搜索

[13272] 2018-10-07_一枚“野生”UEFIrootkit的分析报告

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-10-07_一枚“野生”UEFIrootkit的分析报告 一 枚 “ 野 生 ” U E F I   r o o t k i t 的 分 析 报 告 F r e d d y   F r e e B u f   2 0 1 8 - 1 0 - 0 7 前 言 前 言 安 全 厂 商 安 全 厂 商 E S E T 的 研 究 人 员 公 布 了 一 枚 的 研 究 人 员 公 布 了 一 枚 “ 野 生 野 生 ” U E F I   r o o t k i t 的 分 析 报 告 。 的 分 析 报 告 。 U E F I   r o o t k i t 该 允 许 黑 客 在 目 标 计 算 该 允 许 黑 客 在 目 标 计 算 机 上 植 入 长 期 存 在 的 恶 意 软 件 ， 即 使 用 户 对 硬 盘 驱 动 器 全 盘 格 式 化 后 依 然 不 能 解 决 问 题 。 机 上 植 入 长 期 存 在 的 恶 意 软 件 ， 即 使 用 户 对 硬 盘 驱 动 器 全 盘 格 式 化 后 依 然 不 能 解 决 问 题 。 U E F I   r o o t k i t 并 不 是 新 鲜 事 ， 例 如 曾 经 出 现 过 的 r k l o a d e r 或 面 向 m a c O S   E F I / U E F I 启 动 植 入 的 D e r S t a r k e 。 但 这 些 恶 意 软 件 均 处 于 理 论 研 究 的 阶 段 ， 没 有 在 现 实 世 界 中 大 规 模 部 署 和 传 播 过 。 此 外 相 关 信 息 基 本 上 都 是 只 言 片 语 ， 也 没 有 真 实 案 例 可 以 参 考 。 E S E T 发 现 的 这 枚 U E F I   r o o t k i t 是 从 现 实 世 界 中 首 次 获 得 的 ， S e d n i t 团 队 “ 出 品 ” ， 具 备 相 当 的 传 播 能 力 和 实 用 性 。 接 下 来 就 让 我 们 看 看 究 竟 是 怎 么 回 事 。 背 景 背 景 S e d n i t 团 队 团 队 S e d n i t 团 队 从 2 0 0 4 年 组 建 以 来 就 一 直 活 跃 在 暗 处 ， 它 还 有 几 个 名 字 ： A P T 2 8 、 S o f a c y 、 S t r o n t i u m 和 F a n c y   B e a r 。 它 在 过 去 几 年 中 进 行 过 多 次 大 型 攻 击 活 动 而 声 名 鹊 起 ，   例 如 ，   2 0 1 6 年 美 国 大 选 之 前 对 民 主 党 全 国 委 员 会 （ D N C ） 进 行 黑 客 攻 击 以 及 被 认 为 是 全 球 电 视 网 络 T V 5 M o n d e 、 世 界 反 兴 奋 剂 机 构 （ W A D A ） 电 子 邮 件 泄 密 等 黑 客 攻 击 的 幕 后 推 手 。 本 次 发 现 的 U E F I   r o o t k i t 也 是 该 团 队 的 第 一 款 。 切 入 点 切 入 点 / 载 体 载 体 一 款 名 叫 L o J a c k 的 笔 记 本 防 盗 软 件 是 该 U E F I   r o o t k i t 的 切 入 点 / 载 体 ， 这 款 软 件 以 前 叫 C o m p u t r a c e ， 由 A b s o l u t e S o f t w a r e 出 品 。 用 户 安 装 该 软 件 并 激 活 服 务 后 ， 计 算 机 就 可 以 回 传 信 息 到 其 C ＆ C 服 务 器 ， 如 果 计 算 机 丢 失 或 被 盗 ， 用 户 就 可 以 通 过 回 传 的 信 息 得 到 其 地 理 位 置 。 解 构 解 构 软 件 架 构 软 件 架 构 L o J a c k / C o m p u t r a c e 成 为 U E F I   r o o t k i t 恶 意 软 件 的 推 手 ， 主 要 是 因 为 它 通 过 写 入 系 统 的 U E F I   /   B I O S 固 件 来 避 免 因 重 装 系 统 或 擦 除 / 更 换 硬 盘 而 导 致 设 备 不 可 追 溯 。 来 自 多 家 O E M 制 造 商 的 笔 记 本 电 脑 U E F I   /   B I O S 模 块 中 都 预 装 了 该 软 件 ， 用 户 只 要 更 改 B I O S 选 项 即 可 激 活 功 能 ， 如 图 1 所 示 ：
