ESpecter Bootkit plant sinds 2012 achterdeurtjes
ESpecter is een kwaadaardig implantaat, dat is geïdentificeerd als een bootkit. Hoewel deze malware pas onlangs werd geïdentificeerd, is hij actief sinds 2012 - dit laat zien hoe onopvallend het kan zijn. Natuurlijk is het vermogen om beveiligingstools te vermijden niet de enige reden hiervoor - het is ook niet gebruikt bij grootschalige aanvallen. In plaats daarvan lijken de makers de ESpecter-bootkit te hebben gebruikt bij gerichte aanvallen, met een zeer beperkt aantal slachtoffers.
In de afgelopen tien jaar hebben specifieke delen van ESpecter enorme veranderingen ondergaan om ze compatibel te maken met de huidige computersystemen. Oudere varianten werkten bijvoorbeeld door het BIOS en Master Boot Record (MBR) te infiltreren. Moderne systemen gebruiken echter de Unified Extensible Firmware Interface (UEFI) voordat het besturingssysteem wordt geladen. Dit is de reden waarom de latere versie van ESpecter zich richtte op het infiltreren van de UEFI-component.
Welke malware heeft de ESpecter Bootkit geïmplementeerd?
Meestal worden bootkits gebruikt in combinatie met andere spraakmakende malware die moeilijk te detecteren is. In deze campagnes gebruikten de criminelen vaak een op maat gemaakte achterdeur die de ESpecter automatisch laadde. Dankzij deze achterdeur zouden de criminelen bestanden kunnen stelen, toetsaanslagen kunnen opnemen en opdrachten op afstand kunnen uitvoeren. Deze kenmerken betekenen waarschijnlijk dat het doel van de ESpecter-campagnes spionage was.
Een interessant stukje informatie over de ESpecter-aanval is dat deze alleen werkt op systemen waarop de Secure Boot- functie is uitgeschakeld. Deze functie is geïntroduceerd in Windows 8, dus alle Windows-machines met Windows 8 of nieuwer kunnen worden beschermd tegen ESpecter dankzij de Secure Boot- functie. Er is niet genoeg informatie over de specifieke methoden die worden gebruikt om de ESpecter op computers te planten. Experts suggereren dat de aanvallers mogelijk fysieke toegang hebben gehad tot de machines van hun slachtoffer, of dat ze toegang hebben tot onbekende kwetsbaarheden in UEFI-services.
