FinFisher-spyware gebruikt UEFI-bootkit voor infecteren van computers
Onderzoekers hebben een exemplaar van de FinFisher-spyware ontdekt die via een UEFI-bootkit op computers wordt geïnstalleerd. FinFisher is door Gamma International ontwikkelde spyware die overheden en opsporingsdiensten al zeker sinds 2011 voor surveillancedoeleinden inzetten. Het kan wachtwoorden verzamelen, heeft toegang tot microfoon en camera en kan bestanden stelen. Er bestaan FinFisher-versies voor Linux, macOS en Windows.
FinFisher wordt onder andere via getrojaniseerde software verspreid. Zo zijn er versies van WinRAR, VLC media player en TeamViewer ontdekt die van de spyware waren voorzien en via malafide websites werden aangeboden. Daarnaast wordt FinFisher ook via UEFI- en Master Boot Record (MBR)-bootkits geïnstalleerd. Het gebruik van MBR-bootkits door FinFisher was al bekend, maar de spyware kan systemen ook via UEFI-bootkits infecteren, meldt antivirusbedrijf Kaspersky in een nieuwe analyse.
De Unified Extensible Firmware Interface (UEFI) zorgt voor de communicatie tussen het besturingssysteem en de hardware. Het is essentieel voor de werking van de computer en tevens de eerste belangrijke software die wordt geladen. Wanneer malware de firmware weet aan te passen kan dit grote gevolgen voor de veiligheid van het systeem hebben.
De UEFI-bootkit vervangt de Widows Boot Manager door een malafide versie die onder andere de FinFisher-spyware vanaf een aparte partitie laadt en uitvoert. "Deze infectiemethode zorgt ervoor dat de aanvallers een bootkit kunnen installeren zonder de beveiligingscontroles van de firmware te hoeven omzeilen. UEFI-infecties zijn zeer zeldzaam en over het algemeen lastig uit te voeren", aldus Kaspersky. Om geen sporen achter te laten kan FinFisher de originele MBR en de EFI Windows Boot Manager herstellen.
Het op afstand kunnen hacken van de firmware, om daar een achterdeur in te kunnen plaatsen, is de heilige graal van de digitale spionage industrie. Iedere poging tot malware mitigatie op het niveau van het besturingssysteem, hetzij door de ontwikkellaar dan wel de gebruiker zelf, is dan bij voorbaat nutteloos. Vandaar de noodzaak om open hardware en open firmware toe te passen, die audits moeten kunnen ondergaan, voorwaarden waaraan Apple met SIP niet voldoet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
