Shade BIOS: новый вектор атаки из BIOS, невидимый для антивирусов и ОС

Shade BIOS: новый вектор атаки из BIOS, невидимый для антивирусов и ОС

Shade BIOS: новый вектор атаки из BIOS, невидимый для антивирусов и ОС

На конференции Black Hat 2025 исследователь Казуки Мацуо из FFRI Security представит новый вектор атаки — Shade BIOS. В отличие от привычных UEFI-руткитов, этот метод позволяет запускать вредоносный код прямо из BIOS, вообще не взаимодействуя с операционной системой. То есть ни антивирус, ни EDR / XDR, ни сама ОС даже не узнают о происходящем.

UEFI давно считается лакомым кусочком для атакующих: он запускается до операционной системы и позволяет заложить устойчивую точку входа в систему, переживающую даже переустановку Windows.

Но у таких атак есть ограничения — для выполнения своих задач вредонос всё равно должен использовать ресурсы ОС. А значит, рискует быть замеченным.

Shade BIOS идёт дальше. Эта техника обманывает загрузчик ОС, изменяя карту памяти, и заставляет машину сохранить и использовать функции BIOS даже после загрузки Windows. В результате BIOS продолжает жить параллельно с ОС и становится полноценной платформой для вредоносной активности.

Мацуо объясняет:

«Это почти как вторая, миниатюрная операционка, работающая отдельно от основной и абсолютно незаметная для всех систем защиты».

Более того, код для BIOS можно писать на обычном C — просто использовать не API Windows, а протоколы BIOS, например, для записи на диск.

Особенно пугает тот факт, что Shade BIOS — кросс-аппаратное решение. Он может одинаково работать на любом устройстве, сервере или материнской плате, если поддерживается UEFI.

Можно ли это остановить? Теоретически — да. На практике — сложно. Чтобы обнаружить такой вредонос, нужно заранее и целенаправленно выгрузить всю память машины и искать аномалии. Сам Мацуо обещает показать на Black Hat, как упростить этот процесс с помощью инструмента с открытым исходным кодом под названием Kraftdinner.

К счастью, такие атаки пока не касаются обычных компаний.

«UEFI-угрозы чаще встречаются в сфере национальной безопасности», — говорит Мацуо.

Поэтому на практике проверка BIOS актуальна скорее при госзакупках или использовании техники в чувствительных проектах. Но сигнал прозвучал: BIOS больше не просто мост к загрузке ОС — он может стать плацдармом для невидимой атаки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Обновление BI.ZONE PAM 2.3: двойной контроль изменений и фильтрация команд

В версии 2.3 системы управления привилегированным доступом BI.ZONE PAM появился новый механизм — так называемая «вторая рука». Теперь любые изменения в настройках, учетных записях и серверах можно проводить только после одобрения заявки другим сотрудником.

Это позволяет избежать односторонних действий, которые могут навредить инфраструктуре, и при этом ускоряет процесс подключения новых ресурсов — пользователи могут самостоятельно добавлять системы и учетные записи, а затем отправлять их на утверждение.

Также в новой версии появилась возможность фильтрации команд в SSH-сессиях. Администратор может задать список запрещенных команд — вручную или с помощью готового шаблона. Если пользователь, например, попытается перезагрузить почтовый сервер, система может отреагировать по-разному: запретить, предупредить или передать информацию в SIEM, в зависимости от роли.

«Концепция zero trust требует не только строгого контроля доступа, но и удобства для пользователей. Решения должны быстро развертываться, бесшовно интегрироваться в ИТ-ландшафт компании и не замедлять бизнес-процессы. Иначе внедрение остается формальностью, а не защитой.

В разработке BI.ZONE PAM упор делается на синергию безопасности и удобства. Мы продолжаем развивать продукт, чтобы охватить еще больше сценариев управления доступом, автоматизации процессов и контроля безопасности, а также адаптироваться к меняющимся требованиям и задачам бизнеса», — отметил Артем Назаретян, руководитель BI.ZONE PAM.

Также обновление включает более удобный интерфейс для работы с пользователями, инцидентами и группами, а настройки интеграции с LDAP и движки ротации секретов теперь можно управлять прямо из панели — раньше это требовало работы с API. Для новых инсталляций подготовлены готовые схемы с установочными скриптами.

По данным расследований BI.ZONE DFIR, во всех случаях атак с уничтожением инфраструктуры в 2025 году злоумышленники сначала получали доступ к привилегированным учеткам. Это подчеркивает важность решений класса PAM как одного из базовых элементов защиты корпоративных систем. Поскольку такие продукты влияют на работу сотен сотрудников, к их удобству и функциональности компании предъявляют всё более высокие требования.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru