英特尔十二代处理器部分源代码泄露
近日，据hackernews报道，芯片制造商英特尔已证实其Alder Lake CPU相关的专有源代码已被泄露，攻击者上周在4chan和GitHub上发布了该源代码，泄露文件大小约6GB，包含用于构建和优化BIOS/UEFI映像的工具和代码。
具体泄露内容包含英特尔2021年11月推出的第12代处理器Alder Lake的统一可扩展固件接口(UEFI)代码。
英特尔在一份声明中表示，此次泄漏“并未暴露任何新的安全漏洞，因为英特尔不依赖混淆信息作为安全措施”。
英特尔还鼓励更多安全研究社区通过其漏洞赏金计划报告任何潜在问题，并补充说它正在与客户联系以通知此事。除了UEFI代码外，泄露的数据还包括大量文件和工具，其中一些似乎来自固件供应商Insyde Software，这是一家为OEM提供BIOS/UEFI固件的公司，联想等公司是其客户。
从网上流传的Github存储库快照来看，上传该泄露数据库的Github账户属于中国香港电脑制造商——联宝电脑的一名员工（下图），该公司为包括联想在内的多家OEM制造笔记本电脑。
目前尚不清楚此次黑客攻击的性质、细节和源头。相关GitHub存储库已被删除，但仍可通过其他复制版本访问。
安全专家指出，BIOS源码的泄露意味着该处理器将面临诸多威胁，攻击者将能获取对UEFI源代码的完全访问权限，以开发漏洞利用。
著名安全研究员Mark Ermolov已经着手分析泄露代码。他的早期报告在源码中发现了通常为特权代码保留的秘密MSR（模型特定寄存器），因此可能会带来安全问题，以及用于英特尔Boot Guard的私有签名密钥，从而可能使该功能无效。此外，还有用于BootGuard和TXT（可信执行技术）的ACM（Authenticated Code Modules）的迹象，预示着信任根可能在未来出现问题。
2022年半导体行业遭遇了多次重大数据泄露事件。例如勒索软件组织RansomHouse在窃取56GB数据后企图勒索AMD。此外AMD合作伙伴技嘉在臭名昭著的“技嘉黑客”中也有112GB的敏感数据被盗，但AMD拒绝为后者的黑客行为支付赎金。这导致AMD即将推出的Zen4处理器信息在发布前被泄露，后来证明是真实的。
今年2月初，勒索软件组织LAPSUS$入侵了英伟达公司，窃取了1TB的敏感数据。攻击者后来声称，英伟达发起了报复性反勒索攻击，阻止了数据泄露。
参考链接：
