LoJax: पहला ज्ञात यूईएफआई रूटकिट दुर्भावनापूर्ण अभियान में इस्तेमाल किया गया

Sednit Cybergroup, जिसे ART28 के नाम से भी जाना जाता है, स्ट्रोंटियम और फैंसी बियर, कम से कम 2004 से काम कर रहे हैं। यह माना जाता है कि समूह गुंजयमान साइबरबैट की एक श्रृंखला के पीछे है। कुछ आईबी कंपनियों और अमेरिकी न्याय विभाग ने 2016 के अमेरिकी चुनावों से पहले डेमोक्रेटिक नेशनल कमेटी को हैक करने के लिए सेडनीट को जिम्मेदार बताया है। समूह को वैश्विक टेलीविजन नेटवर्क TV5Monde को हैक करने , वर्ल्ड एंटी-डोपिंग एजेंसी (WADA) से ईमेल के रिसाव और अन्य घटनाओं का श्रेय दिया जाता है। सेडनीट के पास कई लक्ष्य और कई प्रकार के उपकरण हैं, जिनमें से कुछ हमने पहले ही दस्तावेज किए हैं , लेकिन इस काम में पहली बार हम यूईएफआई रूटकिट के उपयोग के बारे में विस्तार से वर्णन करेंगे।

संक्षिप्त समीक्षा

हमने पाया कि कम से कम 2017 की शुरुआत से, सेडनीट प्रोग्राम के पुराने उपयोगकर्ता एजेंट के एक ट्रोजन संस्करण का उपयोग कर रहा है ताकि डिवाइस को एब्सोल्यूट सॉफ्टवेयर - लॉजैक के डेवलपर द्वारा चोरी से बचाया जा सके। इस उपकरण ने UEFI / BIOS मॉड्यूल के उपयोग को सुनिश्चित करने के लिए एक तंत्र के रूप में सूचना सुरक्षा पेशेवरों का ध्यान आकर्षित किया। हमने इस कार्यक्रम के ट्रोजन संस्करण को LoJax कहा ।

LoJax नमूनों के साथ-साथ संक्रमित प्रणालियों में प्रसिद्ध सेडनीट टूल की उपस्थिति, साथ ही तथ्य यह है कि ट्रोजन एजेंटों द्वारा उपयोग किए जाने वाले कुछ कमांड सर्वर पहले सेडनीट इंफ्रास्ट्रक्चर का हिस्सा थे, हमें इस समूह के साथ एक यूईएफआई कॉर्क को मज़बूती से जोड़ने की अनुमति देता है।

LoJax एजेंटों के साथ मिलकर, उपकरण UEFI सिस्टम फर्मवेयर को पढ़ने के लिए पाए गए थे, और एक मामले में यह उपकरण सिस्टम SPI फ्लैश मेमोरी के भाग को डंप, पैच और फिर से लिख सकता है। उपकरण का अंतिम लक्ष्य एक दुर्भावनापूर्ण यूईएफआई मॉड्यूल को एक सिस्टम में स्थापित करना है, जिसकी फ्लैश एसपीआई सुरक्षा कमजोर या अनुचित रूप से कॉन्फ़िगर की गई है।

UEFI मॉड्यूल सिस्टम में LoJax एजेंट को लागू करने के लिए जिम्मेदार है; यह सेडनीट समूह का पहला UEFI पहचाना गया रूटकिट है। चूंकि यह सिस्टम फर्मवेयर में है, यह विंडोज को फिर से स्थापित करने और हार्ड ड्राइव को बदलने से बच सकता है।

कम से कम एक मामला था जब इस रूटकिट को सिस्टम SPI फ्लैश मेमोरी में सफलतापूर्वक इंस्टॉल किया गया था। हमारी जानकारी के अनुसार, यह पहला यूईएफआई रूटकिट है जो इन-द-वाइल्ड की खोज की है।

परिचय

सेडनिट कई मैलवेयर परिवारों का उपयोग करता है। रिपोर्ट में हमारे द्वारा प्रदान किए गए अक्सर उपयोग किए गए समूह टूल का विस्तृत विवरण।

हम कई वर्षों से सेडनिट गतिविधि पर नज़र रख रहे हैं और समूह के काम पर कई रिपोर्ट जारी की हैं - शून्य-दिन की कमजोरियों के विवरण से लेकर Zebrocy जैसे कस्टम कार्यक्रमों तक । इस रिपोर्ट में वर्णित घटक एक अलग समूह बनाते हैं।

UEFI रूटकिट का वर्णन सूचना सुरक्षा कंपनियों द्वारा पहले की रिपोर्टों में किया गया है। उदाहरण के लिए, रक्लोडर, जो हैकिंग टीम में डेटा रिसाव के बारे में एक प्रस्तुति में चित्रित किया गया था, और वॉलस्ट 7 दस्तावेजों से मैकओएस ईएफआई / यूईएफआई डाउनलोड में इम्प्लांट डेरस्टार्क को जाना जाता है । हम इन उपकरणों के अस्तित्व से अवगत हैं, हालांकि, कोई यूईएफआई समझौता रिपोर्ट रूटकिट द्वारा जारी नहीं की गई है।

अब हमने न केवल दुर्भावनापूर्ण लोजैक्स यूईएफआई मॉड्यूल के साथ इन-द-वाइल्ड फर्मवेयर के उपयोग को साबित किया, बल्कि उन उपकरणों की पूरी श्रृंखला को भी पाया, जो इसे स्थापित करने के लिए सबसे अधिक उपयोग किए जाते थे। यह ध्यान रखना दिलचस्प है कि सेडनीट डाउनडेलफ बूटकिट का उपयोग करता है, जो 2013 और 2014 में डॉन्डेल्फ को बनाए रखने के लिए इस्तेमाल किया गया था, जो पहले चरण सेडनिट बैकडोर में से एक है। विचार समान है, लेकिन यूईएफआई के नए संस्करण में, बूटकिट्स का उपयोग अब संभव नहीं है। इस प्रकार, ये दो घटक व्यवहार में काफी भिन्न होते हैं।

यह कार्य तीन खंडों में विभाजित है। पहले में, हम LoJack / Computrace सुरक्षा के प्रारंभिक अध्ययन और कार्यक्रम के दुर्भावनापूर्ण उपयोग के लिए संभावित विश्लेषण करेंगे। दूसरा खंड अनुसंधान प्रक्रिया के लिए समर्पित है, जिसने अंततः हमें यूईएफआई रूटकिट के लिए प्रेरित किया। अंत में, तीसरे खंड में, हम विभिन्न LoJax घटकों का विस्तार से वर्णन करते हैं और कैसे वे विंडोज को फिर से स्थापित करने और हार्ड ड्राइव को बदलने के बाद भी सिस्टम में दृढ़ता प्रदान करते हैं।

आरोपण

जबकि कई विक्रेताओं ने अतीत में सेडनीट समूह के बारे में पहले से ही बयान दिए हैं, ईएसईटी किसी भी तरह से अपनी भू-राजनीतिक संबद्धता निर्धारित नहीं करता है। 2016 के अध्ययन के प्रकाशन के बाद से, हमारी स्थिति नहीं बदली है। एक वैज्ञानिक दृष्टिकोण के आधार पर साइबर हमले के स्रोत का निर्धारण एक जटिल कार्य है जो ईएसईटी विशेषज्ञों की दक्षताओं के दायरे से बाहर है। जिसे हम "सेडनिट ग्रुप" कहते हैं, वह केवल सॉफ्टवेयर का एक सेट और एक संबद्ध नेटवर्क इन्फ्रास्ट्रक्चर है जिसे हम किसी विशेष संगठन के साथ आधिकारिक रूप से संबद्ध नहीं कर सकते हैं।

लक्ष्यों

अध्ययन के दौरान, हमें अलग-अलग LoJax छवियों की एक छोटी संख्या मिली। हमारे टेलीमेट्री डेटा और अन्य सेडनीट प्रोग्रामों के अध्ययन के आधार पर इन-वाइल्ड की खोज की गई है, हमें विश्वास है कि इस विशेष मॉड्यूल का उपयोग अन्य उपकरणों की तुलना में शायद ही कभी किया गया हो। लक्ष्य, मुख्य रूप से, मध्य और पूर्वी यूरोप में बाल्कन में स्थित राज्य संगठन थे।

अर्ली कम्प्यूटरट्रेस / लोजैक रिसर्च

लोजैक - कंप्यूटर को चोरी और नुकसान से बचाने के लिए सॉफ्टवेयर, जिसे एब्सोल्यूट सॉफ्टवेयर कॉर्पोरेशन द्वारा विकसित किया गया है। एजेंट के शुरुआती संस्करणों को कम्प्यूट्रेस के रूप में जाना जाता है। जैसा कि पिछले नाम का तात्पर्य है, सेवा को सक्रिय करने के बाद, कंप्यूटर अपने कमांड सर्वर तक पहुंच सकता है - नुकसान या चोरी के मामले में मालिक को डिवाइस के स्थान के बारे में सूचित किया जाएगा।

