Обнаружена первая кибератака с использованием руткита для UEFI

Антивирусная компания ESET сообщила об обнаружении вредоносной кампании с использованием LoJax – первого известного руткита для Unified Extensible Firmware Interface (UEFI).

Как отмечают эксперты, руткиты UEFI представляют собой мощный инструмент для кибератак: их сложно обнаружить и они сохраняют свое присутствие в системе даже после переустановки ОС или замены жесткого диска. Возможности этого вредоносного ПО ранее обсуждались на конференциях по информационной безопасности, однако до настоящего момента ни одного UEFI-руткита не было обнаружено в реальных атаках.

По словам экспертов ESET, они задокументировали первый случай успешного внедрения UEFI-руткита LoJax в скомпрометированной системе. По ряду признаков эксперты установили, что атака выполнена АРТ-группой Sednit (также известна как Fancy Bear, APT28, Strontium и Sofacy; западные СМИ часто связывают эту группу с российскими спецслужбами). Атака нацелена на государственные учреждения на Балканах, в Центральной и Восточной Европе.

В основе руткита LoJax лежит троянизированная версия пользовательского агента легитимной программы LoJack от разработчика Absolute Software. LoJack – инструмент для защиты компьютера от потери или кражи. После активации программа обращается к своему командному серверу, и владелец будет уведомлен о местонахождении устройства. LoJack реализован как модуль UEFI/BIOS, благодаря чему способен пережить переустановку ОС или замену жесткого диска.

LoJax, вредоносный «близнец» легитимной программы, обладает такой же высокой устойчивостью в системе. После установки руткит выполняет в скомпрометированной системе одну цель – загружает вредоносные инструменты на выбор атакующих и контролирует их корректное выполнение.

Обнаружение LoJax доказывает, что этот тип вредоносного ПО представляет собой реальную, а не теоретическую угрозу. Кроме того, открытие является предупреждением для всех потенциальных целей Sednit – кибергруппа может быть еще опаснее, чем считалось прежде, отмечается в сообщении ESET.

Автор:	Softodrom.ru
Дата:	05.10.2018 15:45