MoonBounce, nieuwe UEFI-malware op vrije voeten
UEFI, een afkorting voor Unified Extensible Firmware Interface, is simpelweg een systeemcomponent die het besturingssysteem verbindt met de rest van de firmware en apparaten van het systeem. Dit is een low-level component die niet wordt gewist/overschreven bij het formatteren van uw harde schijf of het opnieuw installeren van uw besturingssysteem. En dit is de reden waarom cybercriminelen er zo in geïnteresseerd zijn: de ontwikkeling van UEFI-malware stelt hen in staat om persistentie te krijgen op een gecompromitteerd apparaat, dat zich diep in de systeemcomponenten verbergt. Zelfs als het slachtoffer probeert het besturingssysteem opnieuw te installeren, zullen ze de schadelijke module niet verwijderen. Het nieuwste stukje UEFI-malware dat te vinden is in de wilde MoonBounce Malware - het voegt zich bij de gelederen van verschillende andere implantaten, die de mogelijkheid hebben om zich in de UEFI te bevinden.
De UEFI-firmware wordt meestal opgeslagen op de Serial Peripheral Interface (SPI) -opslagchip op computermoederborden. Om gecompromitteerd te worden, moeten aanvallers een kwaadaardige firmware-update introduceren, die de kwaadaardige code naar de SPI-chip zou sturen.
Waarom is de MoonBounce Malware Special?
Zoals al uitgelegd, maakt het unieke vermogen van deze malware in de UEFI-firmware het veel moeilijker te identificeren en te verwijderen. Maar deze eigenschap geeft het ook vele andere voordelen. Om te beginnen hoeft het niet bij het opstarten van het systeem te worden uitgevoerd zoals de meeste moderne malware - in plaats daarvan kan het onafhankelijk van het besturingssysteem werken.
Natuurlijk, vanwege hoe onopvallend de MoonBounce-malware is, zijn de functies ervan vrij beperkt. Helaas maakt het vermogen om zijn gegevens op te slaan in de UEFI-firmware en te werken vanuit het geheugen van het systeem, het tot een zeer moeilijke bedreiging om mee om te gaan. Het lijkt erop dat het primaire doel is om aanvallers in staat te stellen extra malware op geïnfecteerde apparaten te implementeren, net als een Trojan Dropper.
Het lijkt erop dat de slachtoffers die getroffen zijn door de MoonBounce-malware gevoelige gegevens van hun apparaten hebben geëxfiltreerd - industriële spionage is waarschijnlijk het primaire doel van deze specifieke campagne. Volgens malwareonderzoekers lijkt de MoonBounce-campagne erg op eerdere campagnes van APT41, een Chinese dreigingsactor.
