ESPecter
Показател за заплахи
EnigmaSoft Threat Scorecard
EnigmaSoft Threat Scorecards са доклади за оценка на различни заплахи от зловреден софтуер, които са събрани и анализирани от нашия изследователски екип. EnigmaSoft Threat Scorecards оценява и класира заплахите, като използва няколко показателя, включително реални и потенциални рискови фактори, тенденции, честота, разпространение и устойчивост. EnigmaSoft Threat Scorecards се актуализират редовно въз основа на нашите изследователски данни и показатели и са полезни за широк кръг компютърни потребители, от крайни потребители, търсещи решения за премахване на зловреден софтуер от техните системи, до експерти по сигурността, анализиращи заплахи.
EnigmaSoft Threat Scorecards показва разнообразна полезна информация, включително:
Popularity Rank: The ranking of a particular threat in EnigmaSoft’s Threat Database.
Ниво на сериозност: Определеното ниво на сериозност на обект, представено числено, въз основа на нашия процес на моделиране на риска и изследване, както е обяснено в нашите критерии за оценка на заплахите .
Заразени компютри: Броят на потвърдените и предполагаеми случаи на определена заплаха, открити на заразени компютри, както се съобщава от SpyHunter.
Вижте също Критерии за оценка на заплахите .
| Ниво на заплаха: | 100 % (Високо) |
| Заразени компютри: | 1 |
| Първо видяно: | October 8, 2021 |
| Последно видян: | October 8, 2021 |
| Засегнати операционни системи: | Windows |
Заплаха от злонамерен софтуер, която потенциално е успявала да избегне откриването в продължение на почти десетилетие, най-накрая е уловена от изследователите на infosec. Открита от експерти по киберсигурност, заплахата, наречена ESPecter, е буткит, предназначен да зарежда неподписани драйвери към ESP (EFI System Partition) устройство на заразените системи.
Изследователите проследиха произхода на заплахата поне до 2012 г. През този значителен период най-драстичната промяна, претърпяна от зловредния софтуер, е преминаването от насочване от наследени BIOS и Master Boot Record към техния наследник UEFI. Unified Extensible Firmware Interface или UEFI е важен компонент, който свързва фърмуера на машината с операционната система.
Досега ESPecter не е приписван на конкретен участник в заплахата поради липса на достатъчно доказателства. Някои признаци, открити в компонентите на заплахата, като съобщенията за отстраняване на грешки, предполагат, че създателите й са хора, говорещи китайски. Методът на разпространение, използван при доставката на ESPecter, също е неизвестен в момента. Заплахата може да използва уязвимост на UEFI с нулев ден, известна, но все още непоправена грешка или може да има физически достъп до целевите машини.
Технически подробности
ESPecter се поставя в ESP и установява неговата устойчивост чрез корекция, приложена към Windows Boot Manager. Освен това, корекцията предоставя на ESPecter възможността напълно да заобиколи протоколите за прилагане на подписа на драйвери на Windows (DSE) и да зареди свои собствени неподписани драйвери на компрометираната машина. Заплахата също може да инжектира допълнителни опасни компоненти за установяване на връзка със сървъра за командване и управление (C2, C&C) на нападателя.
Изследователите откриха модули за кейлогиране и кражба на файлове в системите, заразени с ESPecter, което показва, че основната цел на заплахата може да бъде кибершпионаж и наблюдение на избраните цели. Всъщност ESPecter също така е оборудван с функционалността да прави произволни екранни снимки и да ги съхранява в скрита директория, заедно със събраните ключови регистрационни файлове и документи.
Въпреки това, за да изпълнява своите заплашителни дейности, ESPecter се нуждае от функцията Secure Boot на системата да бъде деактивирана. Secure Boot беше представен за първи път като функция на Windows с пускането на Windows 8, така че всички по-ранни версии на операционната система автоматично стават податливи на ESPecter атака. Използването на по-нова версия на Windows обаче не е достатъчно. През последните няколко години се появиха множество уязвимости във фърмуера на UEFI, които позволяват на нападателите да деактивират или направо да заобиколят Secure Boot.
