Ερευνητές ασφαλείας αναφέρουν ότι τα rootkits για το Unified Extensible Firmware Interface (UEFI) δεν είναι σπάνια και είναι δύσκολο να εντοπιστούν.
Οι ερευνητές της Kaspersky προσδιόρισαν το προφίλ του CosmicStrand, ενός εξελιγμένου UEFI rootkit που η εταιρεία εντόπισε και απέκτησε μέσω του λογισμικού προστασίας από ιούς.
Η εταιρεία ασφαλείας αναφέρει:
“Η πιο εντυπωσιακή πτυχή αυτής της ανακάλυψης είναι ότι αυτό το UEFI rootkit φαίνεται να χρησιμοποιείται από τα τέλη του 2016 – πολύ πριν αρχίσουν να περιγράφονται δημόσια οι επιθέσεις στο UEFI”.
Οι ερευνητές προειδοποιούν ότι “τα πολλαπλά rootkits που ανακαλύφθηκαν μέχρι στιγμής αποδεικνύουν ένα τυφλό σημείο στον κλάδο ασφαλείας που πρέπει να αντιμετωπιστεί άμεσα.”
Το rootkit είναι ένα malware που τρέχουν στις βαθύτερες περιοχές του λειτουργικού συστήματος που μολύνουν.
Αξιοποιούν αυτή τη στρατηγική θέση για να αποκρύψουν την παρουσία τους από το ίδιο το λειτουργικό σύστημα.
Ένα bootkit, ωστόσο είναι το κακόβουλο λογισμικό που μολύνει τη διαδικασία εκκίνησης ενός μηχανήματος προκειμένου να παραμείνει στο σύστημα. Ο διάδοχος του παλαιού τύπου BIOS, το UEFI είναι ένα τεχνικό πρότυπο που καθορίζει τον τρόπο με τον οποίο τα στοιχεία του υπολογιστή μπορούν να συμμετέχουν στην εκκίνηση ενός λειτουργικού συστήματος.
Είναι η “τελευταία” τεχνολογία, καθώς παρουσιάστηκε γύρω στο 2006. Σήμερα, σχεδόν όλες οι συσκευές υποστηρίζουν το UEFI για τη διαδικασία της εκκίνησης.
Έτσι όταν λέμε ότι κάτι λαμβάνει χώρα σε επίπεδο UEFI, σημαίνει ότι συμβαίνει κατά την εκκίνηση του υπολογιστή, πριν καν φορτωθεί το λειτουργικό σύστημα.
Η Kaspersky αναφέρει:
“Επομένως, ένα rootkit μπορεί να είναι ή να μην είναι bootkit, ανάλογα με το πού είναι εγκατεστημένο στον υπολογιστή του θύματος. Ένα bootkit μπορεί να είναι ή να μην είναι rootkit, αρκεί να μολύνει ένα στοιχείο που χρησιμοποιείται για την εκκίνηση του συστήματος. Λαμβάνοντας όμως υπόψη πόσο χαμηλού επιπέδου είναι συνήθως, τα bootkits είναι συνήθως rootkits”.
“Και το firmware είναι ένα από τα στοιχεία που μπορούν να μολυνθούν από τα bootkit, αλλά υπάρχουν και άλλα. Το CosmicStrand τυγχάνει να είναι όλα αυτά ταυτόχρονα: Έχει τις κρυφές δυνατότητες του rootkit και μολύνει τη διαδικασία εκκίνησης μέσω κακόβουλης ενημέρωσης κώδικα της εικόνας του firmware των μητρικών καρτών”.
