全球首個(gè)在野外被利用的UEFI Rootkit案例有什么特點(diǎn)？
網(wǎng)友解答: ESET 安全專家剛剛宣布，他們已經(jīng)發(fā)現(xiàn)了首個(gè)在野外被利用的“統(tǒng)一可擴(kuò)展主機(jī)接口”（UEFI）rootkit 案例。這款惡意軟件被稱作 Lojax，被“高級(jí)持續(xù)威脅”（APT
ESET 安全專家剛剛宣布，他們已經(jīng)發(fā)現(xiàn)了首個(gè)在野外被利用的“統(tǒng)一可擴(kuò)展主機(jī)接口”（UEFI）rootkit 案例。
這款惡意軟件被稱作 Lojax，被“高級(jí)持續(xù)威脅”（APT）的 Sednit 組織（又名 APT28、STRONTIUM、Sofacy、或 Fancy Bear），用于攻擊巴爾干和歐洲中東部的政府機(jī)構(gòu)。安全研究人員表示，他們發(fā)現(xiàn)該 UEFI rootkit 捆綁了能夠“修補(bǔ)”受害者系統(tǒng)固件的工具，以便將 Lojax 惡意軟件安裝在目標(biāo)系統(tǒng)的底層深處。
ESET 聲稱，在將 UEFI 模塊寫入系統(tǒng) SPI 閃存時(shí)，該 rootkit 曾成功使用過(guò)一次。該模塊能夠在系統(tǒng)啟動(dòng)過(guò)程中，于磁盤上執(zhí)行惡意軟件。
研究人員留意到了這種持久的侵入性，因?yàn)樗梢栽谥匮b系統(tǒng)、或更換硬盤之后依然存活 —— 除非你重新刷寫，以清理系統(tǒng)的 UEFI 固件。
雖然重刷 UEFI 固件的解決方案很是簡(jiǎn)單，但并不是每個(gè)人都會(huì)輕松執(zhí)行。值得慶幸的是，ESET 指出該 UEFI rootkit 沒有正確的簽名。
這意味著，借助該惡意軟件發(fā)起的任何形式的攻擊，都可以通過(guò)啟用安全機(jī)制來(lái)規(guī)避。ESET 建議大家這么做，以便嚴(yán)格驗(yàn)證系統(tǒng)固件加載的每個(gè)組件的簽名是否正確。
Sednit 曾在多起引人注目的全球攻擊中攪過(guò)混水，包括 2016 美總統(tǒng)大選前、針對(duì)民主黨全國(guó)委員會(huì)（DNC）發(fā)起的黑客攻擊。
該組織被認(rèn)為有俄政府的資助背景，且最近被美方發(fā)現(xiàn)其對(duì)保守團(tuán)體實(shí)施了電子欺騙。