Poznati špijunski softver FinFisher sada ima novu taktiku za infekciju Windows sistema

Vesti, 29.09.2021, 12:30 PM

Komercijalni softver za nadzor FinFisher, poznat i kao FinSpy ili Wingbird, nadograđen je da inficira Windows uređaje UEFI (Unified Extensible Firmware Interface) bootkitom koristeći trojanizovani Windows Boot Manager.

FinFisher koji je otkriven 2011. godine, je set špijunskih alata za Windows, macOS i Linux koji je razvila britansko-nemačka firma Gamma International, koji se isporučuje policijskim i obaveštajnim agencijama.

FinFisher je dizajniran za prikupljanje korisničkih akreditiva, spiskova fajlova i izbrisanih fajlova, osetljivih dokumenata, snimanje pritiska na tastere, izvlačenje e-mailova iz Thunderbirda, Outlooka, Apple Maila i Icedovea, presretanje Skype kontakata, ćaskanja, poziva i poslatih fajlova i snimanje zvuka i videa pomoću mikrofona i veb kamere uređaja.

Dok je FinFisher ranije bio ubacivan na uređaje preko lažnih instalacionih fajlova legitimnih aplikacija, kao što su TeamViewer, VLC i WinRAR, u kojima je bio sakriven downloader, kasnija ažuriranja 2014. godine omogućila su infekcije putem Master Boot Record (MBR) bootkitova sa ciljem ubacivanja loadera tako da špijunski softver promakne antivirusnom softveru.

Najnovija funkcija koja je dodata je mogućnost primene UEFI bootkita za učitavanje FinFishera, a novi uzorci koje je analizirao Kaspersky pokazuju da je Windows UEFI boot loader zamenjen zlonamernom varijantom, kao i da su primenjene druge metode koje treba da spreče otkrivanje i uspore reverzni inženjering i analizu.

“Ovakav način infekcije omogućio je napadačima da instaliraju bootkit bez potrebe za zaobilaženjem bezbednosnih provera firmwarea”, zaključak je Globalnog tima za istraživanje i analizu (GReAT) kompanije Kaspersky nakon osmomesečne istrage, koji je podsetio da su “UEFI infekcije veoma retke i da ih je generalno teško izvesti”.

UEFI je interfejs firmwarea i poboljšanje u odnosu na stariji BIOS, koji osigurava integritet operativnog sistema kako bi se sprečilo da zlonamerni softver ometa proces pokretanja. Ali pošto UEFI olakšava učitavanje samog operativnog sistema, bootkit infekcije nisu samo otporne na ponovnu instalaciju OS-a ili zamenu hard diska, već su i neupadljive za bezbednosna rešenja koja rade u okviru operativnog sistema.

Ovo omogućava napadačima da kontrolišu proces pokretanja i zaobiđu sve bezbednosne odbrane. "Iako u ovom slučaju napadači nisu inficirali sam UEFI firmware, već u njegovoj sledećoj fazi pokretanja, napad je bio prikriven, jer je zlonamerni modul instaliran na zasebnoj particiji i mogao je da kontroliše proces pokretanja zaražene mašine", rekli su istraživači.