图 1   L o J a c k / C o m p u t r a c e   功 能 B I O S 激 活 下 图 为 该 产 品 的 全 局 架 构 （ 来 自 2 0 0 9 年 发 布 的 信 息 ） ， 描 绘 了 U E F I / B I O S 模 块 如 何 工 作 并 连 接 到 A b s o l u t e   S o f t w a r e 控 制 的 W e b 服 务 器 。 图 2     L o J a c k 持 久 化 机 制 以 下 计 算 机 启 动 时 该 软 件 开 始 运 行 的 步 骤 说 明 ： 1 、 计 算 机 启 动 时 ， 如 果 B I O S 选 项 处 于 “ E n a b l e d ” 的 状 态 ， 则 执 行 U E F I / B I O S 模 块 中 的 预 置 功 能 。 软 件 将 尝 试 查 找 F A T / F A T 3 2 / N T F S 分 区 ， 然 后 使 用 N T F S 驱 动 程 序 创 建 文 件 ， 并 覆 写 系 统 中 原 有 文 件 的 内 容 。   是 一 个 W i n d o w s 可 执 行 文 件 ， 在 W i n d o w s 初 始 化 早 期 运 行 ， 用 于 检 查 硬 盘 驱 动 器 是 否 损 坏 。 2 、 系 统 加 载 并 运 行 修 改 后 的 ， 其 主 要 目 的 是 释 放 并 将 其 添 加 到 系 统 服 务 ， 以 便 在 每 次 系 统 重 启 时 启 动 。   操 作 完 成 后 还 原 为 原 始 版 本 。 3 、 的 作 用 是 确 保 主 代 理 程 序 能 够 正 常 运 行 。 如 果 主 代 理 程 序 失 效 ， 它 会 连 接 到 A b s o l u t e S o f t w a r e 的 C ＆ C 服 务 器 来 下 载 代 理 程 序 并 执 行 。 的 第 一 步 是 复 制 自 身 并 修 改 P E 头 ， 变 成 动 态 链 接 库 （ D L L ） 。   然 后 将 此 D L L 加 载 到 内 存 中 ， 生 成 一 个 进 程 并 注 入 D L L 。 然 后 它 将 产 生 一 个 I n t e r n e t   E x p l o r e r   进 程 并 再 次 将 其 D L L 注 入 。   最 后 一 个 过 程 是 通 过 互 联 网 与 厂 家 的 服 务 器 进 行 通 信 。 将 代 码 注 入 外 部 进 程 的 行 为 常 见 于 恶 意 软 件 ， 合 法 、 信 誉 良 好 的 软 件 极 少 采 用 这 种 方 式 。 a u t o c h k . e x e a u t o c h k . e x e a u t o c h k . e x e a u t o c h k . e x e r p c n e t p . e x e a u t o c h k . e x e r p c n e t p . e x e r p c n e t p . e x e s v c h o s t . e x e i e x p l o r e . e x e r p c n e t p . e x e
4 、 全 功 能 代 理 软 件 在 系 统 上 运 行 ， 并 实 现 L o J a c k 的 整 套 跟 踪 和 恢 复 功 能 。 2 0 1 4 年 ， L o J a c k / C o m p u t r a c e 软 件 的 完 整 运 行 过 程 以 及 代 理 软 件 与 C ＆ C 服 务 器 之 间 使 用 的 网 络 协 议 才 得 以 详 细 披 露 。 其 中 最 大 的 问 题 在 于 代 理 软 件 与 服 务 器 之 间 的 通 信 没 有 身 份 验 证 机 制 ， 如 果 攻 击 者 可 以 控 制 代 理 软 件 与 服 务 器 之 间 的 通 信 链 路 ， 则 可 以 在 目 标 计 算 机 上 下 载 任 意 代 码 并 执 行 。 能 够 让 攻 击 者 直 接 与 代 理 软 件 进 行 通 信 的 方 法 有 很 多 ， 这 里 是 以 代 理 如 何 检 索 C ＆ C 服 务 器 的 地 址 为 突 破 点 。 服 务 器 地 址 信 息 包 含 在 的 配 置 信 息 ， 经 过 加 密 。 图 3   左 侧 为 加 密 信 息 ， 右 侧 有 部 分 解 密 图 3 显 示 了 加 密 和 解 密 的 配 置 文 件 。 使 用 的 “ 加 密 ” 方 法 是 基 于 单 字 节 密 钥 的 简 单 X O R 操 作 。 