搜索

[666] 2018-12-03_首款UEFIrootkit工具LoJax简述

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-16
2018-12-03_首款UEFIrootkit工具LoJax简述 首 款 U E F I   r o o t k i t 工 具 L o J a x 简 述 A r k T e a m   2 0 1 8 - 1 2 - 0 3 作 者 ： { E s i } @ A r k T e a m U E F I   r o o t k i t 是 指 在 U E F I / B I O S 中 植 入 r o o t k i t , 该 类 型 工 具 具 有 良 好 的 持 久 化 性 能 ， 关 于 这 方 面 的 报 道 曾 经 有 r k l o a d e r 或 面 向 m a c O S   E F I / U E F I 启 动 植 入 的 D e r S t a r k e ， 以 及 H a c k i n g   T e a m 小 组 2 0 1 5 年 提 出 的 U E F I / B I O S   r o o t k i t ， 但 该 工 具 的 使 用 一 直 停 留 在 理 论 阶 段 。 今 年 9 月 E S E T 首 次 公 开 了 第 一 个 用 于 实 战 的 U E F I   r o o t k i t 工 具 — — L o J a x 。 根 据 有 关 专 家 分 析 ， 该 工 具 有 可 能 来 自 S e d n i t 团 队 （ A P T 2 8 ） 。 L o J a x 的 原 型 来 自 A b s o l u t e   S o f t w a r e 的 L o J a c k 防 盗 软 件 ， 是 一 种 专 有 的 笔 记 本 电 脑 盗 窃 恢 复 软 件 。 其 功 能 包 括 远 程 锁 定 ， 删 除 文 件 以 及 在 地 图 上 找 到 被 盗 笔 记 本 电 脑 。 L o J a c k 使 用 U E F I / B I O S 模 块 作 为 持 久 性 机 制 ， 其 工 作 原 理 如 下 图 所 示 ： 图 1   L o J a c k 工 作 原 理 图 L o J a x 的 工 作 流 程 基 本 为 ： 黑 客 先 入 侵 一 台 主 机 ， 获 取 到 管 理 员 权 限 ， 然 后 通 过 修 改 主 板 固 件 植 入 恶 意 U E F I 模 块 。 如 果 成 功 植 入 ， 即 使 重 新 安 装 操 作 系 统 和 更 换 硬 盘 也 难 以 清 除 ， 除 非 重 刷 U E F I 固 件 。 L o J a x 首 先 通 过 解 密 L o J a c k 的 r p c n e t p . e x e 配 置 文 件 来 篡 改 劫 持 L o J a c k 的 C & C 地 址 ， 借 助 L o J a c k 来 下 载 恶 意 程 序 ， 成 功 下 载 恶 意 程 序 以 后 ， 进 行 U E F I   r o o t k i t 的 植 入 ， 恶 意 程 序 的 执 行 过 程 分 为 三 步 进 行 ： 1 、 将 有 关 系 统 设 置 的 底 层 信 息 转 储 到 文 本 文 件 中 （ R e W r i t e r _ r e a d . e x e ） 该 工 具 可 用 于 读 取 计 算 机 底 层 配 置 信 息 ， 并 将 信 息 存 储 在 文 本 文 件 中 。 其 中 还 包 含 三 个 主 要 信 息 ： B I O S 锁 定 启 用 （ B L E ） ， B I O S 写 入 启 用 （ B I O S W E ） 和 S M M   B I O S 写 保 护 禁 用 （ S M M _ B W P ） 。 2 、 读 取 闪 存 工 具 （ R e W r i t e r _ b i n a r y . e x e ） 该 工 具 包 含 修 补 转 储 的 U E F I 印 象 代 码 。 将 恶 意 代 码 写 入 之 前 存 储 的 文 本 文 件 中 。 3 、 写 入 闪 存 （   R e W r i t e r _ b i n a r y . e x e   ） 将 修 改 后 的 文 件 写 回 S P I 闪 存 ， 在 写 入 闪 存 的 过 程 中 利 用 了 S P I 闪 存 的 写 保 护 机 制 的 漏 洞 和 配 置 错 误 的 问 题 来 成 功 写 入 ， 写 入 过 程 如 下 图 所 示 ， 在 写 入 过 程 中 步 骤 1 和 步 骤 2 利 用 了 配 置 错 误 的 问 题 ， 步 骤 3 中 利 用 了 I n t e l 芯 片 组 竞 争 条 件 漏 洞 （ C V E - 2 0 1 4 - 8 2 7 3 ） 。
图 2   L o J a x 绕 过 写 保 护 将 U E F I   r o o t k i t 成 功 植 入 后 ， 整 个 流 程 结 束 ， 完 整 的 U E F I   r o o t k i t 工 作 原 理 如 下 图 所 示 ： 图 3   U E F I   r o o t k i t 工 作 原 理   参 考 内 容 ： h t t p s : / / w w w . w e l i v e s e c u r i t y . c o m / w p - c o n t e n t / u p l o a d s / 2 0 1 8 / 0 9 / E S E T - L o J a x . p d f 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理