A exploração da vulnerabilidade implica que o hacker precisa de ter acesso físico à máquina, ainda que seja por poucos instantes. Durante essa janela de tempo, é possível instalar malware que ultrapassa as passwords de firmware e pré instalar “portas traseiras” que permitem ao hacker ter acesso depois a dados do utilizador e ao que está a ser feito na máquina. Porque a vulnerabilidade é explorada ao nível do firmware usado no arranque do sistema, os hackers podem manter estas portas abertas mesmo depois de o sistema operativo ter sido reinstalado e depois de formatações do disco, noticia o ArsTechnica.
Este ataque é conhecido por Thunderstrike, porque pressupõe que o malware seja instalado através de periféricos ligados à porta Thunderbolt do computador. O Thunderstrike injeta o código malicioso logo no arranque diretamente para a EFI (de Extensible Firmware Interface), responsável pelo arranque do sistema e pela gestão de funcionalidades antes do carregamento do sistema operativo. A Option ROM injetada substitui a chave de encriptação dos Mac por uma chave criada pelos atacantes.
O ataque pode ser perpetrado mesmo em máquinas que estejam bloqueadas e que tenham passwords para acesso ao disco, uma vez que é instalado ao nível do arranque do sistema. O Thunderstrike foi revelado pela primeira vez no Chaos Communications Congress, em dezembro passado.
Esta é a primeira vez que chega ao público o conceito de se conseguir atacar um Mac com OS X desta forma. A Apple planeia lançar correções para tapar esta vulnerabilidade, que passam por impedir que as Option ROMs possam ser executadas durante o carregamento. As atualizações para o Mac Mini e para o iMac Retina já foram lançadas e a empresa prevê lançar updates para os restantes equipamentos em breve.