这 个 密 钥 0 x B 5 对 于 所 有 都 有 效 。 如 图 3 所 示 ， C ＆ C 域 名 清 晰 可 见 。 前 面 的 四 个 字 节 构 成 C ＆ C 服 务 器 I P 地 址 。 由 于 整 个 过 程 中 没 有 对 配 置 文 件 内 容 进 行 验 证 环 节 ， 对 ％ W I N D I R ％ 具 有 写 访 问 权 限 的 攻 击 者 即 可 更 改 文 件 内 容 ， 让 连 接 到 攻 击 者 控 制 的 C ＆ C 服 务 器 而 不 是 合 法 服 务 器 。 只 要 知 道 网 络 协 议 用 的 是 那 种 ， 就 可 以 实 现 使 用 下 载 并 执 行 任 意 代 码 。 尽 管 这 种 风 险 已 经 存 在 很 多 年 了 ， 但 直 到 最 近 针 对 性 的 恶 意 活 动 才 出 现 在 人 们 的 视 野 里 。 L o J a c k 变 成 了 变 成 了 L o J a x 2 0 1 8 年 5 月 ， A r b o r   N e t w o r k s 发 布 的 一 篇 博 客 文 章 描 述 了 木 马 化 L o J a c k 解 决 方 案 中 的 几 个 木 马 化 样 本 。 这 些 恶 意 样 本 使 用 了 经 过 修 改 的 配 置 信 息 ， 与 攻 击 者 的 C ＆ C 服 务 器 进 行 通 信 。   配 置 信 息 中 改 为 了 S e d n i t 团 队 使 用 的 C ＆ C 域 名 。   图 4 显 示 了 修 改 过 的 实 例 。 图 4   左 边 为 正 常 的 配 置 文 件 ， 右 边 是 修 改 后 的 配 置 文 件 “ 李 鬼 ” 与 正 版 之 间 的 差 异 非 常 小 ， 上 方 的 这 个 图 基 本 就 反 映 了 全 貌 。 它 们 的 编 译 时 间 戳 一 致 ， 并 且 内 容 只 有 几 十 个 字 节 的 区 别 。 除 了 对 配 置 文 件 的 修 改 外 ， 其 他 更 改 还 包 括 指 定 C ＆ C 服 务 器 连 接 间 隔 的 计 时 器 值 。 在 5 月 的 博 客 发 布 后 ， E S E T 还 发 现 了 针 对 巴 尔 干 、 中 欧 以 及 东 欧 不 同 地 区 的 L o J a x 恶 意 活 动 ， 安 装 方 式 目 前 没 有 明 确 的 解 释 。 有 可 能 动 用 了 S e d n i t 团 队 掌 握 的 一 些 后 门 。 组 件 探 究 组 件 探 究 E S E T 实 验 室 分 析 了 所 有 从 巴 尔 干 半 岛 、 中 欧 和 东 欧 地 区 收 集 到 的 L o J a x 恶 意 软 件 样 本 ， 均 包 含 S e d n i t 团 队 的 一 些 活 动 特 征 ， 如 ： S e d U p l o a d e r ， 一 阶 后 门 。 X A g e n t ， S e d n i t 掌 握 的 高 级 后 门 。 X t u n n e l ， 一 款 网 络 代 理 工 具 ， 可 以 通 过 互 联 网 中 继 C ＆ C 服 务 器 和 本 地 网 络 内 端 点 计 算 机 之 间 的 网 络 流 量 。 受 攻 击 的 计 算 机 中 大 部 分 都 存 在 S e d n i t 团 队 专 用 工 具 的 痕 迹 ， 但 一 小 部 分 系 统 只 有 L o J a x 。 也 就 是 说 ， 在 某 些 情 况 下 L o J a x 被 用 作 一 个 单 独 的 工 具 ， 以 备 其 他 工 具 失 效 情 况 下 的 不 时 之 需 。 r p c n e t p . e x e r p c n e t p . e x e r p c n e t p . e x e r p c n e t p . e x e r p c n e t p . e x e r p c n e t p . e x e r p c n e t p . e x e r p c n e t p . e x e