नीचे दिए गए खंड में पिछली लोजैक वास्तुकला का वर्णन है। सॉफ़्टवेयर का केवल पुराना संस्करण साइबर अपराधियों द्वारा ट्रोजन किया गया था, इसलिए हम इस पर ध्यान केंद्रित करेंगे। इसके अलावा, Absolute Software ने मई 2018 में एक बयान जारी किया जिसमें कहा गया है कि नीचे वर्णित कमजोरियां उनके एजेंटों के नवीनतम संस्करणों के संचालन को प्रभावित नहीं करती हैं।

Computrace प्रोग्राम ने सूचना सुरक्षा पेशेवरों का ध्यान आकर्षित किया क्योंकि इसने दृढ़ता को सुनिश्चित करने की एक असामान्य विधि का उपयोग किया। इसका उद्देश्य चोरी से बचाव करना है, इसलिए ओएस को फिर से स्थापित करने और हार्ड ड्राइव को बदलने के लिए प्रतिरोधी होना जरूरी है - यह सब यूईएफआई / BIOS मॉड्यूल में लागू किया गया है जो इन कार्यों के बाद जीवित रह सकता है। विभिन्न निर्माताओं से लैपटॉप के एक महत्वपूर्ण हिस्से के फर्मवेयर में समाधान पूर्वस्थापित है, उपयोगकर्ता को केवल इस फ़ंक्शन को सक्रिय करने की आवश्यकता है। सक्रियण BIOS में किया जा सकता है, जैसा कि नीचे दिए गए आंकड़े में दिखाया गया है।


चित्रा 1. BIOS में सक्रिय संगणना

2009 में पहली LoJack / Computrace कार्यान्वयन रिपोर्ट प्रकाशित हुई थी। उत्पाद की वैश्विक वास्तुकला, यूईएफआई / BIOS मॉड्यूल डिस्क के लिए उपयोगकर्ता एजेंट की निस्तब्धता, और एजेंट द्वारा निरपेक्ष सॉफ्टवेयर द्वारा नियंत्रित वेब सर्वर के साथ संचार करने का तरीका पता चला था। आरेख नीचे दिए गए आंकड़े से समझा जा सकता है।


चित्रा 2. LoJack हठ तंत्र (लगभग 2008)

निम्नलिखित ऊपर सूचीबद्ध चरणों का विवरण है:

1. सक्रिय होने पर, यूईएफआई / BIOS मॉड्यूल को बूट समय पर निष्पादित किया जाता है। वह FAT / FAT32 / NTFS विभाजन को खोजने की कोशिश कर रहा है। फिर, NTFS ड्राइवर का उपयोग करते हुए, वह autochk.exe फ़ाइल का बैकअप बनाता है और ड्रॉपर के साथ इसकी सामग्री को अधिलेखित करता है, जो उपयोगकर्ता एजेंट घटक को स्थापित करने के लिए जिम्मेदार है। autochk.exe फ़ाइल एक विंडोज़ निष्पादन योग्य फ़ाइल है जो हार्ड डिस्क को संभावित नुकसान की जांच के लिए सिस्टम बूट के प्रारंभिक चरण में लॉन्च की गई है।

2. जब संशोधित autochk.exe शुरू होता है, तो इसका मुख्य लक्ष्य rpcnetp.exe मिनी-एजेंट को लागू करना और इसे एक सेवा के रूप में जोड़ना है ताकि यह हर बार रिबूट होने पर शुरू हो। इस घटक का अंतिम चरण autochk.exe के मूल संस्करण को पुनर्स्थापित करना है।

3. मिनी-एजेंट rpcnetp.exe - एक छोटी निष्पादन योग्य फ़ाइल, जिसका उद्देश्य मुख्य एजेंट के संचालन को सुनिश्चित करना है। यदि प्राथमिक एजेंट काम नहीं करता है, तो rpcnetp.exe इसे डाउनलोड करने और निष्पादित करने के लिए Absolute Software C & C कमांड सर्वर से कनेक्ट करने का प्रयास करता है। सबसे पहले, मिनी-एजेंट खुद की एक प्रति बनाएगा, फिर एक DLL में परिवर्तित करने के लिए पीई हेडर में बदलाव करेगा। इस लाइब्रेरी को तब मेमोरी में लोड किया जाता है, svchost.exe प्रक्रिया को कॉल करता है, और वहां DLL इंजेक्ट करता है। इसके बाद, iexplore.exe इंटरनेट एक्सप्लोरर प्रक्रिया शुरू होती है, और DLL को इसमें इंजेक्ट किया जाता है। बाद की प्रक्रिया का उपयोग इंटरनेट पर संचार के लिए किया जाएगा। संगोष्ठी मिनी-एजेंट इंजेक्शन तीसरे पक्ष की प्रक्रियाओं में अक्सर मैलवेयर में पाया जाता है और शायद ही कभी वैध सॉफ्टवेयर से जुड़ा होता है।

4. अब एक पूरी तरह से कार्यात्मक एजेंट सिस्टम पर चल रहा है और ट्रैकिंग और रिकवरी के लिए Computrace फ़ंक्शन का उपयोग कर सकता है।

इस प्रक्रिया का विवरण और मिनी-एजेंट और सी एंड सी सर्वर के बीच शामिल नेटवर्क प्रोटोकॉल 2014 में प्रकाशित हुआ था। प्रमाणीकरण तंत्र की कमी के कारण, यदि हमलावर उस सर्वर को नियंत्रित करते हैं जो मिनी-एजेंट के साथ संचार करता है, तो वे इसे मध्यस्थ कोड डाउनलोड करने के लिए मजबूर कर सकते हैं। कई तंत्र हैं जो हमलावरों को सीधे मिनी-एजेंट से संपर्क करने की अनुमति देते हैं। हमारे लिए सबसे महत्वपूर्ण मिनी एजेंट द्वारा C & C सर्वर का पता प्राप्त करने की विधि का उपयोग करता है। वास्तव में, यह जानकारी निष्पादन योग्य फ़ाइल में ही कॉन्फ़िगरेशन फ़ाइल में संग्रहीत होती है।


चित्र 3. दाईं ओर आंशिक डिक्रिप्शन कॉन्फ़िगरेशन फ़ाइल एन्क्रिप्ट की गई

आंकड़ा लोजैक मिनी-एजेंट कॉन्फ़िगरेशन फ़ाइल दिखाता है। "एन्क्रिप्शन" विधि का उपयोग एक एकल बाइट कुंजी के साथ एक साधारण XOR है। 0xB5 कुंजी सभी अध्ययन किए गए मिनी-एजेंटों के लिए समान है। जैसा कि चित्र से देखा जा सकता है, फ़ाइल में C & C डोमेन निर्दिष्ट है। चार पूर्ववर्ती बाइट्स में C & C सर्वर का IP पता होता है। कॉन्फ़िगरेशन फ़ाइल की सामग्री पर सत्यापन की अनुपस्थिति में, %WINDIR% में लिखने की अनुमति के साथ हमलावर इसकी सामग्री को बदल सकते हैं ताकि मिनी-एजेंट वैध के बजाय अपने कमांड सर्वर के साथ संवाद करेंगे। नेटवर्क प्रोटोकॉल को समझते हुए, आप मिनी-एजेंट डाउनलोड कर सकते हैं और मनमाना कोड निष्पादित कर सकते हैं। ये जोखिम लंबे समय से ज्ञात हैं, लेकिन हाल ही में, जब तक कि तंत्र व्यवहार में उपयोग नहीं किया गया था।

LoJack LoJax में बदल जाता है

मई 2018 में, लोजैक मिनी-एजेंट, rpcnetp.exe के ट्रोबोर नमूने आर्बर नेटवर्क ब्लॉग पर वर्णित किए गए थे। उनकी हार्ड-कोडित नेटवर्क सेटिंग्स बदल दी गईं ताकि दुर्भावनापूर्ण नमूनों ने वैध एब्सोल्यूट सॉफ्टवेयर सर्वर के बजाय हमलावर के सी एंड सी सर्वर के साथ एक कनेक्शन स्थापित किया। ट्रोजनाइज्ड नमूनों में पाए गए कुछ डोमेन पहले मिले थे - उनका उपयोग 2017 के अंत में सेडुप लोडर के लिए सी एंड सी सर्वर डोमेन के रूप में किया गया था, जो सेडनीट साइबरबर्ग के पहले चरण के पिछले दरवाजे थे। नीचे दिया गया चित्र LoJax मिनी-एजेंटों में से एक में संशोधित कॉन्फ़िगरेशन का एक उदाहरण दिखाता है।


चित्रा 4. बाईं ओर एक वैध कॉन्फ़िगरेशन फ़ाइल है, दाईं ओर एक संशोधित है

वैध और ट्रोजन एजेंट के बीच अंतर बहुत छोटा है, लगभग सभी ऊपर दिए गए हैं। LoJax मिनी-एजेंट के नमूने जो हम खोजने में सक्षम थे, वे एक ही कम्प्यूटेशनल मिनी-एजेंट नमूने, rpcnetp.exe । वे सभी समान संकलन टाइमस्टैम्प हैं और केवल कुछ दर्जन बाइट मूल से भिन्न हैं। कॉन्फ़िगरेशन फ़ाइल में परिवर्तन के अलावा, टाइमर चर में अंतर हैं जो सी और सी सर्वर के कनेक्शन के बीच के अंतराल को निर्धारित करते हैं।

