搜索

[16219] 2020-12-18_TrickBot正在瞄准UEFI固件

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-12-18_TrickBot正在瞄准UEFI固件 T r i c k B o t 正 在 瞄 准 U E F I 固 件 A v e n g e r   F r e e B u f   2 0 2 0 - 1 2 - 1 8 T r i c k B o t 近 期 部 署 了 探 测 U E F I 漏 洞 的 攻 击 模 块 ， 通 过 访 问   U E F I 固 件 ， 攻 击 者 可 以 拥 有 更 好 的 持 久 化 能 力 ， 对 抗 操 作 系 统 级 的 安 全 措 施 。 固 件 级 的   B o o t k i t   植 入 的 恶 意 代 码 对 上 层 的 安 全 防 护 是 难 以 清 除 的 ， 它 会 在 计 算 机 最 初 启 动 领 先 其 他 代 码 进 行 加 载 。 攻 击 者 能 够 通 过 攻 击   U E F I   漏 洞 获 得 这 种 持 久 化 能 力 的 影 响 是 十 分 巨 大 的 ， 尤 其 是 对   T r i c k B o t   这 样 的 僵 尸 网 络 ， 每 天 的 感 染 量 可 能 就 高 达 数 千 个 。 针 对 针 对   I n t e l   的 固 件 的 固 件 A d v a n c e d   I n t e l l i g e n c e （ A d v I n t e l ） 和   E c l y p s i u m   的 安 全 研 究 人 员 提 供 了 有 关   T r i c k B o t   新 组 件 的 技 术 细 节 。 T r i c k B o t   在 目 前 的 阶 段 仍 然 充 当 侦 察 工 具 ， 会 检 查 受 感 染 机 器 的   U E F I   固 件 是 否 存 在 漏 洞 。 目 前 ， 验 证 仅 针 对   I n t e l 平 台 （ S k y l a k e 、 K a b y   L a k e 、 C o f f e e   L a k e 、 C o m e t   L a k e ） 。 尽 管 如 此 ， 实 际 上 该 模 块 还 包 含 用 于 读 写 和 擦 除 固 件 的 代 码 ， 因 此 攻 击 者 可 以 将 其 用 于 重 大 破 坏 。 它 会 检 查   R w D r v . s y s   驱 动 的   U E F I / B I O S   的 写 保 护 ， 并 使 用   R W E v e r y t h i n g   修 改 为 读 写 权 限 。 该 工 具 允 许 访 问 硬 件 组 件 ， 如   S P I   闪 存 芯 片 、 存 储 系 统 的   B I O S / U E F I   固 件 等 。 该 工 具 最 初 由   L o J a x   使 用 ， L o J a x   是 在 野 发 现 的 第 一 个   U E F I   R o o t k i t ， 攻 击 来 自 俄 罗 斯 ， 称 业 界 为   A P T 2 8 。 “ 对   S P I   闪 存 芯 片 中 存 储 的   U E F I   固 件 的 所 有 请 求 都 会 通 过   S P I   控 制 器 ， 该 控 制 器 是   I n t e l   平 台 上   P l a t f o r m C o n t r o l l e r   H u b （ P C H ） 的 一 部 分 。 该   S P I   控 制 器 包 含 访 问 控 制 机 制 ， 可 以 在 引 导 过 程 中 将 其 锁 定 ， 以 防 止 对 存 储 在   S P I   闪 存 芯 片 中 的   U E F I   固 件 进 行 未 经 授 权 的 修 改 ”   — —   E c l y p s i u m ， A d v I n t e l   联 合 报 告 研 究 人 员 说 ， 出 厂 提 供 的   B I O S / U E F I   写 保 护 功 能 通 常 处 于 不 被 使 用 或 者 配 置 错 误 的 状 态 ， 这 使 得 攻 击 者 可 以 修 改 固 件 或 删 除 固 件 。 研 究 人 员 在   1 0   月   1 9   日 发 现 了 该 模 块 ， 并 将 其 命 名 为   T r i c k B o o t ， 这 是 对 该 模 块 的 功 能 以 及 部 署 它 的 僵 尸 网 络 恶 意 软 件 名 称 的 一 种 双 关 。 A d v a n c e d   I n t e l l i g e n c e   在 分 析 的 样 本 中 发 现 了 新 的   T r i c k B o t   样 本 ， 该 样 本 与 文 件   u s e r _ p l a t f o r m _ c h e c k . D l l   相 关 的 P e r m a D l l 。 调 查 后 发 现 ， 攻 击 者 已 经 实 现 对 失 陷 主 机 的 芯 片 组 的 检 查 。 研 究 发 现 ， 模 块 运 行   P C H   查 询 确 定 主 机 平 台 并 确 定 是 否 易 受 攻 击 。