而 X A g e n t 通 常 用 于 在 系 统 上 删 除 其 他 模 块 ， 和 L o J a c k 解 决 方 案 中 的 部 分 功 能 一 样 ， 也 就 是 说 如 果 在 系 统 上 发 现 X A g e n t 存 在 的 话 ， L o J a x 样 本 可 能 只 用 到 了 代 理 软 件 的 部 分 。 先 保 留 这 个 猜 测 ， 继 续 对 L o J a x 样 本 进 行 分 析 。 R W E v e r y t h i n g 驱 动 程 序 （ R w D r v ） 和 第 一 条 线 索 来 自 攻 击 者 创 建 的 自 定 义 工 具 ， 该 工 具 在 执 行 时 会 将 底 层 系 统 设 置 信 息 转 储 到 文 本 文 件 中 。 部 分 设 备 上 L o J a x 样 本 和 该 工 具 同 时 存 在 。 下 图 展 示 了 该 工 具 生 成 的 日 志 文 件 的 片 段 ， 名 称 为 。 图 5   由 i n f o _ e f i   . e x e 生 成 的 日 志 文 件 摘 录 此 外 ， 该 工 具 释 放 了 用 于 读 取 上 述 信 息 。 该 内 核 驱 动 属 于 R W E v e r y t h i n g ， 后 者 是 一 个 正 常 的 免 费 程 序 ， 用 于 读 取 计 算 机 底 层 配 置 的 信 息 ， 包 括 P C I   E x p r e s s 、 内 存 、 P C I   O p t i o n   R O M 等 。 该 内 核 驱 动 包 含 R W E v e r y t h i n g 的 签 名 ， 因 此 在 系 统 上 可 以 畅 行 无 阻 。 图 6   R w D r v   . s y s 签 名 证 书 R W E v e r y t h i n g 软 件 提 供 G U I 界 面 可 供 使 用 者 访 问 所 有 数 据 。 r p c n e t p . e x e i n f o _ e f i . e x e i n f o _ e f i . e x e R w D r v . s y s
图 7   R W E v e r y t h i n g   G U I 截 图 i n f o _ e f i 工 具 是 判 断 L o J a x   U E F I 模 块 是 否 存 在 的 第 一 个 条 件 。 获 取 系 统 硬 件 信 息 时 攻 击 的 第 一 部 人 ， 然 后 允 许 用 户 进 程 访 问 和 修 改 存 储 U E F I 模 块 S P I 闪 存 的 内 容 。 第 二 条 判 断 该 U E F I   r o o t k i t 是 S e d n i t 团 队 “ 出 品 ” 的 线 索 是 用 于 S P I 内 存 转 储 和 写 入 的 两 个 不 同 工 具 。 S P I 闪 存 转 储 闪 存 转 储 第 一 个 是 文 件 ， 包 含 使 用 R W E v e r y t h i n g 驱 动 程 序 转 储 系 统 S P I 闪 存 所 需 的 所 有 代 码 。 为 了 让 设 备 驱 动 程 序 执 行 所 需 操 作 ， 转 储 工 具 必 须 发 送 正 确 的 I / O 控 制 （ I O C T L ） 代 码 。 虽 然 支 持 许 多 不 同 的 I O C T L 代 码 ， 但 此 处 转 储 器 和 编 写 器 工 具 仅 使 用 四 个 即 可 满 足 需 求 。 R e W r i t e r _ r e a d 首 先 使 用 嵌 入 式 内 核 驱 动 程 序 创 建 服 务 ， 并 记 录 有 关 U E F I / B I O S 配 置 的 信 息 ， 即 B I O S   控 制 寄 存 器 （ B I O S _ C N T L ） 中 包 含 的 三 个 字 段 的 值 ： B I O S 锁 定 启 用 （ B L E ） ， B I O S 写 入 启 用 （ B I O S W E ） 和 S M M B I O S 写 保 护 禁 用 （ S M M _ B W P ） 。 虽 然 R e W r i t e _ r e a d 没 有 利 用 这 些 值 ， 但 以 下 部 分 将 重 点 介 绍 为 什 么 需 要 该 信 息 。 R e W r i t e r _ r e a d 的 下 一 步 操 作 是 检 索 S P I 闪 存 上 的 B I O S 区 域 基 地 址 及 其 大 小 。 该 信 息 包 含 在 S P I 主 机 接 口 寄 存 器 “ B I O S F l a s h   P r i m a r y   R e g i o n ” 中 。 所 有 S P I 主 机 接 口 寄 存 器 都 在 根 复 合 寄 存 器 块 （ R C R B ） 中 进 行 存 储 器 映 射 ， 其 基 址 可 以 通 过 读 取 正 确 的 P C I 配 置 寄 存 器 来 检 索 。 R e W r i t e r _ r e a d 使 用 R w D r v   I O C T L   0 x 2 2 8 4 0 并 读 取 正 确 的 偏 移 量 （ 在 我 们 的 例 子 中 为 0 x F 0 ） 来 获 取 此 地 址 。 一 旦 获 得 B I O S 区 域 基 址 和 大 小 信 息 后 ， 转 储 工 具 就 会 读 取 S P I 闪 存 的 相 关 内 容 并 将 其 写 入 磁 盘 上 的 文 件 。 S P I 闪 存 的 读 取 过 程 如 图 8 所 示 。 R e W r i t e r _ r e a d . e x e R w D r v . s y s R w D r v . s y s R w D r v . s y s
