Được biết đến trong nhiều năm, các cuộc tấn công nhắm vào bộ nhớ truy cập trực tiếp (Direct Memory Access - DMA) cho phép kẻ tấn công xâm nhập máy tính mục tiêu chỉ trong vài giây, bằng cách cắm một thiết bị hot plug độc hại (như thẻ mạng ngoài, chuột, bàn phím, máy in, thiết bị lưu trữ và card đồ họa) vào cổng Thunderbolt 3 hoặc cổng USB-C.
Các cuộc tấn công dựa trên DMA là có thể xảy ra bởi cổng Thunderbolt cho phép các thiết bị ngoại vi được kết nối qua mặt các chính sách bảo mật của hệ điều hành và trực tiếp đọc/ghi bộ nhớ hệ thống có chứa các thông tin nhạy cảm bao gồm mật khẩu, thông tin đăng nhập ngân hàng, tệp riêng tư và hoạt động của trình duyệt.
Điều này có nghĩa, kẻ tấn công chỉ cần cắm một thiết bị độc hại được tạo bằng các công cụ như Interception, là có thể sửa đổi nội dung của bộ nhớ và thực thi mã tùy ý với các đặc quyền cao hơn so với các thiết bị ngoại vi bus nối tiếp thông thường. Từ đó, kẻ tấn công có thể vượt qua lớp xác thực hệ điều hành hoặc điều khiển máy tính từ xa.
Để ngăn chặn các cuộc tấn công dựa trên DMA, hầu hết các hệ điều hành và thiết bị đều sử dụng kỹ thuật bảo vệ Bộ quản lý bộ nhớ đầu vào/đầu ra (Input–output memory management unit - IOMMU) để kiểm soát kết nối từ các thiết bị ngoại vi có thể truy cập bộ nhớ hoặc vùng nào đó của bộ nhớ. Tuy nhiên, lỗ hổng được phát hiện cho phép kẻ tấn công qua mặt được cơ chế bảo vệ của IOMMU. Bằng cách bắt chước chức năng của một thiết bị ngoại vi hợp pháp, kẻ tấn công có thể đánh lừa hệ điều hành cung cấp quyền truy cập vào các vùng bộ nhớ nhạy cảm.
Trong một bài báo được công bố mới đây, các nhà nghiên cứu đã liệt kê chi tiết thông tin kỹ thuật về tất cả các lỗ hổng mới mà họ vừa tuyên bố, được phát hiện thấy bằng cách sử dụng ngăn xếp phần cứng/phần mềm, được gọi là Thunderclap, do họ xây dựng và cũng được phát hành dưới dạng nguồn mở.
Ngoài ra, các nhà nghiên cứu cũng nhấn mạnh rằng vì IOMMU không được bật mặc định trên hầu hết các hệ điều hành và các thiết bị hiện đại có cổng USB-C, nên cuộc tấn công bề mặt của tấn công DMA đã gia tăng đáng kể. Thay vì trước đây, tấn công này chủ yếu giới hạn ở các thiết bị Apple, do có cổng Thunderbolt 3.
Đặc biệt, tất cả máy tính xách tay và máy tính để bàn của Apple được sản xuất từ năm 2011 đều có lỗ hổng, ngoại trừ MacBook 12 inch. Nhiều máy tính xách tay và một số máy tính để bàn được thiết kế chạy Windows hoặc Linux được sản xuất từ năm 2016 cũng bị ảnh hưởng.
Các nhà nghiên cứu đã báo cáo phát hiện của mình cho tất cả các nhà cung cấp phần cứng và hệ điều hành. Hầu hết, các nhà cung cấp đã áp dựng các biện pháp giảm thiểu rủi ro nhằm giải quyết các lỗ hổng Thunderclap.
Apple đã giải quyết lỗ hổng này trên các phiên bản từ macOS 10.12.4. Hãng Intel cũng phát hành các bản vá cho phiên bản 5.0 của nhân Linux. Dự án FreeBSD đưa ra thông tin rằng các thiết bị ngoại vi độc hại hiện không nằm trong đối tưởng bị ảnh hưởng cần xử lý về mặt an toàn của Dự án.
Mặc dù không phải tất cả các bản vá phần mềm hoàn toàn có thể chặn đứng các cuộc tấn công DMA, người dùng vẫn được khuyến cáo nên cài đặt các bản cập nhật để giảm thiểu khả năng bị tấn công. Theo các nhà nghiên cứu, cách tốt nhất để bảo vệ là vô hiệu hóa các cổng Thunderbolt trên máy tính. Ngoài ra, các nhà nghiên cứu cũng phát triển một phần cứng tấn công proof-of-concept có thể thực thi các lỗ hổng Thunderclap trên các hệ thống mục tiêu, nhưng thiết bị này chưa được phát hành tại thời điểm hiện tại.
