Shade BIOS: новый вектор атаки из BIOS, невидимый для антивирусов и ОС

Shade BIOS: новый вектор атаки из BIOS, невидимый для антивирусов и ОС

Shade BIOS: новый вектор атаки из BIOS, невидимый для антивирусов и ОС

На конференции Black Hat 2025 исследователь Казуки Мацуо из FFRI Security представит новый вектор атаки — Shade BIOS. В отличие от привычных UEFI-руткитов, этот метод позволяет запускать вредоносный код прямо из BIOS, вообще не взаимодействуя с операционной системой. То есть ни антивирус, ни EDR / XDR, ни сама ОС даже не узнают о происходящем.

UEFI давно считается лакомым кусочком для атакующих: он запускается до операционной системы и позволяет заложить устойчивую точку входа в систему, переживающую даже переустановку Windows.

Но у таких атак есть ограничения — для выполнения своих задач вредонос всё равно должен использовать ресурсы ОС. А значит, рискует быть замеченным.

Shade BIOS идёт дальше. Эта техника обманывает загрузчик ОС, изменяя карту памяти, и заставляет машину сохранить и использовать функции BIOS даже после загрузки Windows. В результате BIOS продолжает жить параллельно с ОС и становится полноценной платформой для вредоносной активности.

Мацуо объясняет:

«Это почти как вторая, миниатюрная операционка, работающая отдельно от основной и абсолютно незаметная для всех систем защиты».

Более того, код для BIOS можно писать на обычном C — просто использовать не API Windows, а протоколы BIOS, например, для записи на диск.

Особенно пугает тот факт, что Shade BIOS — кросс-аппаратное решение. Он может одинаково работать на любом устройстве, сервере или материнской плате, если поддерживается UEFI.

Можно ли это остановить? Теоретически — да. На практике — сложно. Чтобы обнаружить такой вредонос, нужно заранее и целенаправленно выгрузить всю память машины и искать аномалии. Сам Мацуо обещает показать на Black Hat, как упростить этот процесс с помощью инструмента с открытым исходным кодом под названием Kraftdinner.

К счастью, такие атаки пока не касаются обычных компаний.

«UEFI-угрозы чаще встречаются в сфере национальной безопасности», — говорит Мацуо.

Поэтому на практике проверка BIOS актуальна скорее при госзакупках или использовании техники в чувствительных проектах. Но сигнал прозвучал: BIOS больше не просто мост к загрузке ОС — он может стать плацдармом для невидимой атаки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Ирландия передала США украинца в рамках дела о шифровальщике Conti

После экстрадиции 43-летний житель Ирландии Олексий Литвиненко предстал перед судом как фигурант уголовного дела, открытого в штате Теннеси два года назад. Украинца обвиняют в причастности к вымогательству с использованием Conti.

По данным ФБР, названный шифровальщик собрал более 1000 жертв в 30+ странах. Авторы атак с применением Conti суммарно получили не менее $150 млн в виде выкупа.

Согласно материалам дела, в период с 2020 года по июнь 2022-го Литвиненко контролировал кражу данных из зараженных сетей и отвечал за записки с требованием выкупа, которые тот оставлял в системах жертв.

Арест подозреваемого в Ирландии по запросу американских властей произошел в июле 2023 года. Процедуры, связанные с экстрадицией, заняли много времени и в этом месяце были, наконец, завершены.

В США уроженцу Украины инкриминируют преступный сговор с целью совершения мошеннических действий с использованием вычислительной техники и проводной связи. По совокупности обвиняемому грозит до 25 лет лишения свободы.

По данному делу проходят еще четверо иностранцев — специалист по криптозащите кода Максим Галочкин, программист Максим Руденский и два предполагаемых менеджера Conti-операций, Михаил Царев и Андрей Жуков. Их судьба пока неизвестна.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru