Projeto Rosenbridge revela backdoor de hardware em processadores x86 da VIA

O pesquisador de segurança Christopher Domas (conhecido pelo usuário @xoreaxeaxeax) revelou publicamente o projeto rosenbridge, uma pesquisa que documenta a existência de um backdoor de hardware integrado diretamente na arquitetura de determinados processadores de arquitetura x86. A vulnerabilidade crítica afeta a linha de CPUs VIA C3, permitindo que códigos executados no nível de usuário sem privilégios (ring 3) burlem completamente as proteções de memória do sistema operacional para ler e escrever dados diretamente no espaço restrito do kernel (ring 0).

A falha foi catalogada no repositório oficial do projeto hospedado no GitHub sob o nome rosenbridge. De acordo com os dados apresentados por Domas, o mecanismo de acesso oculto baseia-se em um segundo núcleo de processamento altamente integrado, posicionado ao lado do núcleo x86 principal dentro do próprio die do circuito integrado. Embora o recurso devesse, por projeto, exigir privilégios de nível de kernel para ser ativado por meio de um registrador específico do modelo (MSR ou Model-Specific Register), testes práticos revelaram que ele vem habilitado por padrão em diversos sistemas comerciais baseados no chip VIA C3.

A estrutura do backdoor descoberto no rosenbridge é ativada quando um bit de controle no registrador MSR é ligado e uma instrução de inicialização (launch-instruction) é executada pelo fluxo da CPU. A partir desse momento, o núcleo oculto passa a receber e processar instruções diretas envelopadas dentro de instruções x86 especialmente formatadas. Esse conjunto de comandos secretos, batizado pelo pesquisador como DEIS (Deeply Embedded Instruction Set), ignora todas as verificações de privilégio impostas pelo sistema operacional, concedendo acesso irrestrito ao sistema.

Mecânica e funcionamento do núcleo oculto

Diferente de coprocessadores de segurança e gerenciamento previamente conhecidos no mercado de hardware x86, como o Intel Management Engine (ME) ou o AMD Platform Security Processor (PSP), o núcleo descoberto pelo projeto rosenbridge opera em um nível de integração consideravelmente mais profundo. Enquanto as soluções da Intel e da AMD funcionam como sistemas embarcados independentes rodando em barramentos secundários, o coprocessador do VIA C3 tem acesso direto ao pipeline de execução principal do chip, ao seu arquivo de registradores (register file) e a toda a memória RAM conectada ao processador.

Quando uma instrução da arquitetura DEIS é enviada ao chip VIA C3 por meio de uma instrução de ponte (bridge-instruction), o núcleo x86 interrompe a checagem padrão de isolamento entre o modo de usuário e o modo supervisor. Na prática, um programa malicioso rodando em ring 3 — como um script em um navegador web ou uma aplicação sem privilégios de administrador — pode emitir uma sequência rosenbridge para alterar ponteiros no ring 0, sobrescrever estruturas de controle de processos e assumir controle total da máquina sem acionar os alarmes do sistema operacional.

Para isolar e identificar a mecânica desse canal oculto, Christopher Domas utilizou extensivamente a ferramenta sandsifter, um utilitário desenvolvido para varrer e descobrir instruções não documentadas em arquiteturas de computadores. A análise apontou que a transição entre o modo de execução convencional x86 e o núcleo embarcado do projeto rosenbridge ocorre de forma transparente, permitindo injetar comandos em código assembly customizado diretamente na esteira de processamento do chip VIA C3.

Sistemas afetados e mercados atingidos

Segundo a pesquisa publicada no GitHub, a presença do backdoor está concentrada na família de processadores VIA C3. A VIA Technologies historicamente posicionou a série C em equipamentos compactos e de baixo consumo de energia. Por essa razão, esses chips foram largamente adotados em infraestruturas industriais e comerciais cruciais em todo o mundo, incluindo hardware de automação industrial, terminais de ponto de venda (POS), caixas eletrônicos (ATMs), equipamentos médicos de saúde, além de computadores desktop e notebooks voltados ao mercado consumidor.

A documentação do projeto rosenbridge ressalta que as gerações de processadores fabricadas pela VIA posteriores à família VIA C3 não contêm mais essa funcionalidade oculta em seu silício. No entanto, devido à longa vida útil de dispositivos embarcados em setores operacionais — como caixas automáticos bancários e automação de fábrica —, sistemas baseados em VIA C3 continuam ativos em diversas instalações legadas, muitas vezes operando sem atualizações de segurança por anos consecutivos.

A facilidade com que o backdoor permite a elevação de privilégios torna a vulnerabilidade crítica para ambientes de alta segurança. Uma vez que o código em ring 3 consegue acesso livre ao ring 0 sem depender de falhas no software do sistema operacional, qualquer vetor de execução de código remoto em um terminal POS ou ATM equipado com o VIA C3 resulta no comprometimento imediato do núcleo do sistema e na extração de dados confidenciais armazenados na memória física.

Procedimentos de verificação e mitigação

Junto ao anúncio da descoberta, o repositório rosenbridge disponibilizou um conjunto de utilitários em estado alfa para que administradores e pesquisadores possam verificar a presença do backdoor em suas máquinas. O teste é realizado navegando até o diretório util e executando os comandos git clone https://github.com/xoreaxeaxeax/rosenbridge, cd rosenbridge/util, make, sudo modprobe msr e sudo ./bin/check. O utilitário interage diretamente com o módulo do registrador de controle do sistema no Linux.

O pesquisador Christopher Domas adverte que a ferramenta de checagem precisa ser executada diretamente no hardware real (baremetal), sem o uso de máquinas virtuais ou hipervisores. Devido ao estado experimental dos utilitários do projeto rosenbridge, a execução do diagnóstico em processadores não afetados ou com variações no circuito pode provocar travamentos do sistema (hangs), pânico do kernel (kernel panic) ou encerramento abrupto da máquina.

Para os sistemas identificados como vulneráveis que possuem o backdoor habilitado por padrão, o projeto rosenbridge inclui uma rotina de correção localizada na pasta fix. A mitigação pode ser instalada compilando o script via cd fix, make, sudo make install e realizando o reboot do sistema. Essa rotina altera os registradores MSR no início do processo de boot para fechar a ponte com o núcleo oculto. Contudo, o repositório alerta que a solução é apenas parcial: um invasor que já tenha obtido acesso de nível ring 0 pode reescrever o registrador MSR e reativar o backdoor a qualquer momento, exigindo adaptações específicas para cada tipo de firmware e BIOS.

Ferramentas desenvolvidas no projeto

O repositório do rosenbridge no GitHub reúne uma suíte abrangente de ferramentas desenvolvidas por @xoreaxeaxeax para desmontar, simular e explorar o núcleo oculto do VIA C3. Além do varredor de instruções sandsifter, o projeto inclui o montador asm, um assembler projetado para converter programas escritos na sintaxe customizada do conjunto DEIS em instruções x86 válidas que transportam os comandos secretos para o chip.

Para demonstrar o impacto prático da vulnerabilidade, o repositório disponibiliza o utilitário esc, uma prova de conceito (PoC) funcional de escalada de privilégios que usa o backdoor para elevar um processo de ring 3 para ring 0. Outro componente crucial é a suíte fuzz, composta por diversas ferramentas destinadas a realizar testes de difusão (fuzzing) tanto no núcleo x86 quanto no núcleo rosenbridge, visando isolar a instrução de lançamento (launch-instruction) e a instrução de ponte (bridge-instruction).

