banner senha segura
senhasegura
mother-board-5365249_1280-1.jpg

Diplomatas da África, Ásia e Europa são atacados com firmware bootkit

Campanha de espionagem baseada em ameaça persistente avançada usa forma rara de malware
Da Redação
06/10/2020
Compartilhar no linkedin
Compartilhar no email
Compartilhar no whatsapp
Compartilhar no facebook
Compartilhar no twitter
Compartilhar no pinterest

Uma campanha de espionagem baseada em ameaça persistente avançada (APT) que usa uma forma rara de malware foi observada atacando diplomatas e membros de ONGs. A campanha, que depende de um bootkit (malware de firmware), foi identificada por pesquisadores da Kaspersky que operavam a tecnologia de varredura UEFI/BIOS. O malware desconhecido foi identificado na Unified Extensible Firmware Interface (UEFI).

O firmware UEFI é usado em todos os dispositivos de computador modernos e começa a ser executado antes do sistema operacional e de todos os programas nele instalados. Isso, junto com o fato de que o firmware reside em um chip flash separado do disco rígido do dispositivo, torna a detecção de qualquer malware no firmware UEFI muito difícil.

“Se o firmware UEFI for modificado de alguma forma para conter código malicioso, esse código será lançado antes do sistema operacional, tornando sua atividade potencialmente invisível para soluções de segurança”, diz a Kaspersky. “A infecção do firmware significa essencialmente que, independentemente de quantas vezes o sistema operacional foi reinstalado, o malware plantado pelo bootkit permanecerá no dispositivo.”

Veja isso
Erro de firmware em periféricos Lenovo, HP e Dell dá brecha a hacker
Firmware não assinado continua sendo brecha em sistemas

Os pesquisadores disseram que o bootkit UEFI usado com o malware é uma versão customizada do bootkit Vector-EDK da Hacking Team, cujo código-fonte vazou em 2015. É o primeiro ataque in-the-wild utilizando um bootkit UEFI customizado.

Uma amostra do malware de bootkit foi usada em uma campanha que implantou variantes de uma estrutura modular complexa de vários estágios chamada MosaicRegressor que foi usada para espionagem e coleta de dados.

Com base na afiliação das vítimas, os pesquisadores determinaram que o MosaicRegressor foi usado em uma série de ataques direcionados a diplomatas e membros de ONGs da África, Ásia e Europa. Embora não tenham certeza de como exatamente as infecções ocorreram, os pesquisadores descobriram que elas podem ter sido possíveis por meio do acesso físico à máquina da vítima, especificamente com uma chave USB inicializável, que conteria um utilitário de atualização especial.

Compartilhar:

Compartilhar no linkedin
Compartilhar no email
Compartilhar no whatsapp
Compartilhar no facebook
Compartilhar no twitter
Compartilhar no pinterest

Inscrição na lista CISO Advisor

* campo obrigatório