Вредоносная программа UEFI: как использовать ложное чувство безопасности

1. Зачем беспокоиться о буткитах?
2. Наши возможности защищать

Когда мы думаем о безопасности, мы обычно принимаем во внимание риск. Хорошо известно, что риск - это состав вероятности и потенциального воздействия.

Когда речь идет о киберугрозах, мы в ESET-LATAM Research часто видим вымогателей, банковских троянов (особенно в моей родной стране - Бразилии), бот-сетей или червей. Как следствие, другие типы опасных вредоносных программ, которые работают незаметно, могут получить меньше нашего внимания; как в случае с вредоносным ПО или буткитами.

Буткиты запускаются до загрузки ОС и целевых компонентов ОС, чтобы изменить или подорвать их поведение. Тот факт, что буткиты выполняются на ранних этапах загрузки системы, дает им возможность оставаться скрытными и настойчивыми, переживая переформатирование жесткого диска или переустановку ОС.

Этот тип угрозы предназначен для базовой системы ввода / вывода и универсального расширяемого интерфейса встроенного ПО ( BIOS и UEFI ) прошивки разными способами, такими как прошивка прошивки, обновления или использование уязвимостей, и это лишь некоторые из них. В настоящее время очень продвинутые возможности, которые делают UEFI такой привлекательной платформой, также открывают пути для новых уязвимостей, которых не было в эпоху более жестко структурированного BIOS. Например, способность запускать пользовательские исполняемые модули позволяет создавать вредоносные программы, которые будут запускаться UEFI до того, как какое-либо решение для защиты от вредоносных программ или сама ОС смогут запуститься.

Эти характеристики делают буткит яблоком передовых угроз. Несмотря на то, что концепции буткитов были реализованы на протяжении многих лет, еще в 1986 или ранее , достижения в области киберугроз создают новые проблемы и проблемы для пользователей компьютеров.

Зачем беспокоиться о буткитах?

Когда мы думаем о безопасности, мы обычно принимаем во внимание риск. Хорошо известно, что риск является составной частью вероятности и потенциального воздействия, поэтому, хотя воздействие буткита, несомненно, является значительным, что можно сказать о вероятности столкновения с такой угрозой?

Пытаясь ответить на этот вопрос, нам нужно подумать о двух проблемах: с одной стороны, мы должны определить возможных участников и сценарии, которые могут извлечь пользу из буткитов, и подумать, станут ли они более или менее распространенными в будущем; с другой стороны, мы должны оценить нашу способность обнаруживать эти угрозы, иначе «вероятность» не превзойдет все ожидания.

Чтобы определить актеров и сценарии, давайте взглянуть на прошлое чтобы увидеть наиболее заметные случаи буткит. Глядя на график, становится ясно, что угроза становится все более частой.

Mebromi, как известно, первая книга в дикой природе включает в себя руткит BIOS, руткит MBR, руткит режима ядра, файловый заражатель PE и троянский загрузчик, выполненные таким образом, что скомпрометированная система запрашивает внешний контент - который может быть практически любым вредоносным ПО - каждый раз при загрузке системы. Чтобы выполнить атаку, Mebromi повышает привилегии, загружая свой код в режиме ядра, чтобы получить доступ к BIOS.

Интересно, что по состоянию на 2014 год другие буткиты, обнаруженные в дикой природе, часто были тесно связаны с правительственным взломом (прямо или косвенно).

в АНТА АНТ каталог Раскрытие информации (2014), представила DEITYBOUNCE - программное приложение, обеспечивающее «постоянство на серверах Dell PowerEdge путем использования BIOS материнской платы и использования режима управления системой (SMM) для обеспечения периодического выполнения при загрузке операционной системы». Использование было похоже на использование Mebromi, что снова означает загрузку полезных нагрузок и запуск их в системе во время процесса загрузки.

В 2015 году это было время для «HT rkloader», выставленного после Взлом команды утечки , В отличие от АНБ, Хакерская Команда не является правительственным агентством; тем не менее, он продает наступательные вторжения и возможности наблюдения различным правительствам. В частности, «HT rkloader» был первым случаем раскрытия действительно вредоносного руткита UEFI, хотя никаких доказательств его использования в дикой природе до сих пор не было.