图 8   读 取 S P I 闪 存 的 操 作 顺 序 这 些 操 作 将 重 复 执 行 直 到 从 S P I 闪 存 读 取 所 有 数 据 为 止 。 然 后 ， R e W r i t e r _ r e a d 验 证 转 储 镜 像 的 大 小 。 它 将 解 析 镜 像 F l a s h 描 述 符 以 获 取 B I O S 、 千 兆 以 太 网 （ G b E ） 和 管 理 引 擎 （ M E ） 区 域 的 内 存 范 围 。 添 加 这 三 个 区 域 的 大 小 允 许 转 储 工 具 计 算 S P I 闪 存 中 完 整 内 容 的 大 小 。 如 果 镜 像 尺 寸 等 于 通 过 读 取 B I O S   F l a s h 主 区 域 寄 存 器 获 得 的 尺 寸 信 息 ， 镜 像 被 认 为 有 效 。 注 入 注 入 U E F I 固 件 固 件 第 二 个 是 文 件 。 该 文 件 包 含 注 入 转 储 的 U E F I 镜 像 文 件 的 代 码 ， 并 将 木 马 化 的 镜 像 覆 写 S P I 闪 存 。 本 节 将 详 细 介 绍 此 二 进 制 文 件 的 内 部 工 作 原 理 。 一 旦 闪 存 中 的 内 容 被 上 述 转 储 器 工 具 转 储 并 成 功 验 证 ， 恶 意 U E F I 模 块 就 被 添 加 到 镜 像 中 。   因 此 攻 击 者 首 先 需 要 解 析 U E F I 镜 像 来 提 取 攻 击 所 需 的 信 息 。 U E F I 镜 像 中 的 数 据 使 用 固 件 文 件 系 统 （ F F S ） 以 卷 的 形 式 存 储 。 顾 名 思 义 ， 它 是 专 门 为 存 储 固 件 镜 像 而 定 制 的 文 件 系 统 。 卷 包 含 由 G U I D 标 识 文 件 。 每 个 文 件 通 常 由 多 个 部 分 组 成 ， 其 中 一 个 部 分 包 含 真 实 的 P E / C O F F 可 执 行 文 件 ， 即 U E F I 镜 像 。 使 用 U E F I T o o l 可 以 看 到 相 关 信 息 。 图 9   使 用 U E F I T o o l 加 载 U E F I 镜 像 文 件 R e W r i t e r _ b i n a r y 解 析 在 S P I 闪 存 的 B I O S 区 域 中 找 到 的 所 有 固 件 卷 ， 搜 索 特 定 文 件 ： I p 4 D x e （ 8 f 9 2 9 6 0 f - 2 8 8 0 - 4 6 5 9 - b 8 5 7 - 9 1 5 a 8 9 0 1 b d c 8 ） R e W r i t e r _ b i n a r y . e x e
N t f s D x e （ 7 6 8 b e d f d - 7 b 4 b - 4 c 9 f - b 2 f f - 6 3 7 7 e 3 3 8 7 2 4 3 ） S m i F l a s h （ b c 3 2 7 d b d - b 9 8 2 - 4 f 5 5 - 9 f 7 9 - 0 5 6 a d 7 e 9 8 7 c 5 ） D X E C o r e 图 1 0   解 析 固 件 卷 的 例 程 的 H e x - R a y s 反 编 译 器 输 出 I p 4 D x e 和 N t f s D x e 是 D X E 驱 动 程 序 。 在 U E F I 固 件 中 ， D X E 驱 动 程 序 是 P E   /   C O F F 镜 像 ， 用 于 硬 件 抽 象 或 生 成 可 供 其 他 D X E 驱 动 程 序 或 U E F I 应 用 程 序 使 用 的 服 务 。 这 些 驱 动 程 序 由 D X E   F o u n d a t i o n 在 早 期 引 导 过 程 中 通 过 D X E D i s p a t c h e r （ D X E   C o r e ） 加 载 。 这 个 步 骤 完 成 后 ， U E F I 应 用 程 序 （ 例 如 O S 加 载 程 序 ） 可 以 使 用 的 所 有 服 务 均 已 齐 备 。 