На VirusTotal появилась возможность скана прошивки
Новости Безопасность
Принадлежащий компании Google онлайн-сервис VirusTotal ввел проверку для файлов микропрограмм, сообщает «Лаборатория Касперского».
Успешные атаки на микропрограммы редки, но они обеспечивают хакерам заветную возможность — устойчивое заражение. Инициаторы APT-атак уже повысили свои шансы на проникновение в BIOS и EFI, об этом свидетельствуют раскрытые Сноуденом документы с описанием попыток АНБ создать вредоносные импланты для BIOS. Кроме того, в прошлом году «Лаборатория Касперского» опубликовала результаты анализа вредоносной платформы, используемой APT-группой Equation для шпионажа, эксперты изучили применяемый Equation модуль стойкости, предназначенный для атак на прошивки ряда ведущих вендоров аппаратных средств.
«Наибольший интерес, как мне кажется, представляет извлечение PE-файлов UEFI, составляющих образ, поскольку это исполняемый код, который потенциально может быть вредоносным, — отметил Франсиско Сантос (Francisco Santos) из VirusTotal. — Эти исполняемые файлы извлекаются и подаются на VirusTotal по отдельности, с тем чтобы пользователь собрал все отчеты и получил представление: есть в его BIOS-образе что-то подозрительное или нет. Помимо этого наш инструмент позволяет узнать, какие из этих PE ориентированы на Windows, то есть будут работать на самой ОС Windows, а не на псевдо-ОС, предоставляемой UEFI».
По свидетельству VirusTotal, новый инструмент поддерживает следующие функции:
- детектирование и выдачу результатов для Apple Mac BIOS;
- эвристическое определение брендов на основе строк кода, для выявления целевых систем;
- извлечение сертификатов из прошивки, образа и исполняемых файлов;
- перечисление кодов класса согласно спецификации PCI, позволяющее идентифицировать класс устройства;
- извлечение тэгов таблиц ACPI;
- перечисление имен переменных nVAR;
- опциональное извлечение из ПЗУ, декомпиляцию точки входа и листинг функций PCI;
- извлечение PE-файлов BIOS и идентификацию потенциально исполняемых кодов Windows, включенных в образ;
- предоставление сведений о SMBIOS.
Сантос также отметил, что современный инструментарий вполне позволяет сделать дамп BIOS и представить его на проверку в VirusTotal. До подачи эксперт рекомендует организациям удалить конфиденциальную информацию, в частности пароли.
|
|
|
