研究人員公開解析了一款統(tǒng)一可擴展固件接口(UEFI) rootkit，據稱是俄羅斯間諜以防盜軟件的名義打造，用來監(jiān)視歐洲政府的。

rootkit是隱藏在計算機系統(tǒng)里的一類軟件，利用其root或管理員權限盜取及篡改文檔，監(jiān)視用戶，或者搞些令用戶頭疼的惡作劇。UEFI rootkit 潛伏在主板固件中，也就是說能在操作系統(tǒng)和殺軟運行前啟動，將自身深埋在受感染主機中，不會被檢測到，且具備高級訪問權限。

信息安全公司ESET透露，名為LoJax的一款固件rootkit攻擊了巴爾干半島和中東歐政府組織所用的Windows計算機。該款惡意軟件背后的最大嫌疑人是著名的“奇幻熊( Fancy Bear )”黑客團伙，亦稱Sednit/Sofacy/APT28，還有人指認是俄羅斯軍事情報部門。

據稱奇幻熊曾黑進美國民主黨的服務器、法國電視網TV5及其他一些重要目標。

LoJax固件rootkit以 Absolute Software 出品的合法應用 LoJack for Laptops 為藍本。LoJack for Laptops 是一款常安裝在筆記本電腦上的設備防盜軟件，其代碼隱身于UEFI固件中，通過互聯(lián)網回連其后端服務器。因此，一旦計算機被盜，它就可以秘密向其真正的主人揭示自己的當前位置。

今年5月，Netscout公司旗下 Arbor Networks 發(fā)現LoJack防盜/尋回軟件被奇幻熊黑客團伙重用來開發(fā)LoJax。如今，ESET發(fā)布報告，詳細描述了該間諜軟件的內部機制，列出了可用于檢測和清除該惡意軟件的特征碼。

基本上，黑客先入侵一臺主機，獲取到管理員權限，然后試圖修改主板固件植入惡意UEFI模塊。如果成功植入，計算機每次正常啟動時便都會安裝并運行LoJax。

該惡意代碼因而得以在操作系統(tǒng)和殺軟加載前就運行起來。換硬盤或重裝操作系統(tǒng)都無濟于事，該惡意軟件存儲在系統(tǒng)的內置串口閃存( SPI flash )中，會在新硬盤或被清理過的硬盤上重裝自身。

一旦啟動起來，LoJax會聯(lián)系偽裝成正常網站的命令與控制(C&C)服務器，然后下載指令并執(zhí)行之。當然，這些C&C服務器據說是俄羅斯情報機構運作的。

9月27日，ESET團隊寫道：

“我們的調查已確認，該惡意UEFI模塊至少有一次被成功寫入了主機的串口閃存。該模塊能夠在引導啟動過程中往磁盤上釋放并執(zhí)行惡意軟件。

“該駐留方法極具侵入性，因為不僅能挺過系統(tǒng)重裝，甚至換掉硬盤都清除不了。而且，清除主機的UEFI固件意味著刷新固件，該操作并不常用，也肯定不是普通用戶做得來的。

事實證明，LoJack，或者說Computrace，是設計隱秘固件級間諜軟件相當不錯的模板。ESET表示：研究LoJax的過程中，他們發(fā)現了幾個有趣的事實，使他們認為這些黑客可能試圖模仿Computrace的駐留方法。

LoJax使用了內核驅動RwDrv.sys來重寫UEFI閃存固件及其設置來存儲自身，以便當PC重啟時可以將自身拷貝到硬盤執(zhí)行。該內核驅動是從名為RWEverything的合法應用中偷來的。

ESET稱，啟用  Secure Boot 應能阻止LoJax將自身注入固件存儲，因為該代碼沒有有效數字簽名，在啟動時就會被拒絕。但要注意的是，這需要足夠健壯的  Secure Boot 配置：應能挫敗帶UEFI存儲讀寫權限的管理員級惡意軟件。

固件設置只要禁用寫操作就能挫敗閃存安裝。如果關閉BIOS寫，啟用BIOS鎖定，開啟 SMM(系統(tǒng)管理模式) BIOS 寫保護，那該惡意軟件就無法將自身寫進主板的閃存了。

另外，擦除硬盤和固件存儲也能干掉該rootkit。

現代系統(tǒng)應能扛住惡意固件覆寫——雖然ESET稱其發(fā)現了至少一例存在于主機串口閃存的LoJax。

“雖然難以修改系統(tǒng)的UEFI鏡像，卻也幾乎沒有解決方案能掃描系統(tǒng)的UEFI模塊并檢測惡意UEFI模塊。而且，清除主機的UEFI固件意味著刷新固件，該操作并不常用，也肯定不是普通用戶做得來的。這些優(yōu)勢解釋了為什么資源豐富且有決心的攻擊者將繼續(xù)攻擊主機的UEFI。

想將惡意軟件注入固件需要采取一些步驟和措施，但最終結果卻很簡單：創(chuàng)建固守主機的軟件惡魔，確保伴隨的惡意軟件可在被黑系統(tǒng)啟動時加載。

9月27日的2018微軟藍帽子大會上，ESET呈現了其對該 UEFI rootkit 的研究成果，可參看ESET發(fā)布的PDF報告，獲取更深入的詳細信息。

ESET報告原文地址：

https://www.welivesecurity.com/wp-content/uploads/2018/09/ESET-LoJax.pdf