Especter Bootkit ha piantato backdoor dal 2012
Especter è un impianto dannoso, identificato come bootkit. Sebbene questo malware sia stato identificato solo di recente, è attivo dal 2012: questo dimostra quanto possa essere furtivo. Naturalmente, la sua capacità di evitare gli strumenti di sicurezza non è l'unica ragione per questo: non è stata nemmeno utilizzata in attacchi su larga scala. Invece, sembra che i suoi creatori abbiano utilizzato il bootkit ESpectre in attacchi mirati, con un numero molto limitato di vittime.
Nell'ultimo decennio, sezioni specifiche di ESpectre sono state sottoposte a enormi modifiche per renderle compatibili con gli attuali sistemi informatici. Ad esempio, le varianti precedenti funzionavano infiltrandosi nel BIOS e nel Master Boot Record (MBR). Tuttavia, i sistemi contemporanei utilizzano l'interfaccia Unified Extensible Firmware (UEFI) prima di caricare il sistema operativo. Questo è il motivo per cui la versione successiva di ESpectre si è concentrata sull'infiltrazione nel componente UEFI.
Quale malware ha distribuito il bootkit di Especter?
In genere, i bootkit vengono utilizzati in combinazione con altri malware di alto profilo difficili da rilevare. In queste campagne, i criminali usavano spesso una backdoor su misura che l'ESpectre caricava automaticamente. Grazie a questa backdoor, i criminali sarebbero in grado di rubare file, registrare sequenze di tasti ed eseguire comandi remoti. Queste caratteristiche probabilmente significano che lo scopo delle campagne dell'ESpectre era lo spionaggio.
Un'interessante informazione sull'attacco ESpectre è che funziona solo su sistemi che hanno la funzione Secure Boot disabilitata. Questa funzionalità è stata introdotta in Windows 8, quindi tutte le macchine Windows che eseguono Windows 8 o versioni successive potrebbero essere al sicuro da ESpectre grazie alla funzione Secure Boot. Non ci sono abbastanza informazioni sui metodi specifici utilizzati per piantare l'ESpectre sui computer. Gli esperti suggeriscono che gli aggressori potrebbero aver avuto accesso fisico alle macchine della loro vittima o che hanno accesso a vulnerabilità sconosciute nei servizi UEFI.
