Otkriven novi firmware bootkit

Sigurnosni istraživači kompanije Kaspersky su otkrili novi firmware bootkit u kibernetičkom prostoru korištenjem Kaspersky Firmware Scanner alata. Ovaj zlonamjerni kôd je prvi put uočen na proljeće 2021. godine kada je dobio naziv MoonBounce i kada je utvrđeno da ga najvjerovatnije koristi grupa iz kategorije trajnih naprednih prijetnji (Advanced persistent threat – APT) sa kineskog govornog područja označen kao APT41.

 

MoonBounce firmware bootkit; Design by Saša Đurić

MoonBounce je dosta tehnički napredniji od svojih prethodnika LoJax i MosaicRegressor. Za sakrivanje koristi UEFI-a (Unified Extensible Firmware Interface) čiji je kôd ključna komponenta u procesu startovanju uređaja i podizanja operativnog sistema. Za skladištenje koristi nepromjenjivu memoriju SPI flash komponente koja se nalazi na matičnoj ploči. Jednom kada dođe do operativnog sistema, uspostavlja se kontrola sa komandnim serverom, nakon čega dolazi do preuzimanja novog zlonamjernog kôda.

 

MoonBounce je veoma teško otkriti, jer se kôd nalazi van HDD/SDD medija u području koje mnoga antivirusna rješenja ne skeniranju. Također ga je teško obrisati. Nije ga moguće ukloniti formatiranjem  HDD/SDD medija ili reinstalacijom operativnog sistema, jer se  kôd izvršava prije pokretanja operativnog sistema. Teško je pronaći i uočiti  tragove prisustva, jer se MoonBounce izvršava u memoriji i na taj način ostavlja minimalan trag.

 

Dobijanje pristupa zloupotrebom UEFI-a znači da napadači žele da uspostave duže prisustvo u okruženju napadnute organizacije, što podrazumijeva da je riječ o špijunaži. Cilj napadača je da dobiju uporište u računarskoj mreže žrtve, što vodi do mogućnosti kretanja po računarskoj mreži i izvlačenju podataka. Analiza ponašanja napadača pokazuje da uspješne upade koriste za manipulaciju lanca snabdijevanja napadnute organizacije ili za krađu povjerljivog intelektualnog vlasništva i korisničkih informacija. Pored toga, analizom više javno dostupnih korisničkih naloga tokom prethodnih godina  može se reći da ovo odgovara načinu rada APT41 grupe ili nekoga bliskog toj grupi pod nazivom Earth Baku i SparklingGoblin za koje se vjeruje da su alternativna imena za APT41.

Windows 0-day ranjivost iskorištava kineski APT

APT grupa sa kineskog govornog područja pod nazivom IronHusky koja je prvi put primijećena 2017. godine od strane kompanije Kaspersky, sada  iskorištava Windows 0-day ranjivost operativnog sistema.

 

Advanced persistent threat – APT grupa

Ova grupa koristi privilege escalation ranjivosti kako bi dobijanjem najviših korisničkih privilegija u Windows okruženje ubacila MysterySnail zlonamjerni softver za daljinsku kontrolu (RAT). Ovaj zlonamjerni softver iskorištava ranjivost u Windows korisničkim i serverskim operativnim sistemima od Windows 7 i Windows Server 2008 do zadnjih verzija Windows 11 i Windows Server 2022 koji nisu ažurirani na ranjivost označenu kao CVE-2021-40449.

MysterySnail RAT je dizajniran da prikuplja i šalje informacije iz kompromitovanog sistema, prije nego što uspostavi komunikaciju sa komandnim serverom (C2C). Pored toga, ima mogućnost zamjene procesa, gašenja tekućih procesa i aktivacije proxy servera sa oko 50 istovremenih konekcija. Više detalja se može pronaći u Kaspersky izvešataju ovdje. Kako bi se korisnici zaštiti, potrebno je primijeniti zadnja sistemska ažuriranja za operativni sistem Windows – više informacija ovdje.