UEFI-rootkit ontdekt die vervangen van harde schijf overleeft
Onderzoekers van anti-virusbedrijf ESET hebben naar eigen zeggen voor het eerst een UEFI-rootkit ontdekt die bij een echte aanval is ingezet en het opnieuw installeren van het besturingssysteem of het vervangen van de harde schijf kan overleven.
De Unified Extensible Firmware Interface (UEFI) zorgt voor de communicatie tussen het besturingssysteem en de hardware. Het is essentieel voor de werking van de computer en tevens de eerste belangrijke software die wordt geladen. Wanneer malware de firmware weet aan te passen kan dit grote gevolgen voor de veiligheid van het systeem hebben. In het verleden hebben onderzoekers verschillende aanvallen tegen UEFI gedemonstreerd, maar volgens onderzoekers van ESET zijn UEFI-rootkits nooit eerder bij een daadwerkelijke aanval waargenomen.
Eerder dit jaar waarschuwde securitybedrijf Arbor Networks dat aanvallers de anti-diefstalsoftware LoJack, ook bekend als Computrace, gebruikten om toegang tot gehackte machines te krijgen. LoJack is ontwikkeld om gestolen laptops en computers terug te vinden. De anti-diefstalsoftware bevindt zich in de firmware van de laptop of desktop en maakt het mogelijk om gestolen machines te traceren, zelfs als de harde schijf wordt geformatteerd of vervangen. Ook is het via LoJack mogelijk om op afstand code op het systeem uit te voeren.
Tijdens het onderzoek naar systemen waarbij de LoJack-software was gebruikt vonden onderzoekers van ESET ook verschillende tools waarmee het mogelijk was om de UEFI-firmware van het systeem te lezen en aan te passen. In één geval bleek dat een deel van het flashgeheugen ook was uitgelezen, aangepast en opnieuw overschreven. Op deze manier hadden de aanvallers een kwaadaardige UEFI-module aan het flashgeheugen toegevoegd. Deze module kon malware tijdens het opstartproces uitvoeren. Het ging specifiek om malware die de LoJack-software als backdoor gebruikte.
Door de firmware aan te passen kan de rootkit een herinstallatie van het besturingssysteem en zelfs het vervangen van de harde schijf overleven. Om een dergelijke rootkit te verwijderen zou de UEFI-firmware opnieuw moeten worden geflasht. Iets wat doorsnee gebruikers meestal niet doen, zo stellen de onderzoekers. Die merken wel op dat de UEFI-rootkit niet goed is gesigneerd. Het inschakelen van Secure Boot, dat vereist dat alle firmware-onderdelen zijn gesigneerd, had de rootkit dan ook gestopt.
Volgens ESET is de rootkit waarschijnlijk ontwikkeld door een groep genaamd Fancy Bear, ook bekend als Pawn Storm, Strontium of APT28. Volgens verschillende securitybedrijven betreft het een groep hackers die vanuit Rusland opereert en mogelijk steun van de Russische overheid krijgt. De groep wordt voor een groot aantal aanvallen verantwoordelijk gehouden.
Je weet immers maar nooit.
Want dan zijn de benodigde infectiebestanden niet aanwezig in het flashgeheugen.
Je weet immers maar nooit.
Detecteert die dan LoJack als een PuP? En kun je dat dan verwijderen? Anders heb je er toch nog niks aan?
Is dit mogelijk, denk je?
Er is een reden waarom veel van de "echte" malware vandaag de dag "fileless" is. Er zijn geen bestanden om te scannen.
Je AV software kan deze dus enkel detecteren als deze uitgevoerd wordt en zich verdacht gedraagt, of als deze een bepaalde signature in het RAM heeft.
Helaas ken ik nog geen anti-virus software die malware kan detecteren als deze uitgevoerd wordt op een GPU, HD controller, of eender welke andere niet hoofd-CPU van je systeem...
"Secure boot" is een controlemiddel, geen beveiligingsmiddel. Als de malwaremaker serieus is dan weet'ie ook wel de gaten in UEFI te vinden danwel een bruikbare sleutel om een valide signatuur mee te maken.
Tal van artikelen en nieuws over bios en UEFI rootkits, maar zelfden lees je wat er dan door de aanvaller gedaan kan worden. We lezen altijd alleen dat de rootkit het overleeft en hoe het op de pc kan komen, maar wat een rootkit vanuit de UEFI kan doen hoor ik nooit iemand over.
Kan iemand wat dingen noemen gezien de vele UEFI beperkingen? Kan de nieuwe harde schijf worden uitgelezen? Kunnen er keys worden gedwonload en worden verzonden? Waarom lees ik nooit antwoord op zulke vragen?
Tal van artikelen en nieuws over bios en UEFI rootkits, maar zelfden lees je wat er dan door de aanvaller gedaan kan worden. We lezen altijd alleen dat de rootkit het overleeft en hoe het op de pc kan komen, maar wat een rootkit vanuit de UEFI kan doen hoor ik nooit iemand over.
Kan iemand wat dingen noemen gezien de vele UEFI beperkingen? Kan de nieuwe harde schijf worden uitgelezen? Kunnen er keys worden gedwonload en worden verzonden? Waarom lees ik nooit antwoord op zulke vragen?
Als je een klein OS kan starten voor je Windows opstart is de sky de limit.
De reden dat de mogelijkheden nooit expliciet genoemd worden is omdat dit afhankelijk is van de functionaliteit van de payload. Waar het feitelijk op neerkomt is dat mallware makers code willen uitvoeren onder de hoogste privilege om zo volledige toegang tot het systeem te krijgen.
gedetecteerd kan worden. Wat die functionaliteit dan is dat weet je niet, kan vanalles zijn van het doorsturen van al
je toetsaanslagen naar de aanvaller tot het meekijken en doorsturen van al je encrypted data, minen van cryptomunten
of wat je maar wilt.
Het cruciale is echter dat als het goed gemaakt is, het niet gedetecteerd kan worden met software die je installeert.
Een low level format kan ook op een andere PC.
Een nieuwe HD lost het probleem niet op, maar kost je alleen maar geld.
Waarom geen simpel OS maken en daar mee internetten, hoe ze nu bezig zijn blijft dweilen met de kraan open.
Een low level format kan ook op een andere PC.
Een nieuwe HD lost het probleem niet op, maar kost je alleen maar geld.
Dan heb je het niet begrepen: de HDD controller zit tegenwoordig op de HDD zelf. Dus als je commando's stuurt naar
de HDD worden die door de controller bekeken en uitgevoerd, of niet uitgevoerd als er aangepaste firmware op zit.
Maar zoals al eerder gesteld, dit soort "aanvallen" is vooral theoretisch en is altijd gericht op 1 bepaald OS.
Dus het is voldoende om een ander OS te installeren. Dan is de malware wellicht nog aanwezig in de HDD of
BIOS/UEFI, maar de payload werkt niet op het nieuwe OS dus is het niet meer effectief.
de HDD worden die door de controller bekeken en uitgevoerd, of niet uitgevoerd als er aangepaste firmware op zit.
Misschien nog ff coffigurrere en klaar.
Nee, maar het KON en dus ZOU het ooit gebeuren. Bingo! Dit is echt onvoorstelbaar
Al vele jaren geleden (U)EFI was nog niet uitgevonden, waarschuwde ik voor een faciliteit in nieuwe motherboards, die ik toen geen faciliteit maar imbeciliteit noemde: om een nieuwe BIOS te flashen hoefde je voortaan niet meer het systeem open te schroeven, en een brugje op het MB te verzetten.
Alleen dat sluit uit dat dit soort malware bedacht kan worden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
