Un team di analisti di sicurezza ha scoperto una nuova arma pericolosa utilizzato dagli hacker - il rootkit Lojax UEFI che a quanto pare è il primo del suo genere ad essere utilizzato contro gli utenti. Le informazioni raccolte su di esso indica che è gestito dal gruppo di hacker Sednit contro obiettivi di alto profilo in Europa.
Il rootkit Lojax UEFI Utilizzato contro obiettivi in Europa
Un'altra arma pericolosa utilizzati dai criminali è stato scoperto in un attacco in corso. Il gruppo dietro di esso è la Sednit collettiva di hacker che hanno avviato una campagna contro le aziende e gli individui in Europa centrale e orientale. Il carico utile principale si chiama Lojax (alternativamente noto come LoJack) che è un rootkit UEFI, uno dei tipi più pericolosi di malware.
Per definizione questo è un codice maligno che infetta il codice UEFI utilizzato per controllare le operazioni di avvio-up. Essi sono molto difficili da individuare e prevenire, un pericoloso effetto di ciò è il fatto che molti di essi possono sopportare reinstallazione del sistema operativo e persino sostituzione del disco fisico.
Sembra che una delle origini della minaccia è un esempio trojanized di Lojack, un software anti-furto sviluppata da uno sviluppatore legittima. È stato progettato per monitorare i computer host e comunicare di eventuali incidenti. E 'implementato come modulo UEFI / BIOS e la soluzione viene pre-installato nel firmware di molti computer in attesa di attivazione manuale.
I campioni dannosi del rootkit Lojax UEFI sono stati rilevati maggio 2018 che comunicava con un server dannoso invece di quello legittima. La campagna iniziale mirata principalmente I Balcani, Europa orientale e paesi dell'Europa centrale. A questo punto, gli hacker sono stati trovati di aver fatto un derivato di Troia della soluzione legittima.
Ulteriori indagini la questione ha rivelato che diversi componenti fanno parte della infezione:
- SedUploader - Una backdoor del primo stadio, che è responsabile per l'infezione.
- xagent - Questo è il codice backdoor principale che è il principale motore di dannoso.
- Xtunnel - Un tunnel rete che è in grado di trasmettere il traffico di rete tra la C&server di C e l'host infetto.
In pratica il rootkit Lojax UEFI permette l'accesso hacker basso livello per computer compromessi che è una vulnerabilità critica. Le infezioni da questa minaccia può consentire di fornire ed eseguire il malware prima che il sistema operativo viene avviato e le procedure di sicurezza sono iniziato.
Gli utenti possono impedire loro abilitando l'opzione Secure Boot. Quando è abilitata ogni componente firmware dei processi di avvio ha bisogno di firmato e verificato. Questa è la base di difesa raccomandato da possibili infezioni rootkit Lojax UEFI. Gli utenti sono inoltre invitati a monitorare e applicare le patch più recenti dai produttori di schede madri.
Martin Beltov
Martin si è laureato con una laurea in Pubblicazione da Università di Sofia. Come un appassionato di sicurezza informatica si diletta a scrivere sulle ultime minacce e meccanismi di intrusione.
Seguimi: