ESET-onderzoekers ontdekken LoJax, de allereerste UEFI-rootkit die werd gedetecteerd tijdens een cyberaanval
Het is de allereerste algemeen bekende aanval van deze soort. “Hoewel we in theorie wisten dat UEFI-rootkits bestonden, bevestigt onze ontdekking dat ze worden gebruikt door een actieve APT-groep. Ze zijn dus niet langer alleen maar een aantrekkelijk onderwerp op conferenties, maar een echte bedreiging “, zegt Jean-Ian Boutin, ESET senior security researcher, die het onderzoek naar LoJax en Sednit-campagnes leidde. UEFI-rootkits zijn buitengewoon gevaarlijke tools voor de lancering van cyberaanvallen. Ze werken als een sleutel voor de hele computer, zijn moeilijk te detecteren en in staat om cybersecurity-maatregelen te overleven, zoals de herinstallatie van het besturingssysteem of zelfs de vervanging van de harde schijf. Bovendien vereist het reinigen van een systeem geïnfecteerd met een UEFI-rootkit een kennis die ver buiten het bereik van een typische gebruiker ligt, zoals de flash van de firmware. Sednit, ook bekend als APT28, STRONTIUM, Sofacy of Fancy Bear, is een van de meest actieve APT-groepen en is actief sinds ten minste 2004. Naar het schijnt zouden de hacking van het Democratische Nationale Comité die de 2016 Amerikaanse verkiezingen heeft beïnvloed, het hacken van het wereldwijde televisienetwerk TV5Monde, het e-maillek van het World Anti-Doping Agency, en vele anderen het werk van Sednit te zijn.
Deze groep heeft in zijn arsenaal een uiterst gediversifieerde verzameling malware tools. Verschillende voorbeelden hiervan werden door ESET-onderzoekers in hun witboek en in talloze blogposts on WeLiveSecurity behandeld. De ontdekking van de allereerste in-the-wild UEFI-rootkit dient als een wake-up-call voor gebruikers en organisaties die vaak de risico’s van firmware-aanpassingen negeren.
“Nu kan er geen excuus meer zijn om firmware uit te sluiten van normaal scannen. UEFI-gefaciliteerde aanvallen zijn inderdaad uiterst zeldzaam en tot nu toe waren ze meestal beperkt tot fysiek knoeien met de doelcomputer. Mocht een dergelijke aanval lukken, dan zou het leiden tot de volledige controle over een computer, met bijna volledige persistentie,” merkt Jean-Ian Boutin op. ESET is de enige vooraanstaande leverancier van endpoint-beveiligingsoplossingen die een speciale beveiligingslaag ESET UEFI Scanner, heeft ingebouwd. Deze werd specifiek ontworpen om kwaadaardige componenten te detecteren in de firmware van een pc.
“Dankzij de ESET UEFI Scanner zijn zowel onze zakelijke klanten als thuisgebruikers goed gewapend om dergelijke aanvallen te herkennen en zich ertegen te verdedigen,” besluit Juraj Malcho, Eset’s Chief Technology Office.
ESET’s analyse van de Sednit-campagne die de eerste in-the-wild UEFI-rootkit gebruikt, wordt in detail beschreven in het witboek “LoJax: First UEFI rootkit found in the wild, courtesy of the Sednit group”
