Eclypsium發現微軟的WPBT含有漏洞，允許駭客植入Rootkit

專精於韌體安全性的資安業者Eclypsium日前揭露，微軟在Windows中內建的Windows Platform Binary Table（WPBT）含有一個重大漏洞，將允許駭客植入Rootkit，而且波及自2012年以來的所有Windows裝置。

Eclypsium解釋，電腦上的韌體、作業系統與硬體元件之間，有一個名為ACPI的硬體抽象層，它的全名為「先進配置與電源介面」（Advanced Configuration and Power Interface），目的是要讓作業系統能夠配置與管理硬體元件的電力，而不仰賴BIOS/UEFI韌體，而WPBT則是微軟所建立，讓Windows得以控制ACPI的一種ACPI Windows Platform Binary Table（WPBT）。

根據微軟的敘述，WPBT為一固定的ACPI表格，是由啟動韌體元件所發布，它指向一個實體的記憶體位置，該位置含有一個可執行的二進位檔案。此一功能是為了讓OEM業者得以在不變更Windows映像檔的情況下，於系統上添增重要檔案、驅動程式或可執行檔。

為了防範WPBT遭到不明的竄改，WPBT要求任何二進位檔案都需含有適當的簽章，然而Eclypsium卻發現，WPBT也接受過期或者是已被撤銷的憑證。

因此，研究人員利用一個惡意的驅動程式，建立一個新的WPBT表格，或者是修改既有的WPBT表格，並指定Windows執行，有鑑於WPBT是在啟動時間便發布，代表駭客可以在啟動時植入任何惡意程式而不被防毒軟體察覺，形成Rootkit。Eclypsium表示，相關攻擊就算是在BitLocker加密磁碟的狀態下都能運作。

此一漏洞適用於直接記憶體存取（DMA）攻擊、遠端攻擊，與供應鏈攻擊，而且從微軟自2012年10月發表Windows 8以來便存在迄今。