据安全研究人员声称，俄罗斯网络间谍组织Fancy Bear是第一个在恶意攻击中使用统一可扩展固件接口（UEFI）rootkit的威胁演员。

Lojack以前称为Computrace，是一种合法的笔记本电脑恢复解决方案，供寻求保护资产丢失或被盗的公司使用。它可用于远程定位和锁定设备，以及删除文件。Lojack代表了一个伟大的双重代理，因为它通常被认为是合法软件，但也允许远程代码执行。

几年前，据称，意大利的监控软件制造商Hacking Team使用UEFI rootkit来确保其软件在目标系统上的持久性，但安全公司称，没有任何UEFI rootkit“在野外被发现”。

然而，最近发现的Fancy Bear活动改变了：演员能够在受害者的系统上成功部署恶意UEFI模块。ESET表示，这不仅证明UEFI rootkit是真正的威胁，而且还表明Fancy Bear可能比想象的更危险。

在过去十五年中活跃的演员，也被称为APT28，Strontium，Sofacy和Sednit，据信已经策划了各种高调的攻击，例如在2016年美国选举之前的DNC黑客攻击。

今年早些时候，在感染了Turla的蚊子后门的系统上发现该组织的Zerbrocy恶意软件后，安全研究人员得出结论，威胁行为者的活动与其他国家赞助的行动重叠。

LoJax UEFI Rootkit如何工作？

根据调查已经确定这个恶意行为者在将恶意UEFI模块写入系统的SPI闪存时至少成功了一次。此模块能够在引导过程中删除并执行磁盘上的恶意软件。这种持久性方法特别具有侵入性，因为它不仅可以在重新安装操作系统后继续使用，而且还可以替换硬盘。这是一份报告中的表示。

5月，Fancy Bear被发现在他们的攻击中滥用了LoJack（该工具的特洛伊木马版本，ESET称之为LoJax）。对活动的深入分析不仅揭示了演员试图模仿该工具的持久性方法，而且还使用了其他工具来访问和修改UEFI/BIOS设置。

这些包括内核驱动程序和三个工具：

（1）转储有关低级系统设置的信息；

（2）保存系统固件的映像；

（3）将恶意UEFI模块添加到映像。然后，第三个工具将修改后的固件映像写回SPI闪存，从而有效地在系统上安装UEFI rootkit。

如果平台允许对SPI闪存进行写操作，它将继续写入。如果没有，它实际上实现了对已知漏洞的攻击。

UEFI rootkit旨在将恶意软件丢弃到Windows操作系统分区上，并确保它在启动时执行。

观察到的LoJax样本使用了先前与Fancy Bear的SedUploader第一阶段后门相关联的命令和控制（C＆C）服务器，结合了受LoJax感染的计算机上的其他Sednit工具（SedUploader，XAgent后门和Xtunnel网络代理工具），暗示这个威胁演员是在攻击背后。

如何保护您的计算机免受Rootkit的侵害

1）正如安全研究人员所说，没有简单的方法可以自动从系统中删除此威胁。

2）由于UEFI rootkit未正确签名，因此用户可以通过启用安全启动机制来保护自己免受LoJax感染，从而确保系统固件加载的每个组件都使用有效证书进行了正确签名。

3）如果您已经感染了此类恶意软件，则删除rootkit的唯一方法是使用特定于主板的干净固件映像重新刷新SPI闪存，这是一个非常精细的过程，必须手动并仔细执行。

4）替换重新刷新UEFI/BIOS，您可以直接更换受损系统的主板。

总结

LoJax活动表明，高价值目标是部署罕见甚至是独特威胁的主要候选人，而且这些目标应始终关注妥协的迹象。此外，这项研究告诉我们的一件事是，尽可能深入挖掘是非常重要的！