通 常 情 况 下 ， 所 有 D X E 驱 动 程 序 都 存 储 在 同 一 个 卷 中 ， 但 是 D X E 调 度 程 序 可 能 存 在 别 的 地 方 。 R e W r i t e r _ b i n a r y 仅 用 于 查 找 I p 4 D x e ， 表 示 正 在 解 析 的 卷 包 含 D X E 驱 动 程 序 ， 该 卷 将 用 于 安 装 的 攻 击 者 的 恶 意 D X E 驱 动 程 序 。 它 还 会 查 找 D X E   C o r e 并 将 其 所 在 的 卷 添 加 为 另 一 个 候 选 卷 ， 以 便 编 写 r o o t k i t 。 每 个 卷 上 的 可 用 空 间 在 后 续 步 骤 中 用 于 添 加 恶 意 驱 动 程 序 。 N t f s D x e 是 A M I   N T F S   D X E 驱 动 程 序 。 如 果 固 件 卷 存 在 ， 则 用 于 稍 后 从 卷 中 删 除 文 件 。 在 之 后 的 U E F I   r o o t k i t 分 析 章 节 可 以 看 到 该 工 具 为 何 删 除 此 驱 动 程 序 。 而 针 对 S m i F l a s h 镜 像 ， 有 关 信 息 仅 用 于 存 储 ， 不 用 于 任 何 恶 意 活 动 。 有 趣 的 是 ， 这 个 镜 像 本 身 问 题 也 很 多 。 E S E T 专 家 认 为 S e d n i t 团 队 按 兵 不 动 的 原 因 很 有 可 能 正 在 开 发 一 些 该 镜 像 相 关 的 漏 洞 ， 如 果 成 功 ， 哪 怕 是 比 较 新 的 设 备 都 可 以 被 覆 写 S P I 闪 存 。 目 前 的 工 具 只 能 写 入 配 置 错 误 或 相 当 老 旧 B I O S 系 统 中 （ 2 0 0 8 年 左 右 推 出 的 芯 片 组 的 对 应 主 板 ） 。
在 提 取 所 需 元 数 据 之 后 ， R e W r i t e r _ b i n a r y 的 下 一 步 是 注 入 和 转 储 U E F I 镜 像 ， 添 加 恶 意 D X E 驱 动 程 序 。 首 先 ， 它 会 创 建 一 个 文 件 头 部 结 构 （ E F I _ F F S _ F I L E _ H E A D E R ） 。 然 后 ， 根 据 I p 4 D x e 和 D X E   C o r e 的 位 置 以 及 这 些 卷 上 的 可 用 空 间 选 择 目 标 卷 。   R e W r i t e r _ b i n a r y 嵌 入 包 含 P E 镜 像 的 压 缩 部 分 和 用 户 界 面 部 分 ， 用 于 指 定 文 件 的 可 读 名 称 ： S e c D x e 。   压 缩 部 分 将 附 加 到 文 件 头 ， 并 写 入 包 含 可 用 空 间 的 卷 尾 。   图 1 1 展 示 了 使 用 U E F I T o o l 查 看 的 文 件 结 构 。 图 1 1   S e c D x e 文 件 的 U E F I T o o l 视 图 最 后 ， 如 果 镜 像 中 存 在 N t f s D x e 驱 动 程 序 ， 则 会 将 其 删 除 。 由 于 固 件 文 件 系 统 按 顺 序 存 储 文 件 及 其 内 容 ， 因 此 这 是 一 个 相 当 简 单 的 过 程 ： R e W r i t e r _ b i n a r y 找 到 卷 末 尾 的 自 由 空 间 的 偏 移 量 ； N t f s D x e 镜 像 被 0 x F F 字 节 覆 盖 ； 从 N t f s D x e 所 在 的 偏 移 点 开 始 复 制 固 件 卷 的 尾 部 ； 文 件 系 统 的 其 余 部 分 填 充 0 x F F 字 节 。 将 修 改 的 固 件 写 回 将 修 改 的 固 件 写 回 S P I 闪 存 闪 存 成 功 修 改 转 储 的 固 件 镜 像 后 ， 下 一 步 就 是 将 其 写 回 S P I 闪 存 。 在 深 入 研 究 这 个 过 程 之 前 ， 需 要 先 介 绍 一 些 与 此 案 例 相 关 的 B I O S 写 保 护 机 制 。 B I O S 系 统 包 含 多 种 保 护 机 制 ， 用 于 阻 止 未 经 授 权 的 B I O S 固 件 写 入 尝 试 。   但 是 ， 默 认 情 况 下 这 些 机 制 并 没 有 被 启 用 。 这 些 配 置 通 过 B I O S 控 制 寄 存 器 （ B I O S _ C N T L ） 启 用 或 关 闭 。 