TrickBot получил модуль взаимодействия с BIOS и UEFI

TrickBot получил модуль взаимодействия с BIOS и UEFI

Разработчики зловреда TrickBot добавили ему функции, позволяющие установить контроль над процессом загрузки операционной системы и обеспечить такое стойкое присутствие, что его не сможет нарушить ни замена жестких дисков, ни переустановка ОС. Новый модуль по сути представляет собой буткит — программу, способную получить доступ к записи BIOS / UEFI и внести изменения в прошивку.

Новая функциональность TrickBot была обнаружена в дикой природе в конце октября. Находка сильно встревожила экспертов: возросшая цепкость вредоноса, способного заражать по несколько тысяч ПК в сутки, — это очень плохая новость. К тому же она еще раз подтвердила, что ботоводы не потеряли надежду восстановить свою сеть после разгрома. Лежащий в ее основе многофункциональный зловред продолжает совершенствоваться, расширяя свои возможности и набор средств самозащиты.

В настоящее время новый модуль TrickBot (аналитики нарекли его TrickBoot) атакует лишь машины на чипсетах Intel, притом не пытается модифицировать прошивку, а только проверяет настройки защиты доступа к BIOS на запись.

Поскольку буткит-функциональность обеспечивает старт вредоносного кода из главной загрузочной записи (MBR) или загрузочного сектора, включение режима безопасной загрузки ОС никакого эффекта не даст. Штатные средства защиты — такие, как BitLocker, ELAM (Early-Launch Anti-Malware), Windows 10 VSM (Virtual Secure Mode), Credential Guard, EDR (Endpoint Detection and Response), антивирусы, — тоже не помогут, так как они стартуют позднее MBR-зловреда. Обновленный TrickBot даже сможет беспрепятственно отключать их.

Использование буткита позволяет боту не только обойти защиту и накрепко обосноваться в системе, но также совершать следующие действия:

  • повторно заражать машину, очищенную с помощью штатных средств восстановления системы;
  • откатывать важные обновления микрокода — вроде патчей для Spectre, MDS и т. п.;
  • удаленно превратить устройство в бесполезный кирпич на уровне прошивки;
  • атаковать уязвимости в прошивках важных компонентов Intel — CSME (Converged Security and Management Engine), AMT (Active Management Technology), BMC (Baseboard Management Controller).

Сценарии использования TrickBoot разнообразны. Эксперты полагают, что нововведение позволит ботоводам проводить массовые сканы с целью обнаружения уязвимостей в BIOS, уничтожать ценные для криминалистов улики, сохранять доступ к взломанным сетям и сдавать его в аренду другим злоумышленникам — например, распространителям программ-шифровальщиков, которые смогут с помощью TrickBoot наказывать неплательщиков, уничтожая их системы.

Примечательно, что код буткита для TrickBot не написан с нуля, а позаимствован у создателей популярного инструмента RWEverything — бесплатной Windows-утилиты для просмотра аппаратных и системных данных ПК. Вирусописатели попросту скопировали драйвер RwDrv.sys и оформили его в виде модуля, устанавливаемого в систему с помощью загрузчика TrickBot.

Создание буткита требует хорошей технической подготовки, и такие творения попадают на радары аналитиков достаточно редко. Из новейших известных вредоносов буткит используют LoJax и MosaicRegressor.

В своем отчете исследователи также отметили, что определить компрометацию системы на уровне BIOS / UEFI непросто. Надежно выявить присутствие буткита можно, подключив к устройству программатор флеш-памяти с SPI-интерфейсом — ПЗУ, в котором хранится информация о прошивке. Однако правильно прочесть содержимое SPI Flash сумеет только специалист; к тому же подобная экспертиза может обернуться для компании длительным простоем.

На рынке также имеется ряд специализированных инструментов и сервисов, позволяющих проверить активность защиты доступа к UEFI на запись. Нарушение целостности микрокода можно выявить проверкой хешей прошивки, а удостовериться в отсутствии известных уязвимостей поможет регулярное обновление прошивки.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Любителей футбола грабят с помощью фейковых сайтов трансляции ЧМ-2022

Эксперты Group-IB обнаружили свыше 16 тыс. мошеннических ресурсов, использующих тему чемпионата мира по футболу, стартовавшего в Катаре. Более 60 таких сайтов ориентированы на российских болельщиков, которым предлагают поучаствовать в розыгрыше призов.

Как оказалось, 66 поддельных ресурсов в рунете, посвященных ЧМ-2022, создал злоумышленник Kinohoot, хорошо знакомый экспертам. Он и ранее пытался использовать значительные спортивные события для сбора ПДн и данных банковских карт и за несколько лет наблюдений зарегистрировал 382 домена под различные схемы развода болельщиков.

Новые анонсы прямых трансляций Kinohoot, как и прежде, разместил на чужих взломанных ресурсах. Желающих посмотреть матч перенаправляют на мошеннический сайт.

 

Схема обмана тоже не изменилась: на специально созданном сайте болельщику предлагают поучаствовать в розыгрыше. При этом ему отображают 12 одинаковых коробочек и дают три попытки, чтобы найти ту, в которой якобы спрятан приз.

 

Последняя попытка всегда оказывается удачной, однако для получения выигрыша нужно заплатить некую комиссию в размере от 300 до 500 рублей — банковским переводом, для совершения которого придется вводить данные карты. Приз в итоге окажется мифом, а мошенник получит информацию, открывающую доступ к счету жертвы.

«Чтобы избежать блокировки сразу всех своих доменов, преступники оставляют активными только несколько сайтов, а остальные находятся в спящем режиме, — уточняет Глеб Мартьянов, главный эксперт Центра реагирования на инциденты информационной безопасности (CERT-GIB). — Такие ресурсы могут быть запущены в считаные минуты в любой момент, при этом обнаружить и заблокировать их до активации достаточно сложно».

Всего в интернете найдено более 16 тыс. фейков, использующих тему ЧМ-2022. Многие из них имитируют интернет-магазины, предлагающие англо- и арабоязычным болельщикам фирменные футболки национальных сборных, сувениры или билеты на матч. После ввода данных банковских карт на таких ресурсах все деньги на счетах посетителей исчезают.

Иногда ловушкой служит анкета, которую нужно заполнить для получения ценного приза или работы волонтера на чемпионате. Информация о находках была передана в Интерпол и CERT Катара.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru