Investigadores de seguridad de Kaspersky han analizado un rootkit de firmware UEFI que parece apuntar a modelos específicos de placas base de Gigabyte y Asus. Apodado CosmicStrand y probablemente desarrollado por un actor de amenazas desconocido, de habla china, el rootkit se encontró ubicado en las imágenes de firmware de las placas base Gigabyte y Asus que usan el chipset H81, esto se refiere al hardware antiguo entre 2013 y 2015 que en su mayoría está descontinuado en la actualidad.

Kaspersky cree que los cambios de firmware podrían haberse realizado con un parche automático, lo que implicaría que el atacante tuvo acceso físico a las placas base infectadas o usó un implante que ya se estaba ejecutando en las placas base.

Las imágenes de firmware infectadas contienen un controlador 'CSMCORE DXE', que facilita el arranque del sistema en modo heredado a través del MBR, que se parcheó con un código que se ejecuta al inicio del sistema para desencadenar una cadena de ejecución que conduce a la implementación de un implante a nivel de kernel. en Windows.

Un enlace malicioso configurado en el administrador de arranque permite que la amenaza modifique el cargador del kernel de Windows antes de que se ejecute, configure un segundo enlace llamado en una etapa posterior del proceso de inicio, controle el proceso de ejecución e inyecte un shellcode en la memoria. Luego, después de un período de suspensión, el malware obtiene la carga útil final.

Cadena de ejecución de CosmicStrands

Descripción general de la ejecución del malware CosmicStrand UEFI

fuente: Kaspersky

También se vio a CosmicStrand intentando desactivar el mecanismo de seguridad PatchGuard.

Una muestra del modo de usuario que los investigadores de Kaspersky encontraron en la memoria de una máquina infectada, y que probablemente esté vinculada con CosmicStrand, fue diseñada para ejecutar líneas de comando para crear una cuenta de usuario agregada al grupo de administradores locales.

Los investigadores identificaron dos variantes del rootkit, una utilizada entre finales de 2016 y mediados de 2017, y otra activa en 2020, cada una de ellas con su propio servidor de comando y control (C&C).

Las víctimas identificadas por Kaspersky también brindan pocas pistas sobre el autor de la amenaza y su objetivo, ya que los sistemas infectados identificados pertenecen a particulares en China, Irán, Vietnam y Rusia que no pueden vincularse a una organización o industria.

Víctimas de CosmicStrands en todo el mundo

La empresa china de ciberseguridad Qihoo 360 analizó una versión anterior del malware en 2017 después de que una persona se pusiera en contacto con ella y tuviera problemas para eliminar una pieza de malware altamente persistente. La empresa, que denominó al malware 'Spy Shadow Trojan', informó que la víctima había adquirido la placa base infectada, que anteriormente había sido propiedad de otra persona, en una tienda en línea.

Actores de amenaza de habla china han estado utilizando desde al menos 2016 malware que prácticamente pasa desapercibido en las imágenes del firmware de algunas placas base, una de las amenazas más persistentes comúnmente conocida como rootkit UEFI.

Los investigadores de la empresa de ciberseguridad Kaspersky lo llamaron CosmicStrand, pero los analistas de malware de Qihoo360 descubrieron una variante anterior de la amenaza, que la llamaron Spy Shadow Trojan.

No está claro cómo el actor de amenazas logró inyectar el rootkit en las imágenes de firmware de las máquinas objetivo, pero los investigadores encontraron el malware en máquinas con placas base ASUS y Gigabyte.

• El software Unified Extensible Firmware Interface (UEFI) es lo que conecta el sistema operativo de una computadora con el firmware del hardware subyacente.
• El código UEFI es el primero en ejecutarse durante la secuencia de arranque de un ordenador, antes que el sistema operativo y cualquier solución de seguridad disponibles.
• El malware implementado en una imagen del firmware UEFI no solo es difícil de identificar, sino que también es extremadamente persistente, ya que no se puede eliminar reinstalando el sistema operativo o reemplazando la unidad de almacenamiento.

Mark Lechtik, un ex ingeniero inverso de Kaspersky, ahora en Mandiant, que participó en la investigación, explica que las imágenes de firmware comprometidas venían con un controlador CSMCORE DXE modificado, que permite un proceso de arranque heredado.

Si bien la variante de CosmicStrand que Kaspersky descubrió es más reciente, los investigadores de Qihoo360 revelaron en 2017 los primeros detalles sobre una versión anterior del malware.

Kaspersky dice que el rootkit de firmware CosmicStrand UEFI puede persistir en el sistema durante toda la vida útil de la computadora y se ha utilizado en operaciones durante años, desde finales de 2016.

El malware UEFI se vuelve más común

El primer informe generalizado sobre un rootkit UEFI encontrado en la naturaleza, LoJax, llegó en 2018 de ESET y fue utilizado en ataques de piratas informáticos rusos en el grupo APT28 (también conocido como Sednit, Fancy Bear, Sofacy).

Casi cuatro años después, las cuentas de ataques de malware UEFI en la naturaleza se han vuelto más frecuentes, y no solo los piratas informáticos avanzados exploraron esta opción:

Supimos sobre MosaicRegressor de Kaspersky en 2020, aunque se usó en ataques en 2019 contra organizaciones no gubernamentales.

A fines de 2020, llegó la noticia de que los desarrolladores de TrickBot habían creado TrickBoot, un nuevo módulo que verificaba las máquinas comprometidas en busca de vulnerabilidades UEFI.

Otro rootkit UEFI fue revelado a fines de 2021 para ser desarrollado por Gamma Group como parte de su solución de vigilancia FinFisher.

El mismo año, surgieron detalles de ESET sobre otro bootkit llamado ESPecter, que se cree que se usa principalmente para espionaje y con orígenes que se remontan a 2012.

MoonBounce, considerado uno de los implantes de firmware UEFI más sofisticados, se reveló este año en enero como utilizado por Winnti, un grupo de piratas informáticos de habla china (también conocido como APT41).

Fuentes:

https://securelist.com/cosmicstrand-uefi-firmware-rootkit/106973/

https://www.securityweek.com/chinese-uefi-rootkit-found-gigabyte-and-asus-motherboards

https://www.bleepingcomputer.com/news/security/cosmicstrand-uefi-malware-found-in-gigabyte-asus-motherboards/