Неудивительно, что утечка инструментов Equation Group (NSA) со стороны Shadow Brokers выявила больше буткитов. каталог утечек инструментов содержал некоторые «имплантаты», а именно BANANABALLOT, «модуль BIOS, связанный с имплантатом (вероятно, BANANAGLEE)», и JETPLOW, «имплантат персистентности прошивки для устройств Cisco ASA и PIX, который сохраняется в BANANAGLEE».

Наконец, в этом же году ЦРУ Vault7 откровения раскрыл, что правительственные инструменты также предназначались для прошивки. Атака эксплуатировала Уязвимость S3BootScript (исправлено в 2015 году) для установки компонентов UEFI в системах Apple.

Это лишь некоторые примеры буткитов, пойманных в дикой природе, о которых мы знаем, в основном из-за крупных (и редких) утечек. Тем не менее, это показывает аппетит, который ведущие игроки имеют для продвинутых атак, направленных на прошивку.

Тем не менее, вы можете спросить себя, как это может повлиять на нашу «нормальную жизнь». Здесь мы должны снова взглянуть на прошлое и понять, что мы стоим на коварной почве. WannaCryptor (также известный как WannaCry) пандемия Это пример того, что может пойти не так, когда передовые хакерские инструменты попадут в чужие руки.

Кроме того, мы видели много случаев атаки, направленные на цепочку поставок , чтобы устройства могли заразиться даже до того, как они будут впервые использованы их потенциальными владельцами. Атака, нацеленная на цепочку поставок микропрограммного обеспечения, может затронуть многих пользователей, оставаясь при этом в течение долгого времени.

Поэтому очень важно иметь возможность обнаруживать скрытые инфекции, что подводит нас ко второму аспекту этого поста.

Наши возможности защищать

Нет ничего хуже или опаснее ложного чувства безопасности. Утечки Сноудена и вышеупомянутые случаи являются тревожными звонками для всей индустрии безопасности о вредоносном ПО во встроенном программном обеспечении.

VirusTotal, в блоге под названием « В центре внимания вредоносное ПО для прошивки », Объявила о своей новой возможности« подробно описывать образы прошивок, легальные или вредоносные ».

Рисунок 2: Дополнительная информация, извлеченная из образа BIOS, отображаемого в VirusTotal

По состоянию на 27 января 2016 года, в день анонса новой функции VirusTotal, стало возможным извлекать и загружать переносные исполняемые файлы UEFI для анализа, которые содержат «точно исполняемый код, который потенциально может быть источником ошибок», как заметил автор поста.

Это большой вклад в безопасность киберпространства в целом, поскольку стал доступен простой и известный интерфейс для анализа (встроенного программного обеспечения) вредоносных программ. Тем не менее, его основным недостатком является процедура захвата образов микропрограммного обеспечения перед их загрузкой для анализа.

VirusTotal предлагает несколько инструментов, способных выполнить эту задачу; однако, они в основном предназначены для компьютерных экспертов, а не для неэкспертных. Мало того, предлагаемые инструменты специально разработаны для тестовых сред по причинам, которые варьируются от расширения поверхности атаки до случайных ошибок, которые могут помешать операционной системе:

Другой вариант - выбрать решение безопасности, которое добавляет дополнительный уровень защиты от буткитов UEFI. Преимущество в этом случае заключается в том, что вы можете сканировать встроенное ПО с поддержкой UEFI, не прибегая к дополнительным инструментам, которые могут представлять опасность для системы. Поэтому обычным пользователям должно быть гораздо удобнее сканировать свой компьютер на наличие скрытых вредоносных программ во встроенном программном обеспечении.

Выводы о высокоразвитых угрозах в дикой природе, которые нацелены на прошивку, безусловно, вызывают беспокойство, особенно потому, что они работают в скрытой системе. Кроме того, обнаружение такого типа вредоносного ПО (в дикой природе) является трудным и трудным (и едва ли возможным не так давно), возможно, прививая ложное чувство безопасности во многих его жертвах.

Но у каждого облака есть серебряная подкладка. Эта бесконечная игра в кошки-мышки позволила нам лучше защитить себя.

Похожие

Комментарии