搜索

[8780] 2015-03-23_一种强大的新型BIOSBootkit病毒曝光

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-17
2015-03-23_一种强大的新型BIOSBootkit病毒曝光 一 种 强 大 的 新 型 B I O S   B o o t k i t 病 毒 曝 光 F r e e B u f   2 0 1 5 - 0 3 - 2 3 微 信 号 ： 微 信 号 ： f r e e b u f 近 日 ， 安 全 研 究 人 员 开 发 出 一 种 新 的 近 日 ， 安 全 研 究 人 员 开 发 出 一 种 新 的 B I O S   b o o t k i t ， 它 可 以 窃 取 敏 感 数 据 ， 以 及 流 行 操 作 系 统 使 用 的 ， 它 可 以 窃 取 敏 感 数 据 ， 以 及 流 行 操 作 系 统 使 用 的 P G P 密 钥 。 包 括 密 钥 。 包 括 华 硕 、 惠 普 、 宏 基 、 技 嘉 以 及 微 星 等 在 内 的 各 大 供 应 商 的 主 板 都 受 到 该 病 毒 影 响 。 华 硕 、 惠 普 、 宏 基 、 技 嘉 以 及 微 星 等 在 内 的 各 大 供 应 商 的 主 板 都 受 到 该 病 毒 影 响 。 B I O S   b o o t k i t s 是 真 实 存 在 的 。 斯 诺 登 在 披 露 N S A   A N T 部 门 使 用 的 监 视 工 具 集 时 ， 曾 提 到 过 B I O S   b o o t k i t s 。 这 些 恶 意 软 件 能 这 些 恶 意 软 件 能 够 入 侵 受 害 机 器 的 够 入 侵 受 害 机 器 的 B I O S ， 以 此 确 保 隐 藏 的 持 久 性 以 及 实 现 复 杂 的 逃 避 技 术 。 即 使 重 装 操 作 系 统 ， ， 以 此 确 保 隐 藏 的 持 久 性 以 及 实 现 复 杂 的 逃 避 技 术 。 即 使 重 装 操 作 系 统 ， B I O S   b o o t k i t s 仍 然 仍 然 能 够 存 留 。 能 够 存 留 。 F r e e B u f 科 普 ： 科 普 ： B I O S B I O S 是 英 文 " B a s i c   I n p u t   O u t p u t   S y s t e m " 的 缩 略 词 ， 直 译 过 来 后 中 文 名 称 就 是 " 基 本 输 入 输 出 系 统 " 。 其 实 ， 它 是 一 组 固 化 到 计 算 机 内 主 板 上 一 个 R O M 芯 片 上 的 程 序 ， 它 保 存 着 计 算 机 最 重 要 的 基 本 输 入 输 出 的 程 序 、 系 统 设 置 信 息 、 开 机 后 自 检 程 序 和 系 统 自 启 动 程 序 。   其 主 要 功 能 是 为 计 算 机 提 供 最 底 层 的 、 最 直 接 的 硬 件 设 置 和 控 制 。 新 型 新 型 B I O S   b o o t k i t 介 绍 介 绍 最 近 ， 卡 巴 斯 基 实 验 室 的 专 家 们 发 现 ， 黑 客 组 织 方 程 式 发 起 的 一 场 复 杂 的 A P T （ 高 级 持 续 性 威 胁 ） ， 使 用 了 B I O S   b o o t k i t s 来 入 侵 目 标 机 器 。 考 虑 到 这 种 恶 意 植 入 的 复 杂 性 ， 很 多 安 全 专 家 推 测 这 次 攻 击 与 N S A 有 直 接 关 系 。 N S A 和 方 程 式 （ 攻 击 同 时 使 用 了 E q u a t i o n D r u g 和 G r a y F i s h 平 台 ） 都 利 用 了 模 块 N L S _ 9 3 3 W . D L L ， 而 该 模 块 被 主 要 的 供 应 商 广 泛 使 用 。 N L S _ 9 3 3 W . D L L 中 包 含 了 一 个 能 够 隐 藏 恶 意 软 件 的 驱 动 程 序 ， 而 由 攻 击 者 开 发 的 驱 动 程 序 允 许 在 内 核 级 别 与 硬 盘 进 行 交 互 ， 卡 巴 斯 基 的 专 家 们 解 释 说 。 