研 究 人 员 还 发 现 ， 攻 击 者 依 赖 于 已 知 的 固 件 开 发 工 具   f w e x p l   的 功 能 ： 从 硬 件   I O   端 口 读 取 数 据 调 用   r w d r v . s y s   驱 动 程 序 以 将 数 据 写 入 硬 件   I O   端 口 调 用   r w d r v . s y s   驱 动 程 序 以 从 物 理 内 存 地 址 读 取 数 据 调 用   r w d r v . s y s   驱 动 程 序 以 将 数 据 写 入 物 理 内 存 地 址 识 别 运 行 平 台 后 ， T r i c k B o o t   会 访 问 与 闪 存 读 取 寄 存 器 （ S P I B A R ， P R O - P R 4 ） 和   B I O S   控 制 相 关 的 寄 存 器 （ 在 硬 件 级 别 进 行   B I O S   访 问 的 写 保 护 锁 定 位 ） 。 攻 击 者 在 尝 试 禁 用   B I O S   写 保 护 的 功 能 中 包 含 一 个   B u g ， 攻 击 者 从   B I O S   控 制 寄 存 器 中 的 错 误 偏 移 开 始 读 取 ， 以 检 查 是 否 将   B I O S   写 保 护 禁 用 位 启 用 。
主 要 影 响 主 要 影 响 T r i c k B o t   正 在 努 力 扩 大 对 失 陷 主 机 的 控 制 。 大 型 僵 尸 网 络 已 经 有 成 千 上 万 台 受 感 染 的 计 算 机 ， 攻 击 者 可 以 从 中 选 择 最 有 价 值 的 目 标 。 A d v I n t e l   的 遥 测 技 术 显 示 ， 1 0   月   3   日 至   1 1   月   2 1   日 之 间 ， T r i c k B o t   的 感 染 量 达 到   4 0 0 0 0   的 峰 值 ， 平 均 每 天   2 0 0   至 4 0 0 0   之 间 。 这 些 数 字 也 是 较 为 保 守 的 ， 因 为 智 能 计 算 外 网 地 址 ， 内 网 的 多 台 计 算 机 并 未 计 算 在 内 。 攻 击 者 会 选 取 高 价 值 目 标 推 送   R y u k   和   C o n t i   勒 索 软 件 。 自 从   2 0 1 8   年 以 来 ， 他 们 赚 了 至 少   1 . 5   亿 美 元 ， 最 近 的 一 次 攻 击 事 件 就 赚 了   2 2 0 0   个 比 特 币 。
通 过   U E F I   的 感 染 ， 网 络 犯 罪 分 子 甚 至 可 以 在 用 户 支 付 赎 金 后 仍 然 保 持 对 失 陷 主 机 的 访 问 与 控 制 。 随 后 ， 就 可 以 将 这 些 攻 击 目 标 再 转 售 给 其 他 攻 击 团 伙 。 如 何 防 御 如 何 防 御 E c l y p s i u m   的 首 席 研 究 员   J e s s e   M i c h a e l   表 示 ， 确 定 系 统 是 否 在   U E F I   固 件 级 别 受 到 威 胁 是 一 项 艰 巨 的 任 务 。 一 种 彻 底 的 方 法 是 在 系 统 通 过 物 理 连 接   S P I   闪 存 编 程 设 备 断 电 时 读 取   S P I   存 储 器 芯 片 上 的 内 容 。 但 是 ， 该 解 决 方 案 不 仅 涉 及 专 业 知 识 ， 而 且 还 延 长 了 公 司 的 宕 机 时 间 。 与 此 同 时 ， 在 某 些 情 况 下 ， 芯 片 被 焊 接 到 主 板 上 ， 并 且 存 在 读 取 问 题 的 风 险 。 另 一 种 方 法 是 使 用 开 源 工 具   C H I P S E C   或   E c l y p s i u m ， 在 硬 件 和 固 件 级 别 上 查 找 低 级 漏 洞 ， 还 可 以 确 定   B I O S   写 保 护 是 否 处 于 启 用 状 态 。 检 查 固 件 哈 希 还 有 助 于 确 定 代 码 是 否 已 被 篡 改 。 此 外 ， 更 新 固 件 也 是 确 保 不 受 已 知 漏 洞 影 响 的 一 种 好 方 法 。 自 从   V e c t o r E D K   U E F I   植 入 代 码 泄 漏 并 公 开 可 用 的 五 年 以 来 ， U E F I   级 别 的 恶 意 代 码 仍 然 很 少 见 的 。 但 是 ， 与 T r i c k B o t   的 攻 击 不 同 ， 传 统 使 用   U E F I   发 起 的 攻 击 具 有 高 度 针 对 性 ， 而   T r i c k B o t   的 目 标 是 感 染 尽 可 能 多 的 系 统 ， 并 从 该 其 中 选 择 有 价 值 的 目 标 （ 任 何 部 门 的 大 型 公 司 ） 。 A d v I n t e l   和   E c l y p s i u m   的 技 术 报 告   提 供 了   T r i c k B o o t   的   I o C   指 标 ， 以 及   V i t a l i   K r e m e z   为 该 模 块 创 建 的   Y a r a   规 则 。 参 考 来 源 参 考 来 源 B l e e p i n g C o m p u t e r 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理