低层面工作并控制boot进程的Mac电脑使用英特尔设计的EFI（可扩展固件接口）。EFI会在macOS启动之前运行并且拥有更高权限——如果遭攻击者利用，那么能让EFI恶意软件控制一切且不会被发现。

研究人员指出，“攻击EFI除了能够规避更高级别的安全控制外，还能让攻击者隐蔽行为且难以检测到（难以信任OS告知的EFI状态真相）；它还会让恶意软件难以被删除——安装一个新的OS甚至是替换整个硬盘不足以删除恶意软件。”

更糟糕的是，除了未能向某些系统推出EFI更新外，苹果公司也未能告警用户EFI更新进程失败或存在的技术问题，导致数百万Mac用户易受复杂且高级持续的网络攻击的影响。

研究人员表示，在企业环境中所使用的73,324台Mac机器中，4.2%运行的是它们本不应运行的不同EFI固件版本，这一结论是基于硬件型号、操作系统版本和与OS共同发布的EFI版本得出的。

让人吃惊的是，在所分析的iMac型号中，43%运行的是过时且不安全的固件，而且在Mac OS X 10.10和10.12.6发布时至少有16个Mac型号从未接收到任何EFI固件更新。研究人员指出，即使用户运行的是最新版本的macOS并且已经安装发布的最新补丁，数据显示用户运行的EFI固件也有可能并非是最新版本。

研究人员还发现了47款运行10.12、10.11、10.10版本的macOS型号并未接收到解决已知漏洞Thunderstrike1的EFI固件更新。而31个型号也未能获得解决同样漏洞的远程版本Thunderstrike 2的EFI固件补丁。

其它厂商也受影响

研究人员指出，他们的研究重点是Mac生态系统，因为苹果公司在控制全栈方面处于一个特殊位置，但所发现的问题也适用于必须确保EFI固件安全的所有厂商。

拥有大量Mac的企业也应该查看Duo实验室发布的白皮书查看自己的型号是否已过时。Mac用户和管理员也可通过即将发布的免费开源工具EFIgy查看系统使用的是否是最新版本的EFI。