El «firmware» de un dispositivo hardware (en este caso, de una unidad de CD-ROM) es el «software» de control que se ejecuta en dicho dispositivo. A «grosso modo», un dispositivo hardware moderno es un ordenador especializado en miniatura, y su «firmware» es el «sistema operativo» específico necesario para realizar su trabajo. Hay que distinguir el «firmware», que se ejecuta dentro del propio dispositivo, con los «drivers» normales del sistema operativo, que se ejecutan en la máquina del usuario.
Los dispositivos LG vulnerables implementan un comando «opcional» del estándar ATAPI (el estándar de conexión de discos duros, CD-ROMs, controladores DVD, etc.) de forma ilegal, que viola dicho estándar, y sustituye el comando legítimo pero opcional del estándar por un comando propio, propietario. Dicho comando no documentado e «ilegal» según el estándar, es utilizado por LG para ordenar a la unidad de CD a que proceda a sobreescribir su «firmware» con una nueva versión. Esta operación se realiza completamente por software, sin intervención ni conocimiento del usuario.
El efecto neto es que cualquier software malicioso ejecutado por el usuario puede utilizar dicho comando para ordenar a la unidad CD que borre su firmware, volviéndolo inútil y convirtiendo el dispositivo en un caro pisapapeles.
El problema fue descubierto de forma accidental por usuarios de dichos dispositivos, cuando intentaron instalar una nueva versión de la distribución LINUX «Mandrake 9.2». Dicha instalación hace uso del comando tal y como se define en el estándar, funcionando a la perfección en cualquier sistema excepto bajo los drivers LG, que quedaban inutilizados. Tras unas primeras horas de desconcierto y acusaciones cruzadas, quedó claro que el problema real reside en LG y no en la distribución Linux de Mandrake, ya que cualquier otro software podría haber desencadenado el mismo desastre de «hardware».
Linux Mandrake ha publicado una nueva revisión de la versión 9.2 de su distribución Linux, en beneficio de los usuarios con sistemas vulnerables. Por su parte LG ha publicado en su web, también, una actualización del «firmware» de sus equipos, que soluciona el problema.
Personalmente espero que esta vez dicho «firmware» no permita inutilizar el dispositivo con una simple orden enviada por cualquier virus, troyano, etc. que pudiera introducirse en el equipo. Cualquier actualización del «firmware» de un dispositivo (incluyendo la BIOS del ordenador, recordemos el caso del virus CIH que borraba la flash BIOS de ciertos ordenadores portátiles) debe requerir SIEMPRE una acción explícita por parte del usuario.
Jesús Cea Avión
jcea@hispasec.com
Noticias hispasec
