Introducing Ring -3 Rootkits

• Alexander Tereshkin, Rafal Wojtczuk (Invisible Things Labs)

• Ring -3 ?

• Ring -1 == Virtualisation
• Ring -2 == SMM (cf. SSTIC'09 - Duflot)
• Ring -3 == Northbridge (MCH)

• Dans un chipset

• CPU à part entière
• Accès privilégié à la mémoire et à la carte réseau
• Management Engine (AMT / ME) avec interface HTTP
• Mémoire stockée dans l'eeprom du BIOS (SPI)
• Impossible d'y écrire des données non signées...