Hacking Team用UEFI BIOS Rootkit將遠控長駐操作系統(tǒng)
上周，Hacking Team 400G泄露數(shù)據(jù)在市面上瘋傳，已有3枚Flash 0day漏洞和一枚Android漏洞被曝光，而本周趨勢科技的研究人員又有了重大發(fā)現(xiàn)：Hacking Team使用了UEFI BIOS Rootkit，從而使他們的遠程控制系統(tǒng)(RCS)駐足目標系統(tǒng)。
也就是說，即使用戶格式化硬盤、重裝系統(tǒng)，甚至買了塊新的硬盤，遠控程序依舊會留在目標電腦中。
攻擊方式
這是一個針對Insyde BIOS的程序，但這份代碼同樣可以在AMI BIOS上運行。
Hacking Team的一份幻燈片中提到，成功感染需要與目標系統(tǒng)有物理接觸，但我們不能排除遠程安裝的可能性。一個攻擊場景的例子是：入侵者獲取目標電腦的訪問權限，重啟進入UEFI shell，把BIOS dump出來，安裝BIOS rootkit，重刷BIOS，然后重啟目標系統(tǒng)。
我們發(fā)現(xiàn)，Hacking Team為他們的BIOS rootkit寫了幫助工具，甚至當BIOS鏡像不兼容時提供支持服務。
安裝過程
首先程序會將三個模塊從外部存儲(可能是有UEFI shell的USB key)復制到被修改的UEFI BIOS上的文件卷(FV)中。Ntfs.mod會讓UEFI BIOS讀取/寫入NTFS文件。然后Rkloader.mod就會hook UEFI事件，并且在系統(tǒng)啟動時調用dropper函數(shù)。dropper.mod文件包含著遠控客戶端，文件名為scout.exe和soldier.exe。
也就是說，安裝了BIOS rootkit之后，每次電腦重啟，它都會檢查遠控是否還在，如果不存在，就會將scout.exe安裝至以下路徑：
\Users\[username]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\6To_60S7K_FU06yjEhjh5dpFw96549UU
盡管dropper會檢查soldier.exe是否存在，但不知為何它不會執(zhí)行安裝。
安全建議
1、確保UEFI SecureFlash功能已開啟
2、及時更新BIOS修復安全漏洞
3、設置BIOS/UEFI密碼
服務器管理員們也可以購買具有BIOS保護功能的服務器，這種服務器在更新BIOS時會要求用戶更改主板跳線或Dip式跳線。
