[情報] 第三款UEFI惡意程式MoonBounce現身，格

[hn9480412 (ilinker)]

第三款UEFI惡意程式MoonBounce現身，格式化硬碟或重灌系統都拿它沒輒

文/陳曉莉 | 2022-01-24發表

資安業者卡巴斯基（Kaspersky）上周揭露了自2018年以來、所出現的第三支UEFI
Bootkit：MoonBounce，由於它寄生在UEFI韌體中，因此就算重新格式化硬碟或重新安裝
作業系統可能都無法移除它，也透露出UEFI Bootkit可能會愈來愈流行。

UEFI的全名為統一可延伸韌體介面（Unified Extensible Firmware Interface），是一
個介於平臺韌體與作業系統之間的軟體介面，它負責啟動裝置，再將控制權交給載入作業
系統的軟體，至於Bootkit指的是在系統啟動之際就植入的惡意程式。因此，一旦UEFI被
植入Bootkit，由於相關的程式碼存放在硬碟之外的SPI快閃記憶體，而且是在載入作業系
統之前就執行，使得它不僅很難偵測，就算重新安裝作業系統或重新格式化硬碟，也都無
法移除它。

資安社群是在2018年9月發現首支名為LoJax的UEFI Bootkit，當時使用它的是俄羅斯駭客
集團APT28；第二支UEFI Bootkit是出現在2020年10月的MosaicRegressor，與中國駭客有
關；卡巴斯基則相信MoonBounce是由中國駭客集團APT41所部署。

目前卡巴斯基只發現一個遭到MoonBounce攻擊的對象，尚未確定它的感染途徑，但分析顯
示，MoonBounce比它的前輩們更為先進與精細，有別於LoJax與MosaicRegressor都利用額
外的DXE驅動程式，MoonBounce選擇竄改既有的韌體元件，把一個先前屬於良性的核心元
件變成惡意元件，藉由複雜的手法讓惡意元件進入作業系統，以與遠端的C&C伺服器互動
，並下載其它惡意酬載，亦未留下任何的感染足跡。

MoonBounce自C&C伺服器所下載的惡意酬載，包括Sidewalk、Microcin與另一個以Golang
撰寫且尚未被命名的木馬程式，以及用來竊取憑證或安全資訊的Mimikat_ssp。

根據資安社群的分析，迄今UEFI Bootkit攻擊多半是為了於受害組織中橫向移動並竊取資
料，再加上它的隱匿特性，猜測駭客的目的為持續性的間諜行動。

卡巴斯基建議組織應定期更新UEFI韌體且只使用可靠來源的韌體，於預設啟用安全啟動，
以及部署端點防護產品。


https://www.ithome.com.tw/news/149039

--
 作者  mindstack31 (mindmind)                               看板  PC_Shopping 
 標題  Re: [情報] AMD Threadripper NDA解禁                                    
 時間  Thu Aug 10 21:33:16 2017                                               
───────────────────────────────────────
推 c52chungyuny: 今天是電蝦黑暗的一天
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.251.10.236 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/PC_Shopping/M.1643208393.A.B3E.html
推 DsLove710   : 來電蝦就是要
推 oppoR20     : 肛樓下
→ ltytw       : 誰說的  我不能重灌BIOS解決?
→ ltytw       : 如果不能解決  那我就會買新的BIOS
→ ltytw       : 如果CIH當年很流行自己重灌BIOS
→ ltytw       : 那這冰毒根本不痛不癢
→ ltytw       :   病
→ scarbywind  : 這跟bios又沒關係..
推 tint        : 想起當年幫大學同學處理中CIH的電腦
推 sellgd      : 三樓是說覆寫韌體
→ sellgd      : 想辦法換掉韌體
推 SPDY        : 那就...看是拔 還是夾SPI 重新刷吧
推 ptta        : 如果有雙BIOS檢查，應該很難被攻破
→ ptta        : 吧
推 wiesgame    : 從SPI刷會不會太硬了啊
推 bhtsou      : 用Flash back刷應該就可以復原了吧
→ bhtsou      : ？
推 ko2540023   : 也要辨識的出來啊