搜索

[9145] 2015-07-19_HackingTeam：攻击向量之BiosRootkit

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2015-07-19_HackingTeam：攻击向量之BiosRootkit H a c k i n g   T e a m ： 攻 击 向 量 之 B i o s   R o o t k i t 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 5 - 0 7 - 1 9 微 信 号 f r e e b u f 攻 击 向 量 （ a t t a c k   v e c t o r ） 指 的 是 黑 客 用 来 攻 击 计 算 机 或 者 网 络 服 务 器 的 一 种 手 段 ， 攻 击 向 量 能 够 帮 助 黑 客 寻 找 系 统 可 能 存 在 的 任 何 漏 洞 ， 包 括 人 为 因 素 ， 攻 击 向 量 简 单 理 解 就 是 网 络 渗 透 攻 击 的 各 种 维 度 ， 如 通 过 病 毒 ， 电 子 邮 件 ， 网 页 ， 聊 天 室 等 配 合 社 工 欺 骗 方 法 来 完 成 。 从 泄 露 代 码 来 看 ， H a c k i n g   T e a m 有 自 己 完 善 一 套 攻 击 向 量 ， 有 许 多 维 度 ， 如 B i o s   R o o t k i t 攻 击 ， i p a 攻 击 ， j a v a   a p p l e t 挂 马 ， 假 文 档 图 标 欺 骗 ， 短 信 欺 骗 ， 光 盘 或 U 盘 存 储 介 质 攻 击 。 技 术 与 非 技 术 完 美 配 合 ， 来 实 现 R C S 远 程 控 制 功 能 。 以 下 从 B i o s   R o o t k i t 攻 击 向 量 进 行 分 析 。 一 、 攻 击 场 景 一 、 攻 击 场 景 想 像 类 似 著 名 电 影 《 碟 中 谍 》 的 场 景 。 X X 黑 客 组 织 为 了 入 侵 A 机 构 的 网 络 系 统 ， 决 定 派 遣 一 个 卧 底 ( w d ) 进 入 A 机 构 。 突 破 重 重 困 难 ， 最 终 w d 以 一 名 记 者 身 份 得 以 采 访 A 机 构 领 导 ， 进 入 了 领 导 的 办 公 室 ， 谈 笑 间 ， 领 导 离 开 一 会 儿 ， w d 立 即 警 惕 起 来 ， 盯 紧 领 导 的 办 公 桌 的 电 脑 ， 连 忙 掏 出 U 盘 ， 开 机 ， 进 入 b i o s ， 种 下 B i o s   R o o t k i t 后 门 病 毒 ， 熟 练 连 贯 的 操 作 。 三 分 钟 的 时 间 ， 神 不 知 鬼 不 觉 的 ， A 机 构 网 络 系 统 已 经 被 从 内 部 打 开 了 一 个 缺 口 ， 而 且 是 一 个 检 测 极 困 难 的 后 门 … … 场 景 像 拍 电 影 ， 有 点 夸 张 。 实 际 上 并 不 能 排 除 可 能 性 ， B i o s   R o o t k i t 通 过 物 理 的 接 触 ， 如 通 过 U 盘 ， 进 行 感 染 。   这 样 的 场 景 可 以 延 伸 出 来 ， 或 发 生 在 电 脑 维 修 店 、 二 手 电 脑 、 网 吧 、 学 校 电 脑 室 等 。
B i o s   R o o t k i t 是 比 较 高 水 平 的 技 术 ， 检 测 很 困 难 。 在 泄 露 的 源 码 中 ， 因 此 更 多 的 人 可 以 从 这 基 础 上 衍 生 更 多 的 B i o s   R o o t k i t 病 毒 ， 降 低 了 技 术 门 槛 。 二 、 二 、 B i o s   R o o t k i t 感 染 方 式 感 染 方 式 H T 内 部 泄 露 文 档 介 绍 ， B i o s   R o o t k i t 是 通 过 U 盘 ， 进 入 U E F I   S h e l l 进 行 感 染 。 要 求 目 标 系 统 c u p   I n t e l   i 3 / i 5 / i 7 ( 2 , 3 , 4 代 ) ， b i o s   u e f i 。 B i o s   R o o t k i t 的 感 染 方 式 ， 决 定 传 播 广 度 有 限 ， 但 从 网 络 渗 透 来 说 ， 绝 对 是 一 个 可 靠 的 突 破 口 。 目 前 还 没 资 料 证 明 B i o s   R o o t k i t 其 它 感 染 方 式 ， 但 并 不 能 排 除 可 能 性 。 泄 露 的 文 档 资 料 ： 三 、 示 意 图 三 、 示 意 图 B i o s   R o o t k i t 有 三 个 模 块 ： r k l o a d e r . m o d ， d r o p p e r . m o d 和 n t f s . m o d ， 攻 击 示 意 图 如 下 ：
在 攻 击 时 ， 插 入 U 盘 ， 进 行 U E F I   S h e l l ， S t a r t u p . n s h 引 导 启 动 c h i p s e c . e f i ， 然 后 c h i p s e c . e f i 把 三 个 . m o d 模 块 写 到 B i o s   R O M 上 去 ， 重 启 电 脑 时 ， B i o s   R o o t k i t 就 开 始 干 活 了 。 四 、 四 、 B i o s   R o o t k i t 分 析 分 析 1 、 、 U E F I 结 构 结 构 U E F I 使 用 了 模 块 化 设 计 ， 类 似 w i n d o w s 操 作 系 统 ， U E F I   I m a g e ( U E F I 实 体 ) 有 E F I   D r i v e r （ 驱 动 ） ， E F I   A p p l i c a t i o n ( 应 用 程 序 ) ， o s L o a d e r ( 操 作 系 统 引 导 程 序 ) ， 如 下 图 。 E F I   D r i v e r 和 E F I   A p p l i c a t i o n 是 F F S 结 构 ， 安 装 U D K （ U E F I 开 发 包 ） ， 使 用 C 语 言 ， 遵 循 接 口 ， 就 可 以 开 发 E F I 程 序 。
E F I 程 序 开 发 必 须 要 有 . i n f 定 义 文 件 ， 定 义 应 用 名 ， g u i d ， 程 序 类 型 （ 应 用 或 驱 动 ） ， 入 口 点 ， 源 码 文 件 ， 依 赖 库 等 ， 其 中 G U I D 是 模 块 的 标 识 ， b i o s 系 统 是 以 G U I D 来 标 识 程 序 。 < 详 细 技 术 报 告 请 点 击 最 下 方 “ 阅 读 原 文 ” > 五 、 防 御 与 检 测 五 、 防 御 与 检 测 防 御 ： 防 御 ： 1 、 开 启 U E F I   S e c u r e F l a s h ； 2 、 及 时 更 新 B I O S 修 复 安 全 漏 洞 ； 3 、 设 置 B I O S / U E F I 密 码 。 检 测 ： 检 测 ： 1 、 进 行 操 作 系 统 安 全 模 式 ， 查 看 系 统 自 启 动 目 录 是 否 有 可 疑 程 序 ， 如 s c o u t . e x e ， s o i l d e r . e x e ； 2 、 借 助 工 具 d u m p 下 u e f i   b i o s ， 查 看 是 否 有 可 疑 模 块 。 * 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理