ESET 發現第一個 UEFI rootkit 惡意程式 LoJax,感染後連重灌系統也沒轍

ESET 發現第一個 UEFI rootkit 惡意程式 LoJax,感染後連重灌系統也沒轍

ADVERTISEMENT

電腦系統底層 UEFI 已被多次證實能夠透過特殊手法,寫入惡意程式感染系統,但發現實際案例卻還是第一次。ESET 近日發現 LoJax UEFI rootkit 惡意程式,目前正瞄準巴爾幹半島、中歐、東歐進行攻擊,一旦感染僅有重新燒錄 UEFI 才可解除。

rootkit 一詞由 root 和 kit 2 者結合而來,由名稱即可認知其所代表的意義,為一系列軟體集合用來存取一般軟體無法存取的區域,諸如核心記憶體、系統管理模式記憶體等。由於 rootkit 活動區域無法由一般軟體存取之,需要透過特別的掃描辨識程式才可以找到它的存在。

UEFI 具備漏洞可讓惡意程式侵入已不是新聞,在白帽駭客相關聚會早有實作入侵手段,但在實驗室以外發現卻還是第一次。ESET 公布它們發現到的第一支 UEFI rootkit 惡意程式,由於這支程式採用 LoJack for Laptops 的代理程式,ESET 將其命名為 LoJax。

LoJack for Laptops 前身為 CompuTrace,主要是用來追蹤被小偷劫走的電腦,而燒錄在電腦韌體裡的小程式。由於位在電腦開機必須的韌體之內,小偷沒有辦法透過一般替換硬碟儲存裝置的手段輕鬆移除,電腦開機後便會將此電腦所在區域相關資料回傳。不過此實作概念亦被有心人士利用,瞄準的就是韌體感染不易察覺並移除的特性。

LoJax 主要利用 RWEverything 內建核心驅動程式 RwDrv.sys 讀取 UEFI 相關設定,驅動程式經過合法的簽署手續,因此不會引起作業系統的注意。LoJax 接著利用 3 個不同的工具達成目標,首先掃描低階系統設定,以便根據設定擬定入侵策略,依據不同平台選擇不同的方式跳過非法韌體寫入防護機制;接著把 UEFI 韌體檔案讀取出來,最後 1 個工具插入惡意 UEFI 模組至韌體當中並寫回。

ESET 發現第一個 UEFI rootkit 惡意程式 LoJax,感染後連重灌系統也沒轍
▲LoJax 韌體寫入決策樹,需要判斷 BIOSWE(BIOS Write Enable)以及 BIOSBLE(BIOS Lock Enable),以及 Intel 在 PCH 晶片組系列導入的(SMM_BWP)SMM BIOS Write Protect Disable。

一旦 UEFI 遭受到感染,惡意程式即在 Windows 早期開機階段寫入 rpcnetp.exe 和 autoche.exe,並將原始註冊機碼 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\

Session Manager\BootExecute 的 autocheck autochk *修改成 autocheck autoche *,以便開機時執行惡意程式。

autoche.exe 接著把 rpcnetp.exe 註冊成 Windows 服務,雖然目前 ESET 並未發現 rpcnetp.exe 有近一步動作,不過這個程式包含下載與安裝其它程式模組的機制,因此在未來依舊可以執行其它惡意行為。

ESET 發現第一個 UEFI rootkit 惡意程式 LoJax,感染後連重灌系統也沒轍
▲UEFI 韌體被感染之後,Windows 作業系統的開機步驟。

ESET 同時提出解決方案,第一個為開啟 UEFI Secure Boot 機制,強迫開機載入的每個模組均需要合法的簽名,第二個就是更新至最新的 UEFI 版本。此外 LoJax 也不影響 Intel 5 系列 PCH 晶片組之後的產品(註:BIOSWE 和 BIOSBLE 需正確設定成 0 和 1),原因為第一張圖導入的 SMM BIOS Write Protect Disable 功能。目前在消費市場當中,使用 Intel 5 系列晶片組(處理器 Core i 世代)以前的電腦並不多,但在政府機關依舊存在為數不少的舊電腦。

 

資料來源

LoJax: First UEFI rootkit found in the wild, courtesy of the Sednit group

R.F.
作者

誤入叢林的小白兔,每天爬樓梯到七樓的白癡,幻想自己很瘦的豬,一放假就睡死的bed potato。

使用 Facebook 留言
發表回應
謹慎發言,尊重彼此。按此展開留言規則