卡 巴 斯 基 实 验 室 的 首 席 安 全 研 究 员 V i t a l y   K a m l u k 说 ： “ 即 使 它 使 用 了 特 定 序 列 的 A T A 命 令 来 与 硬 盘 交 互 ， 但 并 不 是 因 为 代 码 复 杂 ， 其 实 最 复 杂 的 是 重 新 设 定 固 件 本 身 。 为 了 掌 握 如 何 写 固 件 ， 我 们 需 要 花 费 几 年 的 时 间 去 学 习 。 这 是 更 高 层 次 的 持 久 性 攻 击 ， 这 是 我 们 第 一 次 从 高 级 攻 击 者 那 里 见 到 的 这 么 高 复 杂 度 的 攻 击 技 术 。 ” 今 天 ， 在 温 哥 华 的 C a n S e c W e s t 会 议 上 ， 研 究 人 员 C o r e y   K a l l e n b e r g 和 X e n o   K o v a h ， 即 L e g b a C o r e 的 创 始 人 ， 将 展 示 他 们 对 一 套 新 的 B I O S 漏 洞 的 研 究 情 况 ， 以 及 对 B I O S   r o o t k i t s 的 开 发 成 果 。
他 们 发 现 了 一 种 绕 过 B I O S 防 护 机 制 的 新 方 法 ， 而 且 这 项 研 究 中 最 有 趣 的 部 分 是 ， 他 们 已 经 定 义 了 一 种 方 法 来 实 现 漏 洞 发 现 的 自 动 化 实 现 。 这 种 攻 击 在 特 定 条 件 下 是 可 行 的 ， 只 需 满 足 攻 击 者 能 够 远 程 访 问 目 标 机 器 ， 以 此 来 植 入 B I O S   b o o t k i t ， 接 着 攻 击 者 就 可 以 通 过 硬 件 来 提 升 权 限 。 B I O S   b o o t k i t 工 作 原 理 工 作 原 理 该 病 毒 的 利 用 方 式 可 以 禁 用 该 病 毒 的 利 用 方 式 可 以 禁 用 B I O S 的 防 御 机 制 ， 这 可 以 防 止 固 件 重 新 的 防 御 机 制 ， 这 可 以 防 止 固 件 重 新 f l a s h ， 然 后 就 可 以 注 入 并 执 行 恶 意 代 码 。 ， 然 后 就 可 以 注 入 并 执 行 恶 意 代 码 。 这 个 这 个 B I O S   b o o t k i t 最 强 大 的 地 方 是 ， 它 被 注 入 到 了 系 统 管 理 模 式 。 最 强 大 的 地 方 是 ， 它 被 注 入 到 了 系 统 管 理 模 式 。 系 统 管 理 模 式 是 一 个 计 算 机 操 作 模 式 ， 在 该 模 式 中 所 有 正 常 的 执 行 ， 包 括 操 作 系 统 ， 都 会 被 中 断 ， 而 特 定 独 立 的 软 件 ， 包 括 固 件 ， 则 会 以 高 权 限 运 行 。 研 究 人 员 利 用 系 统 管 理 模 式 以 高 权 限 运 行 它 们 的 B I O S   b o o t k i t ， 并 管 理 目 标 结 构 的 各 种 组 件 ， 包 括 内 存 。 研 究 人 员 强 调 ， 像 T a i l s 这 种 安 全 发 行 版 也 能 够 被 成 功 植 入 。 至 于 至 于 B I O S   b o o t k i t 的 危 害 性 ， 它 可 以 窃 取 敏 感 数 据 ， 以 及 流 行 操 作 系 统 使 用 的 的 危 害 性 ， 它 可 以 窃 取 敏 感 数 据 ， 以 及 流 行 操 作 系 统 使 用 的 P G P 密 钥 等 。 密 钥 等 。 该 b o o t k i t 能 够 在 很 多 厂 商 的 B I O S 版 本 上 工 作 ， 根 据 专 家 所 说 ， B I O S   b o o t k i t 在 U E F I （ 统 一 可 扩 展 固 件 接 口 ） 下 同 样 有 效 ， 而 U E F I 被 认 为 是 B I O S 改 进 的 下 一 代 版 本 。 参 考 来 源 s e c u r i t y a f f a i r s ， 有 适 当 修 改 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理