प्रकाशन के समय, हमने मध्य और पूर्वी यूरोप में बाल्कन में विभिन्न संगठनों पर हमलों में इस्तेमाल किए जाने वाले विभिन्न लोजैक्स मिनी-एजेंटों की खोज की, लेकिन उन्हें स्थापित करने के तरीके के बारे में हमारे पास कोई विचार नहीं था। एक स्पष्ट विवरण एक प्रसिद्ध सेडनीट बैकडोर का उपयोग करके स्थापित करना होगा। यह मत भूलो कि LoJack, एक अच्छी तरह से स्थापित टूल के रूप में, कई एंटीवायरस विक्रेताओं द्वारा श्वेत सूची में डाला गया है। इस प्रकार, भले ही इस अभियान में केवल एक मिनी-एजेंट का उपयोग किया गया था जो विंडोज को पुनर्स्थापित करने के बाद जीवित नहीं था, फिर भी इसका एक फायदा था - यह मालवेयर के रूप में पाया जाने की संभावना कम था। लेकिन क्या होगा अगर समझौता और भी गहरा था और हमलावरों ने सिस्टम फर्मवेयर को पाने के लिए लोजैक को कॉपी करने की कोशिश की?

निचले स्तर के घटक के लिए शिकार

हमने मध्य और पूर्वी यूरोप में बाल्कन में कई संगठनों के उद्देश्य से लोजैक्स हमलों को दर्ज किया। उन सभी में, हम सेडनिट मैलवेयर के निशान खोजने में कामयाब रहे, जिनमें शामिल हैं:

• SedUploader, पहले चरण पिछले दरवाजे
• XAgent, सेडनीट के प्रमुख पिछले दरवाजे
• Xtunnel, एक नेटवर्क प्रॉक्सी टूल जो इंटरनेट पर C & C सर्वर और स्थानीय नेटवर्क पर एक गंतव्य कंप्यूटर के बीच किसी भी नेटवर्क ट्रैफ़िक को स्थानांतरित कर सकता है

हमने अध्ययन किए गए अधिकांश प्रणालियों में सेडनिट उपकरणों के निशान पाए जो कि लोजैक्स लक्ष्य बन गए, साथ ही साथ कुछ प्रणालियाँ भी थीं जहाँ केवल लोजैक्स मौजूद था। यह माना जा सकता है कि कुछ मामलों में LoJax का उपयोग एक अलग उपकरण के रूप में किया गया था, शायद नेटवर्क में सेडनिट ऑपरेटरों की पहुंच बहाल करने के लिए एक अतिरिक्त बैकडोर के रूप में।

XAgent बैकडोर आमतौर पर एक समझौता प्रणाली में अतिरिक्त मॉड्यूल को गिराता है, इसलिए यह तुरंत ध्यान में आता है कि LoJax नमूने उसी तरह से वितरित किए गए थे, बिना किसी अन्य तंत्र के। यह माना जा सकता है कि सेडनीट ने लोजैक समाधान से केवल एक मिनी-एजेंट को उधार लिया था। हालाँकि, विश्लेषण की शुरुआत के कुछ समय बाद, हमने कई सबूतों को दर्शाया कि प्रेरणा का स्रोत कुछ अधिक व्यापक था।

RWEverything (RwDrv) ड्राइवर और info_efi.exe

पहला सबूत साइबर अपराधियों के एक कस्टम टूल के लिए धन्यवाद पाया गया, जिन्हें निष्पादित करते समय, निचले स्तर के सिस्टम की सेटिंग के बारे में जानकारी को एक टेक्स्ट फाइल में डाला जाता है। टूल को कुछ लोजैक्स नमूनों के साथ खोजा गया था। निम्न आंकड़ा तार्किक नाम info_efi.exe तहत इस उपकरण की info_efi.exe फ़ाइल का एक टुकड़ा दिखाता है।


चित्र 5. info_efi .exe द्वारा उत्पन्न फ़ाइल लॉग से अंश

इस प्रकार की जानकारी को पढ़ने के लिए, टूल में RwDrv.sys नामक ड्राइवर शामिल है। कर्नेल ड्राइवर RWEverything के साथ आता है, नेटवर्क पर उपलब्ध एक मुफ्त उपयोगिता जो पीसीआई एक्सप्रेस इंटरफ़ेस, मेमोरी, पीसीआई विकल्प रोम आदि सहित लगभग सभी निचले-स्तर की सेटिंग्स पर जानकारी पढ़ने के लिए उपयोग की जा सकती है। कर्नेल ड्राइवर वैध सॉफ्टवेयर है और एक वैध प्रमाणपत्र के साथ हस्ताक्षरित है।


चित्रा 6. RwDrv.sys कोड हस्ताक्षर प्रमाण पत्र

RWEverything एक ग्राफिकल यूजर इंटरफेस के साथ आता है जो आपको इस जानकारी को एक्सेस करने की अनुमति देता है।


चित्र 7. RWEverything इंटरफ़ेस स्क्रीनशॉट

info_efi टूल की खोज पहला संकेत था कि UEFI LoJax मॉड्यूल मौजूद हो सकता है। सिस्टम फर्मवेयर को अपडेट करने का प्रयास करते समय, इसके विक्रेता, संस्करण आदि के बारे में जानकारी होना आवश्यक है। उन कमजोरियों को देखते हुए जो उपयोगकर्ता प्रक्रियाओं को एसपीआई फ्लैश मेमोरी की सामग्री को एक्सेस करने और संशोधित करने की अनुमति देती है जहां यूईएफआई मॉड्यूल संग्रहीत हैं, सिस्टम फर्मवेयर डेटा प्राप्त करना एक सफल हमले का पहला कदम है।

अंतिम सुराग जिसने हमें सेडनीट समूह के पहले यूईएफआई रूटकिट को खोजने की अनुमति दी थी, दो उपकरण थे - एसपीआई फ्लैश मेमोरी को डंप करने और इसे लिखने के लिए।

डंप एसपीआई फ्लैश

पहेली का पहला टुकड़ा ReWriter_read.exe नामक एक फ़ाइल थी। इसमें RWEverything ड्राइवर RwDrv.sys का उपयोग करके सिस्टम SPI फ्लैश को डंप करने के लिए आवश्यक सभी कोड समाहित RwDrv.sys । डिवाइस ड्राइवर को आवश्यक संचालन करने के लिए, डंप टूल को सही I / O नियंत्रण कोड (IOCTL) भेजना होगा। जबकि RwDrv.sys कई अलग-अलग IOCTL कोड का समर्थन करता है, इसमें वर्णित डम्पर टूल और लेखक टूल और अगले भाग में उनमें से केवल चार का उपयोग होता है।

RwDrv.sys: समर्थित IOCTL कोड:

0x22280c - I / O के लिए आवंटित मेमोरी क्षेत्र को लिखता है
0x222808 - इनपुट-आउटपुट के लिए आवंटित मेमोरी का क्षेत्र पढ़ता है
0x222840 - निर्दिष्ट PCI कॉन्फ़िगरेशन रजिस्टर से dword पढ़ता है
0x222834 - निर्दिष्ट PCI कॉन्फ़िगरेशन रजिस्टर को एक बाइट लिखता है

ReWriter_read पहले अंतर्निहित RwDrv.sys कर्नेल RwDrv.sys साथ एक सेवा बनाता है और UEFI / BIOS कॉन्फ़िगरेशन जानकारी लिखता है, BIOS प्रबंधन रजिस्टर (BIOS_CNTL): BIOS लॉक इनेबल (BLE), BIOS राइट इनेबल (BIOSWE) और SMM BIOS में शामिल तीन फ़ील्ड के संबंधित मान। डिसेबल डिसेबल (SMM_BWP) लिखें। यद्यपि ReWrite_read इन मानों का उपयोग नहीं करता है, लेकिन निम्नलिखित अनुभागों में हम बताएंगे कि ये फ़ील्ड इस उपकरण के लिए क्यों रुचि रखते हैं।

उपकरण का अगला कार्य एसपीआई और उसके आकार में BIOS मेमोरी क्षेत्र का आधार पता प्राप्त करना है। यह जानकारी मुख्य SPI इंटरफ़ेस के रजिस्टर में BIOS फ़्लैश प्राथमिक क्षेत्र के रूप में निहित है। सभी रजिस्टरों को रूट कॉम्प्लेक्स रजिस्टर ब्लॉक (आरसीआरबी) में मेमोरी में प्रदर्शित किया जाता है, जिसका आधार पता वांछित पीसीआई कॉन्फ़िगरेशन रजिस्टर को पढ़कर प्राप्त किया जा सकता है। ReWriter_read को RwDrv IOCTL 0x22840 का उपयोग करके और सही इंडेंट (हमारे मामले में, 0xF0) पढ़कर यह पता मिलता है। जैसे ही BIOS क्षेत्र का आधार पता और उसका आकार ज्ञात होता है, डंप टूल SPI फ्लैश मेमोरी की संबंधित सामग्री को पढ़ता है और इसे डिस्क पर एक फाइल पर लिखता है। एसपीआई फ्लैश मेमोरी पढ़ने की प्रक्रिया को निम्न आकृति में चित्रित किया गया है। संक्षिप्तीकरण की परिभाषाएँ नीचे दी गई शब्दावली में दी गई हैं।


चित्रा 8. एसपीआई फ्लैश मेमोरी से रीडिंग सीक्वेंस

पहले दो चरणों के अलावा, केवल एक बार निष्पादित किए जाने पर, ऑपरेशन एक चक्र में दोहराया जाता है जब तक कि एसपीआई फ्लैश मेमोरी के सभी डेटा को नहीं पढ़ा गया हो। प्रक्रिया भी यहाँ अच्छी तरह से वर्णित है । तब ReWriter_read मर्ज की गई छवि के आकार को मान्य करता है। यह BIOS, गीगाबिट ईथरनेट (GbE) और प्रबंधन इंजन (ME) क्षेत्रों की एक श्रृंखला प्राप्त करने के लिए छवि मेमोरी डिस्क्रिप्टर को पार्स करता है। इन तीन क्षेत्रों के आयामों को जोड़ने से डम्पर उपकरण को फ्लैश एसपीआई की संपूर्ण सामग्री की गणना करने की अनुमति मिलती है। यदि आकार फ्लैश प्राथमिक BIOS रजिस्ट्री क्षेत्र को पढ़ने से प्राप्त आकार से मेल खाता है, तो छवि को सही माना जाता है।

UEFI फर्मवेयर पैच

पहेली का दूसरा भाग ReWriter_binary.exe नामक एक फ़ाइल थी। इस फ़ाइल में सबूत है कि सेडनिट फर्मवेयर को मिला है। फ़ाइल में डाउनलोड किए गए यूईएफआई छवि के पैच को लागू करने और एसपीआई फ्लैश मेमोरी के ट्रोजन संस्करण को वापस लिखने के लिए कोड है। इस खंड में, हम वर्णन करते हैं कि यह बाइनरी फ़ाइल कैसे संरचित है।

फ्लैश मेमोरी की सामग्री को उपरोक्त उपकरण द्वारा अनलोड और सत्यापित करने के बाद, छवि में एक दुर्भावनापूर्ण यूईएफआई मॉड्यूल जोड़ा जाता है। ऐसा करने के लिए, आवश्यक जानकारी को उजागर करने के लिए UEFI छवि का विश्लेषण किया जाना चाहिए।

UEFI छवि में संग्रहीत डेटा फ़ाइल सिस्टम (FFS) के माध्यम से वॉल्यूम में विघटित हो जाता है। जैसा कि नाम से ही स्पष्ट है, यह फर्मवेयर इमेज को स्टोर करने के लिए एक विशेष फाइल सिस्टम है। वॉल्यूम में GUID के साथ फाइलें होती हैं। प्रत्येक फ़ाइल में आमतौर पर कई खंड होते हैं, जिनमें से एक में वास्तविक निष्पादन योग्य PE / COFF होता है, जो एक UEFI छवि है। नीचे यूईएफआईटी से एक स्क्रीनशॉट है, सर्किट की एक सरल समझ के लिए, यूईएफआई फर्मवेयर छवियों के साथ काम करने के लिए एक खुला स्रोत परियोजना है।


चित्र 9. यूईएफआईटी में लोड की गई एक यूईएफआई फर्मवेयर छवि का उदाहरण

ReWriter_binary फ्लैश मेमोरी के BIOS SPI क्षेत्र में पाए जाने वाले सभी फर्मवेयर वॉल्यूम का विश्लेषण करता है और विशिष्ट फ़ाइलों की तलाश करता है:

• IP4Dxe (8f92960f-2880-4659-b857-915a8901bbcc)
• NtfsDxe (768bedfd-7b4b-4c9f-b2ff-6377e337243)
• स्मिफ़लैश (bc327dbd-b982-4f55-9f79-056ad7e987875)
• Dxe कोर

चित्र 10. फ़र्मवेयर वॉल्यूम में हेक्स-रेज डिकंपाइलर का उपयोग करने का परिणाम है

Ip4Dxe और NtfsDxe DXE ड्राइवर हैं। UEFI फर्मवेयर में, DXE ड्राइवर PE / COFF चित्र हैं जो हार्डवेयर एब्स्ट्रेक्शन के लिए या अन्य DXE ड्राइवरों या UEFI अनुप्रयोगों द्वारा उपयोग के लिए सेवाओं के आयोजन के लिए बनाए गए हैं। ऐसे ड्राइवरों को बूट प्रक्रिया में प्रारंभिक चरण में डीएक्सई प्रबंधक (डीएक्सई कर्नेल) के माध्यम से डीएक्सई फाउंडेशन द्वारा पता लगाया और डाउनलोड किया जाता है। इस चरण को पूरा करने के बाद, सभी सेवाएं, जैसे कि ओएस लोडर, यूईएफआई अनुप्रयोगों के साथ काम करने के लिए उपलब्ध हैं। आमतौर पर, DXE ड्राइवरों को एक ही वॉल्यूम में संग्रहीत किया जाता है। हालाँकि, DXE डिस्पैचर अलग हो सकता है।

ReWriter_binary लिए ReWriter_binary खोजें केवल यह पता लगाने के लिए कि किसी दिए गए वॉल्यूम में DXE ड्राइवर हैं। जैसा कि हम बाद में वर्णन करते हैं, यह वॉल्यूम दुर्भावनापूर्ण DXE ड्राइवर स्थापित करने के लिए एक उम्मीदवार बन जाता है। वह डीएक्सई कर्नेल को भी खोजता है और उस वॉल्यूम को जोड़ता है जिसमें वह रूटकिट रिकॉर्ड करने के लिए किसी अन्य उम्मीदवार के रूप में स्थित है। इनमें से प्रत्येक वॉल्यूम में मुक्त उपलब्ध स्थान संग्रहीत है और बाद में एक दुर्भावनापूर्ण ड्राइवर को जोड़ने के लिए पर्याप्तता की जांच करने के लिए उपयोग किया जाता है।

NtfsDxe - AMI NTFS DXE ड्राइवर। यदि यह फर्मवेयर वॉल्यूम में मौजूद है, तो इसका स्थान सहेजा जाता है और बाद में इस फ़ाइल को वॉल्यूम से निकालने के लिए उपयोग किया जाता है। UEFI रूटकिट अनुभाग में, हम देखेंगे कि यह इस फ़ाइल को क्यों हटाता है।

SmiFlash छवि के रूप में, इससे संबंधित जानकारी संग्रहीत है, लेकिन मालवरी में कहीं भी इसका उपयोग नहीं किया जाता है। दिलचस्प है, छवि कमजोर है । इसलिए, हम मानते हैं कि सेडनीट ऑपरेटर इन कमजोरियों का फायदा उठाने के लिए काम कर सकते हैं। यह उन्हें सही ढंग से कॉन्फ़िगर किए गए सिस्टम को SPI फ्लैश मेमोरी में लिखने की अनुमति दे सकता है। जैसा कि हम बाद में बताएंगे, अपने वर्तमान रूप में, टूल केवल गलत तरीके से कॉन्फ़िगर किए गए या काफी पुराने सिस्टम के BIOS क्षेत्र को लिख सकता है (प्लेटफ़ॉर्म कंट्रोलर हब से पुराने चिपसेट के साथ, 2008 के आसपास पेश किया गया)।

आवश्यक मेटाडेटा आवंटित होने के बाद, ReWriter_binary UEFI छवि के डंप को पैच करता है और दुर्भावनापूर्ण DXE ड्राइवर को जोड़ता है। सबसे पहले, यह फ़ाइल हेडर (EFI_FFS_FILE_HEADER) बनाता है। वह तब Ip4Dxe और DXE कर्नेल के स्थान के आधार पर गंतव्य मात्रा का चयन करता है, साथ ही इन संस्करणों पर उपलब्ध मुक्त स्थान भी। ReWriter_binary PE छवि और उपयोगकर्ता इंटरफ़ेस अनुभाग वाले एक संपीड़ित अनुभाग को एम्बेड करता है जो मानव-पठनीय फ़ाइल नाम को परिभाषित करता है: SecDxe। संपीड़ित अनुभाग फ़ाइल हेडर में जोड़ा जाता है और वॉल्यूम के अंत में मुक्त स्थान पर लिखा जाता है। नीचे का आंकड़ा संरचना को दर्शाता है - यूईएफआईटूल में इसका प्रदर्शन।


चित्र 11 UEFITool में SecDxe फ़ाइल देखें

अंत में, अगर छवि में NtfsDxe ड्राइवर मौजूद है, तो इसे हटा दिया जाएगा। फर्मवेयर फाइल सिस्टम फाइलों और उनकी सामग्री को क्रमिक रूप से संग्रहीत करता है, इसलिए यह प्रक्रिया काफी सरल है:

• वॉल्यूम के अंत में एक खाली स्थान पर इंडेंट करें
• NtfsDxe छवि के शीर्ष पर लिखे गए 0xFF बाइट्स
• फर्मवेयर वॉल्यूम का अगला भाग कॉपी किया जाता है, इंडेंटेशन के साथ शुरू होता है जहां NtfsDxe स्थित था
• फ़ाइल सिस्टम का शेष भाग 0xFF बाइट्स से भरा है, अर्थात निःशुल्क स्थान

एसपीआई फ्लैश मेमोरी में पैच फर्मवेयर लिखना

फ़र्मवेयर छवि में सफलतापूर्वक परिवर्तन करने के बाद, अगला चरण इसे एसपीआई फ्लैश मेमोरी में वापस लिखने के लिए है। इस प्रक्रिया में गोता लगाने से पहले, हमें कुछ BIOS लेखन सुरक्षा को चिह्नित करने की आवश्यकता है जो इस मामले में महत्वपूर्ण हैं। अन्य मौजूदा तंत्र, जैसे कि रेंज राइट प्रोटेक्शन BIOS, अलग-थलग रहते हैं क्योंकि ReWriter_binary उन्हें चेक नहीं करता है।

प्लेटफ़ॉर्म BIOS क्षेत्र में लिखने के लिए अनधिकृत प्रयासों को अवरुद्ध करने के लिए कई सुरक्षा तंत्र का उपयोग करता है। मुझे कहना होगा कि ये तंत्र डिफ़ॉल्ट रूप से सक्षम नहीं हैं। फर्मवेयर उनके सही कॉन्फ़िगरेशन के लिए जिम्मेदार है। ये कॉन्फ़िगरेशन BIOS नियंत्रण रजिस्टर (BIOS_CNTL) में प्रस्तुत किए गए हैं। इसमें BIOS राइट इनेबल (BIOSWE) बिट शामिल है, जिसे SPI फ्लैश मेमोरी के BIOS क्षेत्र में लिखने के लिए "1" पर स्विच किया जाना चाहिए। चूंकि प्लेटफ़ॉर्म को BIOS क्षेत्र में लिखने की किसी भी कोशिश की अनुमति नहीं देनी चाहिए, BIOS BIOS की सुरक्षा के लिए BIOS_CNTL में एक और बिट है - यह BIOS लॉक सक्षम (BLE) है। जब यह सेट हो जाता है, तो तंत्र को BIOSWE बिट को ब्लॉक करना चाहिए और "0" के बराबर मूल्य छोड़ना चाहिए। हालांकि, समाधान में एक भेद्यता है। जब अनुरोध BIOSWE बिट को "1" में बदलने के लिए आता है, तो BIOSWE बिट को "1" और उसके बाद ही प्लेटफॉर्म सिस्टम मैनेजमेंट इंटरप्ट (SMI) का उपयोग कर कार्य को बाधित करता है, इस SMI के लिए कोड BIOSWE बिट को वापस "0" में बदल देता है।

समाधान के इस संस्करण में कई समस्याएं हैं।सबसे पहले, SMI प्रोसेसर फर्मवेयर डेवलपर्स के लिए छोड़ दिया जाता है। इसलिए, यदि यह कोड फर्मवेयर में लागू नहीं किया गया है, तो BLE बिट बेकार है, क्योंकि BIOSWE बिट को "0" पर वापस सेट नहीं किया जाएगा। दूसरे, इस मामले में, हमारे पास एक " दौड़ हालत भेद्यता " है जो हमें इस तंत्र को पूरी तरह से दरकिनार करने की अनुमति देती है, भले ही एसएमआई हैंडलर सही तरीके से लागू हो। इस भेद्यता का फायदा उठाने के लिए, एक हमलावर को एक थ्रेड चलाने की आवश्यकता होती है जो लगातार BIOSWE को "1" पर सेट करता है, जबकि एक अन्य थ्रेड को SPI फ़्लैश मेमोरी में डेटा लिखना होगा। कलेनबर्ग और वोज्चुक के काम के अनुसार , यह हमला मल्टी-कोर प्रोसेसर पर काम करता है और हाइपर-थ्रेडिंग तकनीक सक्षम होने के साथ सिंगल-कोर प्रोसेसर पर भी सफलतापूर्वक उपयोग किया जा सकता है।

इस समस्या को हल करने के लिए, BIOS_CNTL के माध्यम से कॉन्फ़िगर किया गया एक नया सुरक्षा तंत्र प्लेटफ़ॉर्म में जोड़ा गया था। इसे इंटेल प्लेटफॉर्म कंट्रोलर हब (पीसीएच) से चिपसेट परिवार में पेश किया गया है। यदि कॉन्फ़िगरेशन बिट सेट है, तो SMM BIOS राइट प्रोटेक्ट डिसेबल (SMM_BWP) केवल BIOS क्षेत्र को लिखने की क्षमता प्रदान करता है, यदि सभी कोर सिस्टम मैनेजमेंट मोड (SMM) में काम करते हैं और BIOSWE "1" पर सेट होता है। यह प्रभावी रूप से ऊपर वर्णित "रेस कंडीशन भेद्यता" से सिस्टम को बचाता है। हालाँकि, जैसा कि BLE के मामले में, SMM_BWP को फर्मवेयर पक्ष से सक्रिय होना चाहिए। इसलिए, फर्मवेयर जिसमें इन तंत्रों को गलत तरीके से कॉन्फ़िगर किया गया है, सिस्टम को BIOS क्षेत्र में अनधिकृत लेखन अधिकार देने के जोखिम में छोड़ देता है।

ReWriter_binaryसही पथ का चयन करने के लिए BIOS नियंत्रण रजिस्टर की सामग्री को पढ़ता है।

वह पहले यह देखने के लिए जांचता है कि क्या BIOSWE सेट है। यदि हां, तो यह रिकॉर्डिंग चरण में जाता है। यदि BIOSWE अक्षम है, तो यह BLE बिट के मूल्य की जांच करता है। यदि यह स्थापित नहीं है, तो यह BIOSWE बिट के मूल्य को बदल देता है और पैच फर्मवेयर को रिकॉर्ड करना शुरू कर देता है। यदि BLE बिट सेट है, तो यह अक्षम स्थिति SMM_BWP की जाँच करता है और ऊपर वर्णित "रेस कंडीशन भेद्यता" को लागू करता है। यदि SMM_BWP बिट सेट है, तो ऑपरेशन विफल हो जाता है। नीचे दिया गया आंकड़ा प्रक्रिया को दिखाता है।


चित्र 12. रिकॉर्डिंग प्रक्रिया के दौरान निर्णय वृक्ष

यह मानते हुए कि ReWriter_binaryयूईएफआई रूटकिट को तैनात करने के लिए विशेष रूप से विश्लेषण की गई फ़ाइल का उपयोग किया गया था , हम यह निष्कर्ष निकाल सकते हैं कि या तो फर्मवेयर गलत तरीके से BIOS लेखन सुरक्षा को कॉन्फ़िगर करता है या पीड़ित मशीन का चिपसेट प्लेटफ़ॉर्म हब से पुराना है।

ReWriter_binaryमैं एक अच्छी तरह से आधुनिक प्रणाली पर यूईएफआई फर्मवेयर को प्रतिस्थापित नहीं कर सका। हालाँकि, जब एक कमजोर SmiFlash UEFI छवि की खोज होती है, तो UEFI फ़र्मवेयर वॉल्यूम पार्स करने से पता चलता है कि हमलावर अधिक उन्नत BIOS राइट-बायपास सुरक्षा तकनीकों के साथ भी काम कर सकते हैं ।

पढ़ने की प्रक्रिया के बहुत ही समान तरीके से, SPI फ़्लैश मेमोरी


में लिखना होता है: चित्र 13. SPI फ़्लैश मेमोरी

में लेखन की अनुक्रम पहले दो चरणों के अलावा, जो केवल एक बार किए जाते हैं, इन ऑपरेशनों को एक चक्र में दोहराया जाता है जब तक कि सभी जानकारी SPI फ़्लैश मेमोरी में नहीं लिखी जाती हैं ।

जब रिकॉर्डिंग प्रक्रिया पूरी हो जाती है, तो एसपीआई फ्लैश मेमोरी की सामग्री फिर से एक फ़ाइल में अनलोड की जाती है image.bin। वही अखंडता जांच जो की गईReWriter_read, एक नई मर्ज की गई छवि पर चलता है। फिर, SPI फ़्लैश मेमोरी से पढ़ी गई छवि की तुलना मेमोरी में पैच की गई छवि से की जाती है।

यदि कोई बाइट्स अलग हैं, तो उनका पता लॉग को लिखा जाता है। मतभेदों की उपस्थिति या अनुपस्थिति मालवेयर की प्रगति को प्रभावित नहीं करती है। यह जानकारी केवल इसलिए दर्ज की जाती है ताकि ऑपरेटर समझ सकें कि क्या हो रहा है।

अंतिम चरण में, रजिस्ट्री कुंजी सेट की जाती है:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\BootExecute = “autocheck autochk *”

फिर, RwDrv सेवा को रोक दिया जाता है और हटा दिया जाता है। यह महत्वपूर्ण है कि इस लाइन का मान विंडोज रजिस्ट्री कुंजी को सौंपा गया है, क्योंकि यूईएफआई रूटकिट इसे बदलने और विंडोज स्टार्टअप के दौरान अपने घटक को निष्पादित करने के लिए वास्तव में इस लाइन की तलाश कर रहा है। हम इस बारे में अधिक विस्तार से बात करेंगे जब हम यूईएफआई रूटकिट और इसके घटकों का वर्णन करते हैं।

LoJax तकनीकी विश्लेषण

SPI फ्लैश मेमोरी में डंपिंग, पैचिंग और राइटिंग के लिए टूल एक विशिष्ट फर्मवेयर इमेज के लिए कस्टमाइज़ किया गया है और इसे किसी भी सिस्टम पर उपयोग नहीं किया जा सकता है। इस मामले में, पूर्ण यूईएफआई मॉड्यूल को प्रतिष्ठित किया जा सकता है। इस मॉड्यूल को प्राप्त करने के बाद हमने पहली चीज टेलीमेट्री डेटा का अध्ययन करने के लिए यह पता लगाने के लिए किया था कि क्या यह पहले देखा गया था। इसमें हमें नए यूईएफआई स्कैनर पर निर्भर रहना पड़ा, जो सिस्टम फर्मवेयर को स्कैन कर सकता है। हमने पाया कि सेडनीट समूह के यूईएफआई मॉड्यूल को सिस्टम में कम से कम एक बार स्थापित किया गया था, जिसका अर्थ है कि यह रूटकिट वास्तव में जंगली में उपयोग किया जाता है।

यह अभी तक स्थापित नहीं है कि दुर्भावनापूर्ण साधनों को समझौता प्रणालियों तक कैसे पहुंचाया गया। सबसे अधिक संभावना है, अन्य कार्यक्रमों का उपयोग इसके लिए किया गया था - उदाहरण के लिए, एक्सएजेंट। डंप और रिकॉर्डिंग उपकरण एक ही प्रणाली में पाए गए थे, लेकिन अलग-अलग समय पर - शायद, ऑपरेटरों ने कई चरणों में काम किया। सबसे पहले, उन्होंने टारगेट मशीन पर फर्मवेयर को अनलोड किया, यह सुनिश्चित किया कि प्रोग्राम को समायोजन करने के लिए उपकरण विफलताओं के बिना काम किया, और फिर इसे फिर से लोड किया और पहले से ही फर्मवेयर को वास्तव में पैच किया। हमें डंप और रिकॉर्डिंग के लिए उपकरण का केवल एक संस्करण मिला, लेकिन एक संभावना है कि अन्य फर्मवेयर कमजोरियों के साथ मौजूद हैं जो उन्हें मिल सकते हैं।

नीचे दिया गया आंकड़ा ओएस बूट तक यूईएफआई रूटकिट के संचालन का अवलोकन प्रदान करता है। सबसे पहले, SecDxe DXE ड्राइवर को DXE प्रबंधक द्वारा लोड किया जाता है। इस तरह, घटना समूह के लिए अधिसूचना फ़ंक्शन कॉन्फ़िगर किया गया है EFI_EVENT_GROUP_READY_TO_BOOT। जब फर्मवेयर बूट डिवाइस को चुनने और बूट लोडर को शुरू करने के लिए तैयार है, तो अधिसूचना फ़ंक्शन कहा जाता है। वह तीन कार्य करती है:

• NTFS विभाजन में पहुँच और लेखन क्षमता प्रदान करने के लिए अंतर्निहित NTFS DXE ड्राइवर को लोड करता है
• NTFS विंडोज विभाजन के लिए दो फाइलें लिखता है: rpcnetp.exe और autoche.exe
• रजिस्ट्री कुंजी 'HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Session Manager \ BootExecute':: से 'ऑटोचेक ऑटोचेक'; के बाद: 'स्वतः खोज *।

चित्रा 14. एक यूईएफआई रूटकिट से संक्रमित प्रणाली की बूट प्रक्रिया

SecDxe: दुर्भावनापूर्ण DXE ड्राइवर

इस खंड में, हम एक समझौता प्रणाली में होने वाली घटनाओं के अनुक्रम को प्रकट करेंगे। हम रूटकिट के विवरण के साथ शुरू करते हैं, और फिर घटनाओं की श्रृंखला का पालन करते हैं जब तक कि अंतिम घटक ऑपरेटिंग सिस्टम के स्तर पर तैनात नहीं किए जाते हैं।

सेडनीट का UEFI रूटकिट एक GUID वाला DXE ड्राइवर है 682894B5-6B70-4EBA-9E90-A607E5676297।

यह हस्ताक्षरित नहीं है, इसलिए इसे सिक्योर बूट प्रोटेक्शन सक्षम करने वाली प्रणाली पर नहीं चलाया जा सकता है। फर्मवेयर संस्करणों में से एक को तैनात करने के बाद, डीएक्सई फाउंडेशन इसे हर बार सिस्टम शुरू होने पर डाउनलोड करता है।

SecDxe एक छोटा DXE ड्राइवर है जो मूल रूप से दो काम करता है। यह GUID- विशिष्ट प्रोटोकॉल सेट करता है।832d9b4d-d8d5-425f-bd52-5c5afb2c85dcजिसका कभी उपयोग नहीं किया जाता है। फिर यह सूचना फ़ंक्शन से जुड़ी एक घटना बनाता है। अधिसूचना फ़ंक्शन को प्रति समूह सिग्नल पर कॉल करने के लिए कॉन्फ़िगर किया गया है EFI_EVENT_GROUP_READY_TO_BOOT। जब यह बूट करने के लिए डिवाइस का चयन करने के लिए तैयार है, तो इस इवेंट के समूह का संकेत बूट प्रबंधक से आता है।


चित्रा 15. घटना निर्माण प्रक्रिया के माध्यम से गुजरने वाले हेक्स-रे डिकम्पाइलर का परिणाम

अधिसूचना सुविधा UEFI सेडनिट रूटकिट के दुर्भावनापूर्ण व्यवहार का फायदा उठाती है। वह NTFS विंडोज फाइल सिस्टम में कंपोनेंट लिखती है। एक नियम के रूप में, यूईएफआई फर्मवेयर अकेले ईएफआई सिस्टम विभाजन के साथ काम करता है, इसलिए एनटीएफएस चालक आमतौर पर शामिल नहीं होता है। केवल FAT फ़ाइल सिस्टम डाउनलोड के लिए विभाजन के रूप में समर्थित हैं। इसलिए, यूईएफआई फर्मवेयर जरूरी रूप से NTFS ड्राइवरों के साथ नहीं आता है। इस कारण से, SecDxe का अपना अंतर्निहित NTFS ड्राइवर है। यह ड्राइवर पहले बूट करता है और डिस्क डिवाइस से कनेक्ट होता है। यही है, यह EFI_SIMPLE_FILE_SYSTEM_PROTOCOLNTFS विभाजन के साथ डिस्क उपकरणों पर स्थापित होता है, इस प्रकार उन्हें फ़ाइल एक्सेस सहित।

अब जब विंडोज विभाजन के लिए फाइल लिखने के लिए सब कुछ तैयार है, तो SecDxe रीसेट करता है rpcnetp.exeऔर autoche.exe। फिर यह विंडोज के 64-बिट संस्करणों पर rpcnetp.exeस्थापित है %WINDIR%\SysWOW64या%WINDIR%\System3232-बिट संस्करणों पर। A को autoche.exeसेट किया गया है %WINDIR%\SysWOW64। निम्न आंकड़ा इन फ़ाइलों को डिस्क पर लिखने के लिए जिम्मेदार प्रक्रिया को दर्शाता है।


चित्र 16. हेक्स-किरणों के डिकंपाइलर का परिणाम डिस्क पर फाइल लिखने की प्रक्रिया से

गुजरना होता है । तब SecDxe %WINDIR%\System32\config\SYSTEMरजिस्ट्री कुंजियों के एक सेट के बैकअप के साथ एक फ़ाइल खोलता है HKLM\SYSTEM। यह फ़ाइल को तब तक पार्स करता है जब तक वह ढूंढ नहीं लेता है 'autocheck autochk *'और उसके साथ बदल देता 'k'है । नतीजतन, यह बदल जाता है । अगली बार विंडोज बूट, इसके बजाय autoche.exe लॉन्च किया जाएगा ।'autochk''e''HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\ BootExecute''autocheck autoche *'autochk.exe

हैकिंग टीम NTFS ड्राइवर

जैसा कि पहले चर्चा की गई है, NTFS ड्राइवर को SecDxe मॉड्यूल में बनाया गया है। इस बात के पुख्ता सबूत हैं कि सेडनीट ऑपरेटरों ने अपना ड्राइवर नहीं लिखा, लेकिन हैकिंग टीम से एनटीएफएस डीएक्सई ड्राइवर की घोषणा की।
उनका NTFS ड्राइवर ntfs-3G प्रोजेक्ट को कर्नेल के रूप में उपयोग करता है। यह UEFI DXE ड्राइवर के रूप में काम करने के लिए सिर्फ एक आवरण है। हैकिंग टीम ड्राइवर असेंबली INF फ़ाइल स्वयं ntfs-3G प्रोजेक्ट फ़ाइल नामों को सूचीबद्ध करती है। SecDxe NTFS ड्राइवर कोड लाइनें भी इनमें से कई फ़ाइल नामों को सूचीबद्ध करती हैं: यह ध्यान रखना दिलचस्प है कि प्रोजेक्ट पथ वैसा ही है जैसा कि वेक्टर-एडक में पाया गया है, हैकिंग टीम ईएफआई विकास परियोजना। वेक्टर-एडक में एक सबप्रोजेक्ट है

- c:\edk2\NtfsPkg\NtfsDxe\ntfs\inode.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\volume.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\bootsect.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\unistr.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\attrib.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\mft.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\index.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\cache.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\misc.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\dir.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\runlist.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\logfile.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\uefi_io.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\ntfsinternal.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\mst.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\lcnalloc.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\compress.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\bitmap.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\collate.c
- c:\edk2\NtfsPkg\NtfsDxe\ntfs\security.c

NtfsPkgबिल्कुल समान निर्देशिका लेआउट के साथ। Ntfs-3G प्रोजेक्ट सोर्स फाइल्स उसी एड्रेस पथ पर स्थित हैं। और यद्यपि मार्ग स्वयं ही अचूक हैं, हम मानते हैं कि यह मात्र संयोग नहीं है।

हेक्स-रेज डिकंपाइलर के आउटपुट में हमें जो नेटवर्क मिला है, उसके साथ स्रोत कोड की तुलना करने पर, यह स्पष्ट हो जाता है कि यह एक ही परियोजना है। नीचे दिए गए आंकड़े से लिए गए फ़ंक्शन की तुलना का एक उदाहरण दिखाता NtfsDriverBindingStartहै vector-edk/NtfsPkg/NtfsDxe/Ntfs.c। मूल एचटी कोड से टिप्पणियाँ बेहतर धारणा के लिए हटा दी जाती हैं। फ़ंक्शन कॉल का तर्क और अनुक्रम समान हैं। दोनों परियोजनाएं एक लॉक अवस्था को बचाने के लिए एक चर (LockedByMe) का भी उपयोग करती हैं।


चित्र 17. हेक्स-किरणों के उत्पादन पर परिणामों की तुलना NTFS डिकम्पाइलर सेडनीट ड्राइवर (बाएं) और NTFS HT ड्राइवर (दाएं)

उपरोक्त कोड हैकिंग टीम के डेवलपर्स को दिखाता है, जो ओपन सोर्स ntfs-3G में नहीं है। जैसा कि अनुभाग में उल्लेख किया गया है ReWriter_binary, फर्मवेयर फ़ाइल सिस्टम के पार्सिंग के दौरान, निष्पादन योग्य फ़ाइल एएमआई NTFS ड्राइवर को हटाने की कोशिश करती है। हम यह पता लगाना चाहते थे कि इसे इस्तेमाल किए जाने के बजाय क्यों हटाया जा रहा है।

हमने ड्राइवर का विश्लेषण किया और पाया कि यह केवल रीड ऑपरेशन कर सकता है। चूंकि फाइल सिस्टम में लिखना उपलब्ध नहीं है, इसलिए डेवलपर्स इसे अपने उद्देश्यों के लिए उपयोग नहीं कर सकते हैं। यह भी संभावना है कि सेडनीट ऑपरेटरों को इस तथ्य के कारण कठिनाइयों का सामना करना पड़ा कि फर्मवेयर में पहले से ही एक और NTFS ड्राइवर है, इसलिए उन्होंने इसे बस हटाने का फैसला किया। पढ़ने और लिखने की क्षमताओं को लागू करने के अलावा, हैकिंग टीम ड्राइवर फ़ाइल अनुमतियों का सम्मान नहीं करता है। उदाहरण के लिए, यह बिना किसी त्रुटि के रीड-ओनली फ़ाइल को अधिलेखित कर सकता है।

इस बिंदु पर, हमने पहले से ही यूईएफआई रूटकिट द्वारा किए गए विभिन्न सिस्टम समझौता संचालन का वर्णन किया है। हमने उन कारणों पर भी चर्चा की कि सेडनीट ऑपरेटरों ने विंडोज के NTFS विभाजन के लिए फाइल लिखने के लिए अपने NTFS ड्राइवर को विकसित करने के लिए हैकिंग टीम से वेक्टर-एडक सोर्स कोड का उपयोग क्यों किया। बाद में इस पत्र में, हम SecDxe द्वारा वितरित घटकों का विश्लेषण प्रस्तुत करेंगे।

autoche.exe बनाम Autochk.exe

दुर्भावनापूर्ण autoche.exeमिनी-एजेंट की दृढ़ता सुनिश्चित करने के लिए उपयोग किया जाता है rpcnetp.exe। जैसा कि आप निम्नलिखित आंकड़े से देख सकते हैं, यह सेवा बनाने के लिए विंडोज एपीआई के लिए देशी कॉल का उपयोग करता है।


चित्र 18. दुर्भावनापूर्ण ऑटोकहे .exe rpcnetp.exe की दृढ़ता को कॉन्फ़िगर करता है।

यह ध्यान दिया जाना चाहिए कि सेवा का नाम वैसा ही है जैसा कि वैध संगणक एजेंट द्वारा उपयोग किया जाता है। सेवा बनाने के बाद, यह पिछली रजिस्ट्री कुंजी मान को पुनर्स्थापित करता है BootExecute।


चित्र 19. दुर्भावनापूर्ण autoche.exe, BootExecute रजिस्ट्री कुंजी के मूल मान को पुनर्स्थापित करता है।

चूंकि Windows स्टार्टअप के दौरान यह प्रक्रिया होती है, इसलिए उपयोगकर्ता को मुख्य मूल्य में परिवर्तन की सूचना नहीं है।BootExecute। यह ध्यान दिया जाना चाहिए कि ऑटोकहे में। Exe संगणना में autochk.exe मॉड्यूल के साथ कुछ समानताएं ध्यान देने योग्य हैं, उदाहरण के लिए, लागू एपीआई कॉल और सेवाओं का पंजीकरण, लेकिन बाकी बिल्कुल अलग है। Computrace मॉड्यूल बड़ा है, और यह autochk.exeरजिस्ट्री कुंजी को बदलने के बजाय मूल निष्पादन योग्य को पुनर्स्थापित करता है । वह मिनी-एजेंट को डिस्क पर तैनात करने के लिए भी जिम्मेदार है, जबकि LoJax UEFI रूटकिट के साथ ऐसा करता है।

rpcnetp.exe

जबकि मिनी-एजेंट rpcnetp.exeको यूईएफआई रूटकिट द्वारा कार्यान्वित किया जा सकता है, यह संभावना है कि ज्यादातर मामलों में जब हमें लोजैक का एक ट्रोजन संस्करण मिला, मिनी-एजेंट ने इस घटक का उपयोग नहीं किया। यह संभावना है कि वे अवसरवादी विचारों से आगे बढ़े और यूईएफआई रूटकिट को केवल तभी स्थापित किया जब उनके पास ऐसा अवसर था, और संगठनों में उनके लिए सबसे दिलचस्प था।

जांच के दौरान, हमने लोजैक्स मिनी-एजेंट के विभिन्न संस्करणों की खोज की। समझौता के संकेतकों की सूची उनके हैश और संबंधित डोमेन / आईपी पते को दिखाती है। जैसा कि हमने पहले ही कहा था, सभी नमूने 2008 में संकलित उसी पुराने Computrace एजेंट के एक ट्रोजन संस्करण थे।

हमने कभी भी LoJax एजेंट डाउनलोड और अतिरिक्त मॉड्यूल स्थापित नहीं देखा है, लेकिन हम जानते हैं कि ऐसी कार्यक्षमता मौजूद है। चूंकि LoJax के सबसे अच्छे गुण चुपके और दृढ़ता हैं, इसलिए इसका उपयोग निश्चित रूप से प्रमुख संसाधनों तक पहुंच प्रदान करने के लिए किया जा सकता है।