A estrutura de análise do projeto conta ainda com os seguintes módulos técnicos descritos na documentação oficial:

• deis: Fuzzer especializado em explorar o comportamento, os limites e as capacidades do núcleo oculto de CPU;
• kern: Conjunto de utilitários de suporte usados para monitorar registradores e a memória do kernel Linux durante a injeção de instruções DEIS;
• wrap: Versão reduzida do fuzzer sandsifter, ajustada para identificar com precisão a bridge-instruction que envia dados do núcleo x86 para o núcleo oculto;
• proc: Ferramenta de análise quantitativa que identifica padrões nos logs de fuzzing para classificar comportamentos das instruções DEIS;
• lock: Conjunto de scripts utilitários desenvolvidos para travar ou destravar o acesso ao backdoor rosenbridge;
• manager: Sistema em Python desenhado para gerenciar, monitorar e distribuir tarefas de fuzzing em uma rede de máquinas trabalhadoras;
• test: Ferramenta empregada nos estágios iniciais da pesquisa para tentar descobrir a arquitetura do núcleo oculto através da execução de instruções RISC conhecidas;
• exit: Utilitários criados para buscar sequências de saída que retornassem o controle ao núcleo x86 principal — módulo posteriormente abandonado ao descobrir-se que certas variantes do chip não exigiam sequência de encerramento.

Intenção do recurso e posicionamento do autor

Apesar da gravidade da descoberta, Christopher Domas faz uma ressalva explícita no documento de isenção de responsabilidade (disclaimer) anexado ao projeto rosenbridge. O pesquisador afirma que não há evidências de intenção maliciosa por parte da fabricante original do silício. Os processadores VIA C3 ganharam mercado devido à eficiência energética exemplar e excelente desempenho em projetos embarcados de baixo custo.

De acordo com a avaliação do autor, o núcleo embarcado e o conjunto de instruções DEIS foram criados de boa-fé pela equipe de engenharia da VIA como um recurso útil de depuração ou controle para o mercado de sistemas embarcados. A vulnerabilidade de segurança ocorreu porque essa funcionalidade de baixo nível foi deixada ativada por engano em revisões e gerações iniciais dos processadores que chegaram ao mercado consumidor e industrial.

O projeto rosenbridge foi disponibilizado publicamente como um estudo de caso prático e um experimento de pensamento sobre os riscos de segurança em hardware moderno. Para a comunidade de cibersegurança, o trabalho de Domas serve como um ponto de partida técnico para demonstrar como o aumento da complexidade dos processadores x86 pode ocultar subsistemas inteiros e como pesquisadores e usuários finais podem desenvolver ferramentas para auditar e identificar portas de fundo escondidas no silício.

Impacto técnico e infraestrutura operacional

A divulgação do rosenbridge levanta alertas para equipes de segurança da informação e infraestrutura que mantêm sistemas legados em operação. No Brasil e em diversos países em desenvolvimento, o ciclo de substituição de hardware em automação bancária e comercial costuma ser longo. Dispositivos como caixas eletrônicos (ATMs) e terminais de ponto de venda (POS) baseados em placas-mãe integradas com VIA C3 continuam processando transações financeiras diárias.

Como o backdoor permite contornar soluções de segurança baseadas em software — incluindo antivírus, módulos de integridade de kernel e sistemas de prevenção de intrusão que confiam no isolamento padrão entre ring 3 e ring 0 —, a presença do chip VIA C3 anula as camadas normais de defesa do sistema operacional. Para mitigar o risco em instalações industriais críticas, a verificação direta do hardware via utilitário util/bin/check do rosenbridge torna-se um passo essencial nas auditorias de segurança cibernética de infraestruturas físicas.

A pesquisa de Christopher Domas (@xoreaxeaxeax) conclui enfatizando a necessidade de novos métodos de auditoria de silício. À medida que os circuitos integrados se tornam mais densos e incorporam múltiplos núcleos auxiliares, a verificação independente por meio de fuzzers como o sandsifter ganha papel central na detecção de vulnerabilidades que não podem ser corrigidas com simples atualizações de software, exigindo intervenções profundas em nível de firmware ou a substituição completa do hardware afetado.