TrickBot получил модуль взаимодействия с BIOS и UEFI

TrickBot получил модуль взаимодействия с BIOS и UEFI

TrickBot получил модуль взаимодействия с BIOS и UEFI

Разработчики зловреда TrickBot добавили ему функции, позволяющие установить контроль над процессом загрузки операционной системы и обеспечить такое стойкое присутствие, что его не сможет нарушить ни замена жестких дисков, ни переустановка ОС. Новый модуль по сути представляет собой буткит — программу, способную получить доступ к записи BIOS / UEFI и внести изменения в прошивку.

Новая функциональность TrickBot была обнаружена в дикой природе в конце октября. Находка сильно встревожила экспертов: возросшая цепкость вредоноса, способного заражать по несколько тысяч ПК в сутки, — это очень плохая новость. К тому же она еще раз подтвердила, что ботоводы не потеряли надежду восстановить свою сеть после разгрома. Лежащий в ее основе многофункциональный зловред продолжает совершенствоваться, расширяя свои возможности и набор средств самозащиты.

В настоящее время новый модуль TrickBot (аналитики нарекли его TrickBoot) атакует лишь машины на чипсетах Intel, притом не пытается модифицировать прошивку, а только проверяет настройки защиты доступа к BIOS на запись.

Поскольку буткит-функциональность обеспечивает старт вредоносного кода из главной загрузочной записи (MBR) или загрузочного сектора, включение режима безопасной загрузки ОС никакого эффекта не даст. Штатные средства защиты — такие, как BitLocker, ELAM (Early-Launch Anti-Malware), Windows 10 VSM (Virtual Secure Mode), Credential Guard, EDR (Endpoint Detection and Response), антивирусы, — тоже не помогут, так как они стартуют позднее MBR-зловреда. Обновленный TrickBot даже сможет беспрепятственно отключать их.

Использование буткита позволяет боту не только обойти защиту и накрепко обосноваться в системе, но также совершать следующие действия:

  • повторно заражать машину, очищенную с помощью штатных средств восстановления системы;
  • откатывать важные обновления микрокода — вроде патчей для Spectre, MDS и т. п.;
  • удаленно превратить устройство в бесполезный кирпич на уровне прошивки;
  • атаковать уязвимости в прошивках важных компонентов Intel — CSME (Converged Security and Management Engine), AMT (Active Management Technology), BMC (Baseboard Management Controller).

Сценарии использования TrickBoot разнообразны. Эксперты полагают, что нововведение позволит ботоводам проводить массовые сканы с целью обнаружения уязвимостей в BIOS, уничтожать ценные для криминалистов улики, сохранять доступ к взломанным сетям и сдавать его в аренду другим злоумышленникам — например, распространителям программ-шифровальщиков, которые смогут с помощью TrickBoot наказывать неплательщиков, уничтожая их системы.

Примечательно, что код буткита для TrickBot не написан с нуля, а позаимствован у создателей популярного инструмента RWEverything — бесплатной Windows-утилиты для просмотра аппаратных и системных данных ПК. Вирусописатели попросту скопировали драйвер RwDrv.sys и оформили его в виде модуля, устанавливаемого в систему с помощью загрузчика TrickBot.

Создание буткита требует хорошей технической подготовки, и такие творения попадают на радары аналитиков достаточно редко. Из новейших известных вредоносов буткит используют LoJax и MosaicRegressor.

В своем отчете исследователи также отметили, что определить компрометацию системы на уровне BIOS / UEFI непросто. Надежно выявить присутствие буткита можно, подключив к устройству программатор флеш-памяти с SPI-интерфейсом — ПЗУ, в котором хранится информация о прошивке. Однако правильно прочесть содержимое SPI Flash сумеет только специалист; к тому же подобная экспертиза может обернуться для компании длительным простоем.

На рынке также имеется ряд специализированных инструментов и сервисов, позволяющих проверить активность защиты доступа к UEFI на запись. Нарушение целостности микрокода можно выявить проверкой хешей прошивки, а удостовериться в отсутствии известных уязвимостей поможет регулярное обновление прошивки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники начали атаковать абитуриентов, поступающих на платные отделения

Мошенники начали активно использовать сезон поступления в вузы, предлагая абитуриентам, претендующим на платные места, заранее внести оплату за обучение. Под предлогом «гарантированного поступления» злоумышленники выманивают деньги у поступающих, вводя их в заблуждение и обещая помощь в зачислении.

О появлении такой схемы сообщили эксперты, опрошенные «Известиями». Главный эксперт Московского антикоррупционного комитета, доцент кафедры политического анализа и социально-психологических процессов РЭУ им. Г. В. Плеханова Александр Перенджиев связал эту активность с сокращением числа платных мест во многих вузах и ростом конкуренции среди абитуриентов.

Существование подобной схемы подтвердили изданию основатель сервиса разведки утечек данных и мониторинга даркнета DLBI Ашот Оганесян и эксперт проекта «За права заемщиков» и платформы «Мошеловка» Александра Пожарская. Она отметила, что мошенники давно используют схожие схемы, включая продажу дипломов, сертификатов и «услуг» по гарантированному поступлению. Также применяются различные методы социальной инженерии, в том числе фишинг и телефонные звонки с целью сбора личных данных.

По словам Пожарской, злоумышленники могут даже показывать поддельные приказы о зачислении или предлагать внести плату за якобы дополнительный набор. Такая практика используется и при «продаже» бюджетных мест.

В свою очередь, Александр Перенджиев напомнил, что оплата обучения осуществляется исключительно после подписания официального договора и только по реквизитам, указанным на сайте университета. Это — необходимое условие для возврата средств в случае расторжения договора.

«Все решения в вузах принимаются открыто, а любые попытки «ускорить процесс» за деньги — это обман», — подчеркнула Александра Пожарская.

Как отметил Ашот Оганесян, чаще всего жертвами мошенников становятся абитуриенты тех вузов, где списки поступающих публикуются с открытыми ФИО. Там, где используются обезличенные идентификаторы, злоумышленникам сложнее получить доступ к данным, и активность снижается.

Тем не менее, как предупредил руководитель направления по детской онлайн-безопасности в «Лаборатории Касперского» Андрей Сиденко, в зоне риска остаются и уже зачисленные студенты. Под видом сотрудников деканата или бухгалтерии злоумышленники могут требовать оплату «дополнительных сборов» или приглашать в фейковые группы в мессенджерах.

Чтобы избежать обмана, эксперты рекомендуют всегда сверять информацию на официальных сайтах вузов — особенно когда речь идёт о платежных реквизитах и сроках оплаты.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru