Остерегайтесь вредоносной программы LoJax

Fancy Bear (известные также как APT18, Pawn Storm, Sofacy Group, Sednit и STRONTIUM) – это российская группа кибер-шпионажа, которая специализируется на кибер-атаках, классифицируемых как Advanced Persistent Threats (APT), т.е. постоянная угроза повышенной сложности. APT характеризуются своей изощренностью, тем, что они, как правило, нацелены на определенные выбранные компании или организации, а также их способностью обходить традиционные механизмы защиты.

Последняя разработка Fancy Bear отлично вписывается в этот уровень сложности: она называется LoJax , и представляет собой вредоносную программу, которая способна пережить даже переустановку операционной системы. Это делает ее особенно опасной для домашних пользователей, компаний и организаций, у которых существует недостаток защиты от такого  рода атак.

LoJax работает подобно руткиту, т.е. программе или набору утилит, которые предоставляют скрытый доступ к компьютеру или административным уровням в сети. Но что делает LoJax настолько особенным, так это то, что он является первым обнаруженным руткитом, который непосредственно атакует унифицируемый интерфейс расширяемой прошивки Unified Extensible Firmware Interface ( UEFI ).

Что такое UEFI? UEFI является преемником BIOS, ключа к любому компьютеру, т.к. является прошивкой, хранящейся в специально выделенной памяти на материнской плате, и содержит инструкции, которые контролируют операции на схемах компьютера, а это означает, что она не зависима от операционных систем.

Соответственно, LoJax использует преимущества Computrace LoJack – программы, которая предустановленна в UEFI на многих компьютерах. Эта программа отправляет информацию о местоположении компьютера, а также позволяет удалять или блокировать файлы в случае кражи. Поскольку это механизм против кражи, LoJack был разработан таким образом, чтобы оставаться на компьютере даже в том случае, если переустановили операционную систему или заменили жесткий диск, т.к. воры, как правило, меняют оба эти элемента после кражи компьютера.

Способ, которым LoJax получает доступ к UEFI и LoJack, заключается в использовании определенных файлов, которые из операционной системы компилируют информацию о его аппаратном обеспечении. Оттуда они исправляют UEFI, скрывают вредоносный код и записывают в него снова – и все это из Windows. Таким образом, кибер-злоумышленник может получить полный контроль над UEFI.

Источник: ESET

LoJax опасен не просто из-за инфекции самого UEFI, но потому, что многие решения информационной безопасности, включая корпоративные решения, представленные во многих компаниях, полностью игнорируют Computrace LoJack и программное обеспечение UEFI , т.к. считают, что они являются безопасными. По этой причине LoJax просто вынуждает компании предпринимать меры информационной безопасности, которые выходят далеко за рамки только лишь защиты операционных систем. Ниже предлагаем вам ряд рекомендаций:

1. Режим безопасной загрузки: хорошие новости связаны с тем, что руткит Fancy Bear не подписан должным образом, т.е. не зарегистрирован безопасно как остальная часть аппаратного обеспечения, установленная и обнаруживаемая в UEFI. Таким образом, первая мера безопасности – активировать в UEFI режим безопасной загрузки. Когда этот режим активирован, то все компоненты прошивки должны быть правильно подписаны, а этот режим не позволяет запуск тех компонентов, которые показывают какие-либо аномалии, как в случае с LoJax.

2. Модернизация чипсетов компьютеров. Уязвимости, обнаруженные в Computrace LoJack, которые допускают атаку LoJax, работают только с настройками старых версий UEFI . Набор микросхем Intel серии 5, впервые выпущенные в 2008 году, имеют хабы контроллеров платформы, которые, как показывают опыты, неуязвимы перед LoJax .

3. Всесторонние и комплексные решения безопасности. В любом случае, для обеспечения тотальной защиты от вредоносных программ, рекомендуется использовать всесторонние и комплексные решения безопасности 360º, которые не только обнаруживают уязвимости в точках проникновения, но также и обеспечивают полную безопасность конечных устройств. Крайне важно иметь решения, которые автоматизируют процессы предотвращения, обнаружения, сдерживания и реагирования на любые сложные угрозы, например, APT. Решение с опциями расширенной информационной безопасности Panda Adaptive Defense способно осуществлять полный мониторинг всех возможных кибер-атак и нежелательных попыток доступа. Более того, оно имеет дополнительный модуль , отвечающий за аспект, которым часто пренебрегают: установка патчей и обновлений. Комплексное решение 360º сочетает в себе детальную видимость активности на конечных устройствах, контроль всех запущенных процессов и сокращение поверхности атаки, чтобы компании не стали жертвой атак, какими бы сложными они не были.