该 寄 存 器 包 含 B I O S   W r i t e   E n a b l e （ B I O S W E ） 位 ， 需 要 将 其 设 置 为 1 才 能 写 入 S P I 闪 存 。 I O S 控 制 寄 存 器 （ B I O S _ C N T L ） 还 有 另 一 个 可 用 于 保 护 B I O S 的 功 能 ： B I O S 锁 定 启 用 （ B L E ） ， 该 功 能 启 用 时 会 将 B I O S W E 位 锁 定 为 0 。   但 是 ， 在 现 实 情 况 中 这 种 保 护 机 制 非 常 脆 弱 ， 当 有 请 求 将 B I O S W E 位 设 置 为 1 时 ， B I O S W E 先 会 被 设 置 为 1 ， 然 后 系 统 发 出 系 统 管 理 中 断 （ S M I ） ， 指 令 将 B I O S W E 位 设 置 回 0 。 这 种 方 式 问 题 很 大 。   首 先 ， 需 要 固 件 开 发 人 员 专 门 构 建 一 个 S M I 处 理 程 序 ， 如 果 没 有 ， 则 B L E 位 无 用 。   其 次 ， 存 在 竞 态 条 件 漏 洞 时 ， 即 使 S M I 处 理 程 序 正 常 运 行 ， 也 可 能 允 许 完 全 绕 过 此 机 制 。 要 利 用 此 漏 洞 ， 攻 击 者 需 要 启 动 一 个 线 程 ， 该 线 程 将 B I O S W E 连 续 设 置 为 1 ， 而 另 一 个 线 程 将 数 据 写 入 S P I 闪 存 。 为 了 解 决 此 问 题 ， 通 过 B I O S _ C N T L 配 置 的 新 保 护 机 制 已 经 得 到 应 用 。 它 是 在 英 特 尔 芯 片 组 的 平 台 控 制 器 中 心 （ P C H ） 系 列 中 引 入 的 。 如 果 其 配 置 位 已 设 置 ， 则 仅 当 所 有 内 核 在 系 统 管 理 模 式 （ S M M ） 中 运 行 且 B I O S W E 设 置 为 1 时 ， S M M   B I O S 写 保 护 禁 用 （ S M M _ B W P ） 才 能 允 许 B I O S 固 件 是 可 写 的 。 这 种 机 制 能 够 有 效 保 护 系 统 免 受 竞 态 条 件 漏 洞 的 影 响 。 但 是 ， 与 B L E 的 情 况 一 样 ， S M M _ B W P 需 由 固 件 激 活 。 因 此 ， 未 能 正 确 配 置 这 些 机 制 的 固 件 会 使 系 统 面 临 未 经 授 权 写 入 B I O S 区 域 的 风 险 。 R e W r i t e r _ b i n a r y 读 取 B I O S 控 制 寄 存 器 的 内 容 以 选 择 正 确 的 路 径 。 它 首 先 检 查 B I O S W E 是 否 已 设 置 。 如 果 是 ， 则 进 入 写 入 阶 段 。 如 果 禁 用 B I O S W E ， 它 将 检 查 B L E 位 的 值 。 如 果 未 设 置 ， 则 会 翻 转 B I O S W E 位 并 开 始 覆 写 已 修 改 的 固 件 。 如 果 设 置 了 B L E ， 则 确 保 禁 用 S M M _ B W P 并 利 用 上 述 竞 态 条 件 。 如 果 S M M _ B W P 位 置 1 ， 则 失 败 。   图 1 2 说 明 了 这 个 过 程 。
图 1 2   写 入 过 程 的 决 策 树 假 设 这 里 分 析 的 R e W r i t e r _ b i n a r y 的 版 本 和 用 于 部 署 U E F I   r o o t k i t 的 一 致 ， 我 们 可 以 得 出 结 论 ， 固 件 没 有 正 确 配 置 B I O S 写 保 护 机 制 ， 或 者 目 标 设 备 的 芯 片 组 比 平 台 控 制 器 中 心 更 老 旧 。 R e W r i t e r _ b i n a r y 无 法 在 正 确 配 置 的 新 一 代 B I O S 系 统 中 覆 写 U E F I 固 件 。 但 是 ， 在 解 析 U E F I 固 件 空 间 时 寻 找 易 受 攻 击 的 S m i F l a s h   U E F I 镜 像 ， 这 一 举 动 表 明 攻 击 者 可 能 在 寻 求 更 先 进 的 技 术 绕 过 B I O S 写 保 护 。 与 上 述 读 操 作 非 常 相 似 ， 写 入 S P I 闪 存 的 顺 序 ： 图 1 3   写 入 S P I 闪 存 的 顺 序 这 些 操 作 将 循 环 重 复 ， 直 到 所 有 数 据 都 写 入 S P I 闪 存 。 