ESET 发现第一个 UEFI rootkit 恶意程式 LoJax，感染後连重灌系统也没辙 R.F. 发表於 2018年9月28日 09:00 2018-09-28 电脑系统底层 UEFI 已被多次证实能够透过特殊手法，写入恶意程式感染系统，但发现实际案例却还是第一次。ESET 近日发现 LoJax UEFI rootkit 恶意程式，目前正瞄准巴尔干半岛、中欧、东欧进行攻击，一旦感染仅有重新烧录 UEFI 才可解除。 rootkit 一词由 root 和 kit 2 者结合而来，由名称即可认知其所代表的意义，为一系列软体集合用来存取一般软体无法存取的区域，诸如核心记忆体、系统管理模式记忆体等。由於 rootkit 活动区域无法由一般软体存取之，需要透过特别的扫描辨识程式才可以找到它的存在。 UEFI 具备漏洞可让恶意程式侵入已不是新闻，在白帽骇客相关聚会早有实作入侵手段，但在实验室以外发现却还是第一次。ESET 公布它们发现到的第一支 UEFI rootkit 恶意程式，由於这支程式采用 LoJack for Laptops 的代理程式，ESET 将其命名为 LoJax。 LoJack for Laptops 前身为 CompuTrace，主要是用来追踪被小偷劫走的电脑，而烧录在电脑韧体里的小程式。由於位在电脑开机必须的韧体之内，小偷没有办法透过一般替换硬碟储存装置的手段轻松移除，电脑开机後便会将此电脑所在区域相关资料回传。不过此实作概念亦被有心人士利用，瞄准的就是韧体感染不易察觉并移除的特性。 LoJax 主要利用 RWEverything 内建核心驱动程式 RwDrv.sys 读取 UEFI 相关设定，驱动程式经过合法的签署手续，因此不会引起作业系统的注意。LoJax 接着利用 3 个不同的工具达成目标，首先扫描低阶系统设定，以便根据设定拟定入侵策略，依据不同平台选择不同的方式跳过非法韧体写入防护机制；接着把 UEFI 韧体档案读取出来，最後 1 个工具插入恶意 UEFI 模组至韧体当中并写回。 一旦 UEFI 遭受到感染，恶意程式即在 Windows 早期开机阶段写入 rpcnetp.exe 和 autoche.exe，并将原始注册机码 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\ Session Manager\BootExecute 的 autocheck autochk *修改成 autocheck autoche *，以便开机时执行恶意程式。 autoche.exe 接着把 rpcnetp.exe 注册成 Windows 服务，虽然目前 ESET 并未发现 rpcnetp.exe 有近一步动作，不过这个程式包含下载与安装其它程式模组的机制，因此在未来依旧可以执行其它恶意行为。 ESET 同时提出解决方案，第一个为开启 UEFI Secure Boot 机制，强迫开机载入的每个模组均需要合法的签名，第二个就是更新至最新的 UEFI 版本。此外 LoJax 也不影响 Intel 5 系列 PCH 晶片组之後的产品（注：BIOSWE 和 BIOSBLE 需正确设定成 0 和 1），原因为第一张图导入的 SMM BIOS Write Protect Disable 功能。目前在消费市场当中，使用 Intel 5 系列晶片组（处理器 Core i 世代）以前的电脑并不多，但在政府机关依旧存在为数不少的旧电脑。 https://www.techbang.com/posts/61493-eset-discovers-the-first-uefi-rookit-malware-lojax-and-the-infected-post-heavy-irrigation-system --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 118.160.180.187 ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/NetSecurity/M.1538473050.A.985.html