हमले की रोकथाम और वसूली

एक हमले को रोकने के लिए, कई सक्रिय घटकों से मिलकर एक जटिल पारिस्थितिकी तंत्र की आवश्यकता होती है। पहला सुरक्षा तंत्र जो इस तरह के हमले को रोक सकता है वह है सिक्योर बूट। जब सुरक्षित बूट सक्षम किया जाता है, तो फर्मवेयर के अनुरोध पर डाउनलोड किए गए फर्मवेयर के प्रत्येक घटक को सही ढंग से हस्ताक्षरित किया जाना चाहिए, इस प्रकार इसकी अखंडता को सुनिश्चित करना। हम अनुशंसा करते हैं कि आप सुरक्षित बूट फ़ंक्शन को सक्षम करें , यह UEFI फर्मवेयर पर हमलों के खिलाफ बुनियादी सुरक्षा है।

सॉफ्टवेयर के साथ के रूप में, यूईएफआई फर्मवेयर को हमेशा समय पर अद्यतन किया जाना चाहिए। यह सुनिश्चित करने के लिए कि आपके पास नवीनतम उपलब्ध संस्करण है, मदरबोर्ड निर्माता की वेबसाइट पर जाएं।

आपको यह भी सुनिश्चित करना चाहिए कि आपके सभी सिस्टम प्लेटफ़ॉर्म कंट्रोलर हब (इंटेल सीरीज़ 5 चिपसेट और उससे आगे की शुरुआत के साथ) के साथ आधुनिक चिपसेट से लैस हैं। यह सुनिश्चित करेगा कि सुरक्षा तंत्र "दौड़ की स्थिति भेद्यता" के खिलाफ काम करे, जैसा कि हमने संकेत किया था , मंच में मौजूद है।

फर्मवेयर सुरक्षा का एक और हिस्सा UEFI / BIOS विक्रेताओं के हाथों में है। प्लेटफ़ॉर्म द्वारा प्रदान किए गए सुरक्षा तंत्र को सिस्टम फर्मवेयर द्वारा सही ढंग से कॉन्फ़िगर किया जाना चाहिए ताकि वास्तव में इसकी सुरक्षा सुनिश्चित हो सके। इसलिए, फर्मवेयर को शुरू में सुरक्षा उपायों की समझ के साथ बनाया जाना चाहिए। सौभाग्य से, अधिक से अधिक सुरक्षा शोधकर्ता फर्मवेयर की सुरक्षा पर ध्यान दे रहे हैं, विक्रेताओं का ध्यान आकर्षित कर रहे हैं। इसके अलावा उल्लेख के लायक है CHIPSEC, एक खुला स्रोत ढांचा, जो यह निर्धारित करने के लिए एक निम्न-स्तरीय सुरक्षा मूल्यांकन करता है कि क्या प्लेटफ़ॉर्म सही तरीके से कॉन्फ़िगर किया गया है।

यूईएफआई फर्मवेयर के माध्यम से समझौता करने के परिणामों को खत्म करना एक मुश्किल काम है। इस तरह के खतरों से सिस्टम को साफ करने के लिए कोई आसान तरीके नहीं हैं, और कोई विशेष सुरक्षा उत्पाद नहीं हैं जो सब कुछ ठीक कर सकते हैं। यहां वर्णित मामले में, रूटकिट को हटाने के लिए, एसपीआई फ्लैश मेमोरी को फिर से चालू करना आवश्यक है। यह एक गैर-तुच्छ कार्य है, यह औसत उपयोगकर्ता के लिए उपयुक्त नहीं है। यूईएफआई फर्मवेयर को अपडेट करने से रूटकिट को हटाया जा सकता है अगर फ्लैश मेमोरी के पूरे एसपीआई क्षेत्र को फिर से लिखा जाए। यदि यूईएफआई चमकती संभव नहीं है, तो संक्रमित सिस्टम के मदरबोर्ड को बदलने का एकमात्र समाधान है।

निष्कर्ष

ओएस को पुन: स्थापित करने और हार्ड ड्राइव को बदलने और साथ ही पता लगाने और हटाने की असाधारण कठिनाई के कारण यूईएफआई रूटकिट साइबर क्राइम के सबसे खतरनाक और शक्तिशाली उपकरणों में से एक है। यद्यपि सिस्टम की यूईएफआई छवि को बदलना मुश्किल है, कुछ समाधान आपको यूईएफआई मॉड्यूल को स्कैन करने और उनमें से दुर्भावनापूर्ण लोगों की पहचान करने की अनुमति देते हैं। इसके अलावा, यूईएफआई फर्मवेयर की सफाई का अर्थ है इसे चमकाना, जो कि एक सामान्य ऑपरेशन नहीं है जो एक सामान्य उपयोगकर्ता प्रदर्शन करने में सक्षम नहीं होगा। ये लाभ बताते हैं कि असीमित संसाधनों वाले साइबर समूह यूईएफआई प्रणालियों पर हमला क्यों करते रहेंगे।

इस कार्य के बारे में किसी भी प्रश्न के लिए, कृपया infointel@eset.com पर संपर्क करें।

हम उन लोगों के प्रति अपना आभार व्यक्त करना चाहते हैं, जो Openecuritytraining.info प्रोजेक्ट पर काम कर रहे हैं। कोर्सBIOS और SMM का परिचय वास्तव में हमारी मदद करता है जब हमने SPI फ्लैश चिप के साथ बातचीत का विश्लेषण किया।

शब्दकोष

संक्षिप्त विवरण के अधिक विस्तृत विवरण के लिए इंटेल विनिर्देश देखें ।
- BIOS_CNTL: BIOS नियंत्रण रजिस्टर
- BIOSWE: BIOS लिखो सक्षम
- BLE: BIOS लॉक सक्षम
- FADDR: फ़्लैश पता
- FDATAX: फ़्लैश डेटा FDATA0 से FDATAN तक
- FDBC: फ्लैश डेटा
बाइपास काउंट - FGO: फ्लैश साइकिल गो
- HSFC: हार्डवेयर सीक्वेंसिंग फ़्लैश नियंत्रण
- एचएसएफएस: हार्डवेयर सीक्वेंसिंग फ्लैश स्थिति - आईओसीटीएल:
इनपुट / आउटपुट कंट्रोल
-
पीसीएच : प्लेटफ़ॉर्म कंट्रोलर हब - आरसीबीए: रूट कॉम्प्लेक्स बेस एड्रेस रजिस्टर
- आरसीआरबी: रूट कॉम्प्लेक्स रजिस्टर ब्लॉक
- एससीआईपी: प्रगति में एसपीआई चक्र - एसएमआई
: सिस्टम प्रबंधन इंटरप्ट
- SMM: सिस्टम मैनेजमेंट मोड
- SMM_BWP: SMM BIOS डिसेबल्ड डिसेबल
- SPI: सीरियल पेरिफेरल इंटरफेस लिखें

संकेतक से समझौता करें

ReWriter_read.exe

डिटेक्शन ESET
Win32/SPIFlash.A
SHA-1
ea728abe26bac161e110970051e1561fd51db93b

ReWriter_binary.exe

डिटेक्शन ESET
Win32/SPIFlash.A
SHA-1
cc217342373967d1916cb20eca5ccb29caaf7c1b

SecDxe

डिटेक्शन ESET
EFI/LoJax.A
SHA-1
f2be778971ad9df2082a266bd04ab657bd287413

info_efi.exe

डिटेक्शन ESET
Win32/Agent.ZXZ
SHA-1
4b9e71615b37aea1eaeb5b1cfa0eee048118ff72

autoche.exe

डिटेक्शन ESET
Win32/LoJax.A
SHA-1
700d7e763f59e706b4f05c69911319690f85432e

EXE मिनी एजेंट

डिटेक्शन ESET SHA-1
Win32/Agent.ZQE
Win32/Agent.ZTU

1771e435ba25f9cdfa77168899490d87681f2029
ddaa06a4021baf980a08caea899f2904609410b9
10d571d66d3ab7b9ddf6a850cb9b8e38b07623c0
2529f6eda28d54490119d2123d22da56783c704f
e923ac79046ffa06f67d3f4c567e84a82dd7ff1b
8e138eecea8e9937a83bffe100d842d6381b6bb1
ef860dca7d7c928b68c4218007fb9069c6e654e9
e8f07caafb23eff83020406c21645d8ed0005ca6
09d2e2c26247a4a908952fee36b56b360561984f
f90ccf57e75923812c2c1da9f56166b36d1482be

कमांड सर्वर डोमेन नाम

secao[.]org
ikmtrust[.]com
sysanalyticweb[.]com
lxwo[.]org
jflynci[.]com
remotepx[.]net
rdsnets[.]com
rpcnetconnect[.]com
webstp[.]com
elaxo[.]org

कमांड सर्वर आईपी एड्रेस

185.77.129[.]106
185.144.82[.]239
93.113.131[.]103
185.86.149[.]54
185.86.151[.]104
103.41.177[.]43
185.86.148[.]184
185.94.191[.]65
86.106.131[.]54

डीएलएल मिनी एजेंट

ESET
Win32/Agent.ZQE
SHA-1 डिटेक्शन
397d97e278110a48bd2cb11bb5632b99a9100dbd
कमांड सर्वर डोमेन नेम कमांड सर्वर
elaxo.org
आईपी ​​एड्रेस
86.106.131[.]54