写 入 过 程 完 成 后 ， S P I 闪 存 的 内 容 将 再 次 转 储 到 文 件 中 。 在 新 的 转 储 镜 像 上 执 行 同 R e W r i t e r _ r e a d 操 作 过 的 相 同 完 整 性 检 查 。 然 后 ， 将 从 S P I 闪 存 读 取 的 镜 像 与 内 存 中 的 修 改 镜 像 进 行 比 较 。 如 果 某 些 字 节 不 同 ， 则 会 记 录 不 同 的 地 址 ， 不 同 之 处 不 会 对 恶 意 软 件 的 执 行 有 任 何 影 响 ， 只 作 记 录 用 。 最 后 的 步 骤 时 设 置 此 注 册 表 项 ： i m a g e . b i n
然 后 ， 停 止 并 卸 载 R w D r v 服 务 。   设 置 W i n d o w s 注 册 表 值 非 常 重 要 ， 因 为 U E F I   R o o t k i t 查 找 该 字 符 串 从 而 在 W i n d o w s 启 动 期 间 执 行 恶 意 软 件 。 L O J A X 技 术 分 析 技 术 分 析 虽 然 转 储 、 修 改 和 写 入 S P I 闪 存 的 工 具 是 针 对 特 定 固 件 镜 像 定 制 的 ， 并 且 无 法 在 任 何 给 定 系 统 上 轻 松 重 复 使 用 ， 但 可 以 从 中 提 取 完 整 的 U E F I 模 块 。 研 究 人 员 在 提 取 到 该 模 块 后 做 的 第 一 事 是 通 过 遥 测 来 查 看 之 前 是 否 录 入 过 这 个 模 块 的 洗 脑 洗 。 使 用 新 新 一 代 E S E T   U E F I 扫 描 器 受 发 现 有 记 录 ， 表 明 S e d n i t 团 队 的 U E F I 模 块 安 装 曾 经 安 装 在 现 实 世 界 中 的 系 统 上 ， 也 就 是 说 这 款 U E F I   R o o t k i t 是 正 经 “ 野 生 ” 的 ， 不 仅 停 留 在 理 论 研 究 层 面 。 以 下 是 研 究 人 员 对 该 “ 野 生 ” 样 本 的 技 术 分 析 。 图 1 4 给 出 了 在 O S 之 前 U E F I   r o o t k i t 工 作 流 的 概 述 。   首 先 ， D X D 调 度 程 序 加 载 S e c D x e   D X E 驱 动 程 序 。   它 在 事 件 组 上 设 置 N o t i f y 函 数 回 调 。   当 固 件 即 将 选 择 引 导 设 备 并 运 行 O S 加 载 程 序 时 调 用 N o t i f y 功 能 。 回 调 做 了 三 件 事 ： 加 载 嵌 入 式 N T F S   D X E 驱 动 程 序 ， 以 便 能 够 访 问 和 写 入 N T F S 分 区 ； 将 两 个 文 件 写 入 W i n d o w s   N T F S 分 区 ： 和 ； 修 改 此 注 册 表 项 ： 之 前 ： 之 后 ： 。 图 1 4   被 U E F I   r o o t k i t 感 染 的 系 统 的 引 导 过 程 S e c D x e ： 恶 意 ： 恶 意 D X E 驱 动 程 序 驱 动 程 序 H K E Y _ L O C A L _ M A C H I N E     S Y S T E M     C u r r e n t C o n t r o l S e t     C o n t r o l     S e s s i o n   M a n a g e r     B o o t E x e c u t e   = “ a u t o c h e c k   a u t o c h k   * ” E F I _ E V E N T _ G R O U P _ R E A D Y _ T O _ B O O T r p c n e t p . e x e a u t o c h e . e x e ' H K E Y _ L O C A L _ M A C H I N E     S Y S T E M     C u r r e n t C o n t r o l S e t     C o n t r o l     S e s s i o n   M a n a g e r     B o o t E x e c u t e ' ' a u t o c h e c k   a u t o c h k   * ' ' a u t o c h e c k   a u t o c h e   * '
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理