搜索

[9137] 2015-07-16_格盘也没用：HackingTeam使用UEFIBIOSRootkit将远控长驻操作系统

文档创建者：s7ckTeam
浏览次数：33
最后更新：2025-01-17
2015-07-16_格盘也没用：HackingTeam使用UEFIBIOSRootkit将远控长驻操作系统 格 盘 也 没 用 ： H a c k i n g   T e a m 使 用 U E F I   B I O S   R o o t k i t 将 远 控 长 驻 操 作 系 统 F r e e B u f   2 0 1 5 - 0 7 - 1 6 微 信 号 ： 微 信 号 ： f r e e b u f 上 周 H a c k i n g   T e a m   4 0 0 G 泄 露 数 据 在 市 面 上 疯 传 ， 已 有 3 枚 F l a s h   0 d a y 漏 洞 和 一 枚 A n d r o i d 漏 洞 被 曝 光 ， 而 本 周 趋 势 科 技 的 研 究 人 员 又 有 了 重 大 发 现 ： H a c k i n g   T e a m 使 用 了 U E F I   B I O S   R o o t k i t ， 从 而 使 他 们 的 远 程 控 制 系 统 ( R C S ) 驻 足 目 标 系 统 。 也 就 是 说 ， 即 使 用 户 格 式 化 硬 盘 、 重 装 系 统 ， 甚 至 买 了 块 新 的 硬 盘 ， 远 控 程 序 依 旧 会 留 在 目 标 电 脑 中 。 攻 击 方 式 攻 击 方 式 这 是 一 个 针 对 I n s y d e   B I O S 的 程 序 ， 但 这 份 代 码 同 样 可 以 在 A M I   B I O S 上 运 行 。 H a c k i n g   T e a m 的 一 份 幻 灯 片 中 提 到 ， 成 功 感 染 需 要 与 目 标 系 统 有 物 理 接 触 ， 但 我 们 不 能 排 除 远 程 安 装 的 可 能 性 。 一 个 攻 击 场 景 的 例 子 是 ： 入 侵 者 获 取 目 标 电 脑 的 访 问 权 限 ， 重 启 进 入 U E F I   s h e l l ， 把 B I O S   d u m p 出 来 ， 安 装 B I O S   r o o t k i t ， 重 刷 B I O S ， 然 后 重 启 目 标 系 统 。 我 们 发 现 ， H a c k i n g   T e a m 为 他 们 的 B I O S   r o o t k i t 写 了 帮 助 工 具 ， 甚 至 当 B I O S 镜 像 不 兼 容 时 提 供 支 持 服 务 。 安 装 过 程 安 装 过 程 首 先 程 序 会 将 三 个 模 块 从 外 部 存 储 （ 可 能 是 有 U E F I   s h e l l 的 U S B   k e y ） 复 制 到 被 修 改 的 U E F I   B I O S 上 的 文 件 卷 ( F V ) 中 。
N t f s . m o d 会 让 U E F I   B I O S 读 取 / 写 入 N T F S 文 件 。 然 后 R k l o a d e r . m o d 就 会 h o o k   U E F I 事 件 ， 并 且 在 系 统 启 动 时 调 用 d r o p p e r 函 数 。 d r o p p e r . m o d 文 件 包 含 着 远 控 客 户 端 ， 文 件 名 为 s c o u t . e x e 和 s o l d i e r . e x e 。 也 就 是 说 ， 安 装 了 B I O S   r o o t k i t 之 后 ， 每 次 电 脑 重 启 ， 它 都 会 检 查 远 控 是 否 还 在 ， 如 果 不 存 在 ， 就 会 将 s c o u t . e x e 安 装 至 以 下 路 径 ： U s e r s [ u s e r n a m e ] A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s S t a r t   M e n u P r o g r a m s S t a r t u p 6 T o _ 6 0 S 7 K _ F U 0 6 y j E h j h 5 d p F w 9 6 5 4 9 U U 尽 管 d r o p p e r 会 检 查 s o l d i e r . e x e 是 否 存 在 ， 但 不 知 为 何 它 不 会 执 行 安 装 。
安 全 建 议 安 全 建 议 1 、 确 保 U E F I   S e c u r e F l a s h 功 能 已 开 启 2 、 及 时 更 新 B I O S 修 复 安 全 漏 洞 3 、 设 置 B I O S / U E F I 密 码 服 务 器 管 理 员 们 也 可 以 购 买 具 有 B I O S 保 护 功 能 的 服 务 器 ， 这 种 服 务 器 在 更 新 B I O S 时 会 要 求 用 户 更 改 主 板 跳 线 或 D i p 式 跳 线 。 * 参 考 来 源 ： 趋 势 科 技 ， 译 / S p h i n x ， 文 章 有 修 改 ， 转 载 请 注 明 来 自 F r e e b u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理