ESpecter Bootkit pflanzt seit 2012 Backdoors
ESpecter ist ein bösartiges Implantat, das als Bootkit identifiziert wurde. Obwohl diese Malware erst vor kurzem identifiziert wurde, ist sie seit 2012 aktiv – dies zeigt, wie heimlich sie sein kann. Natürlich ist dies nicht der einzige Grund dafür, Sicherheitstools zu vermeiden – sie wurde auch nicht bei groß angelegten Angriffen eingesetzt. Stattdessen scheinen seine Schöpfer das ESpecter-Bootkit bei gezielten Angriffen mit einer sehr begrenzten Anzahl von Opfern verwendet zu haben.
In den letzten zehn Jahren wurden bestimmte Abschnitte von ESpecter massiven Änderungen unterzogen, um sie mit aktuellen Computersystemen kompatibel zu machen. Ältere Varianten arbeiteten beispielsweise, indem sie das BIOS und den Master Boot Record (MBR) infiltrierten. Moderne Systeme verwenden jedoch das Unified Extensible Firmware Interface (UEFI) vor dem Laden des Betriebssystems. Aus diesem Grund konzentrierte sich die spätere Version von ESpecter darauf, die UEFI-Komponente zu infiltrieren.
Welche Malware hat das ESpecter Bootkit bereitgestellt?
Normalerweise werden Bootkits in Kombination mit anderer hochkarätiger Malware verwendet, die schwer zu erkennen ist. Bei diesen Kampagnen verwendeten die Kriminellen oft eine speziell angefertigte Hintertür, die der ESpecter automatisch lud. Dank dieser Hintertür könnten die Kriminellen Dateien stehlen, Tastenanschläge aufzeichnen und Fernbefehle ausführen. Diese Merkmale bedeuten wahrscheinlich, dass der Zweck der ESpecter-Kampagnen Spionage war.
Ein interessanter Leckerbissen über den ESpecter-Angriff ist, dass er nur auf Systemen funktioniert, auf denen die Secure Boot- Funktion deaktiviert ist. Diese Funktion wurde in Windows 8 eingeführt, sodass alle Windows-Computer, auf denen Windows 8 oder höher ausgeführt wird, dank der Secure Boot- Funktion vor ESpecter geschützt sein können. Es gibt nicht genügend Informationen über die spezifischen Methoden, die verwendet werden, um den ESpecter auf Computern zu platzieren. Experten vermuten, dass die Angreifer physischen Zugriff auf die Computer ihrer Opfer hatten oder auf unbekannte Schwachstellen in UEFI-Diensten zugreifen konnten.
