0 
0 Pesquisadores da Kaspersky descobriram o terceiro caso conhecido de um bootkit de firmware na natureza. Apelidado de MoonBounce, este implante malicioso está escondido dentro do firmware UEFI (Unified Extensible Firmware Interface, interface de firmware extensível unificado), uma parte essencial dos computadores, no flash SPI, um componente de armazenamento externo ao disco rígido.
Tais implantes são notoriamente difíceis de remover e são de visibilidade limitada aos produtos de segurança. Tendo aparecido pela primeira vez na natureza na primavera de 2021, moonBounce demonstra um fluxo de ataque sofisticado, com evidente avanço em comparação com bootkits de firmware uefi anteriormente relatados. Os pesquisadores atribuíram a campanha, com considerável confiança, ao conhecido ator avançado de ameaça persistente (APT) APT41.
Bootkit escondido no firmware UEFI
O firmware UEFI é um componente crítico na grande maioria das máquinas; seu código é responsável por inicializar o dispositivo e passar o controle para o software que carrega o sistema operacional. Este código repousa no que é chamado flash SPI, um armazenamento não volátil externo ao disco rígido. Se este firmware contiver código malicioso, então esse código será lançado antes do sistema operacional, tornando o malware implantado por um bootkit de firmware especialmente difícil de excluir.
Ele não pode ser removido simplesmente reformando um disco rígido ou reinstalando um SO. Além disso, como o código está localizado fora do disco rígido, a atividade desses bootkits não é detectada pela maioria das soluções de segurança, a menos que eles tenham um recurso que escaneia especificamente esta parte do dispositivo.
MoonBounce é apenas o terceiro bootkit UEFI relatado encontrado na natureza. Ele apareceu na primavera de 2021 e foi descoberto pela primeira vez pelos pesquisadores da Kaspersky quando eles estavam olhando para a atividade de seu Firmware Scanner, que tem sido incluído em produtos Kaspersky desde o início de 2019 para detectar especificamente ameaças escondidas no ROM BIOS, incluindo imagens de firmware da UEFI. Quando comparado com os dois bootkits previamente descobertos, LoJax e MosaicRegressor,MoonBounce demonstra avanço significativo com um fluxo de ataque mais complicado e maior sofisticação técnica.
O implante repousa no CORE_DXE componente do firmware, que é chamado no início durante a sequência de inicialização UEFI. Então, através de uma série de ganchos que interceptam certas funções, os componentes do implante entram no sistema operacional, onde chegam a um servidor de comando & controle, a fim de recuperar mais cargas maliciosas, que os pesquisadores da Kaspersky não conseguiram recuperar. A cadeia de infecção em si não deixa nenhum traço no disco rígido, uma vez que seus componentes operam apenas na memória, facilitando assim um ataque sem arquivos com uma pequena pegada.
Enquanto investigavam o MoonBounce, os pesquisadores da Kaspersky descobriram vários carregadores maliciosos e malware pós-exploração em vários nódulos da mesma rede. Isso inclui o ScrambleCross, ou Sidewalk, um implante na memória que pode se comunicar com um servidor C2 para trocar informações e executar plugins adicionais, Mimikat_ssp, uma ferramenta de pós-exploração disponível publicamente usada para despejar credenciais e segredos de segurança, um backdoor anteriormente desconhecido baseado em Golang, e Microcin, malware que é normalmente usado pelo ator de ameaça SixLittleMonkeys.
O vetor exato da infecção permanece desconhecido, no entanto, presume-se que a infecção ocorra através do acesso remoto à máquina alvo. Além disso, enquanto LoJax e MosaicRegressor utilizaram adições de drivers DXE, o MoonBounce modifica um componente de firmware existente para um ataque mais furtivo e mais sutil.
Atribuição de malware
Na campanha global contra a rede em questão, ficou evidente que os invasores realizaram uma ampla gama de ações, como arquivamento de arquivos e coleta de informações de rede. Comandos usados pelos atacantes ao longo de sua atividade sugerem que eles estavam interessados em movimento lateral e exfiltração de dados, e, dado que um implante UEFI foi usado, é provável que os atacantes estavam interessados em realizar atividades de espionagem em andamento.
A Kaspersky atribuiu o MoonBounce com considerável confiança ao APT41, que tem sido amplamente relatado como um ator de ameaças de língua chinesa que tem conduzido campanhas de ciberespionagem e crimes cibernéticos em todo o mundo desde pelo menos 2012. Além disso, a existência de alguns dos malwares acima mencionados na mesma rede sugere uma possível conexão entre o APT41 e outros atores de ameaças de língua chinesa.
Até agora, o bootkit de firmware só foi encontrado em um único caso. No entanto, outras amostras maliciosas afiliadas (por exemplo, ScrambleCross e seus carregadores) foram encontradas nas redes de várias outras vítimas.
“Embora não possamos definitivamente conectar os implantes adicionais de malware encontrados durante nossa pesquisa ao MoonBounce especificamente, parece que alguns atores de ameaças de língua chinesa estão compartilhando ferramentas uns com os outros para ajudar em suas várias campanhas; lá especialmente parece ser uma conexão de baixa confiança entre MoonBounce e Microcin”, disse Denis Legezo, pesquisador sênior de segurança do GReAT.
“Talvez mais importante, este último bootkit da UEFI mostra os mesmos avanços notáveis quando comparado ao MosaicRegressor, que relatamos em 2020”, disse Mark Lechtik, pesquisador sênior de segurança da Equipe Global de Pesquisa e Análise (GReAT) da Kaspersky.
“Na verdade, transformar um componente central anteriormente benigno em firmware para um que possa facilitar a implantação de malware no sistema é uma inovação que não foi vista em bootkits de firmware comparáveis anteriores na natureza e torna a ameaça muito mais furtiva. Nós previmos em 2018 que as ameaças da UEFI ganhariam popularidade, e essa tendência parece estar se materializando. Não nos surpreenderíamos em encontrar bootkits adicionais em 2022. Felizmente, os fornecedores começaram a prestar mais atenção aos ataques de firmware, e mais tecnologias de segurança de firmware, como BootGuard e Trusted Platform Modules, estão gradualmente sendo adotadas.”
Mais informações técnicas e IoCs estão disponíveis neste post no blog.
FONTE: HELPNET SECURITY