Phần mềm độc hại BlackLotus

Một mối đe dọa phần mềm độc hại mà các nhà nghiên cứu an ninh mạng đang mô tả là 'gần như không thể phát hiện được' đã được xác nhận là được rao bán trên các diễn đàn hacker. Được theo dõi là BlackLotus, phần mềm độc hại này có thể lây nhiễm sang các cấp cơ bản nhất của máy tính và trở nên cực kỳ khó loại bỏ. Trên thực tế, khả năng của nó đã đặt nó ngang hàng với các công cụ đe dọa được quan sát như một phần của kho vũ khí của các nhóm hack và APT do nhà nước tài trợ (Mối đe dọa liên tục nâng cao). Rõ ràng, những tội phạm mạng quan tâm có thể có được giấy phép từ những người tạo ra mối đe dọa với giá 5000 đô la.

Nhiễm trùng ở trạng thái khởi động thấp nhất

BlackLotus được mô tả như một bộ khởi động UEFI (Giao diện chương trình cơ sở mở rộng hợp nhất). UEFI là một thông số kỹ thuật được sử dụng rộng rãi, mô tả phần mềm dành riêng để hỗ trợ giao tiếp giữa OS (hệ điều hành) và phần sụn. Đổi lại, phần sụn là phần mềm cung cấp khả năng kiểm soát mức thấp đối với các thành phần phần cứng của hệ thống. UEFI đã thay thế phần sụn khởi động BIOS (Hệ thống Đầu vào / Đầu ra Cơ bản) kế thừa. Tóm lại, UEFI là một trong những thứ đầu tiên khởi động khi máy tính được bật và trước khi khởi động nhân và hệ điều hành. Theo người bán, các tính năng đe dọa của Phần mềm độc hại BlackLotus bao gồm bỏ qua Khởi động an toàn, bảo vệ RingO / Kernel chống lại việc bị xóa và khả năng khởi động ở Chế độ an toàn.

Thậm chí nhiều tính năng đe dọa hơn

Tuy nhiên, BlackLotus, rõ ràng, cũng được trang bị các tính năng chống VM, chống gỡ lỗi và làm mờ mã để ngăn chặn bất kỳ nỗ lực phân tích tiềm năng nào. Nhà phát triển của mối đe dọa nói rằng BlackLotus hoàn toàn không thể bị phát hiện bởi các giải pháp bảo mật chống phần mềm độc hại vì nó đang chạy ẩn trong một quy trình hợp pháp dưới tài khoản SYSTEM của thiết bị bị vi phạm. Những kẻ tấn công cũng có thể sử dụng mối đe dọa để vô hiệu hóa một số biện pháp bảo vệ an ninh được tích hợp sẵn trong Windows, chẳng hạn như HVCI (Hypervisor-Protected Code Integrity), UAC (User Account Control) và thậm chí là Microsoft Defender (trước đây được gọi là Windows Defender).

Đối phó với BlackLotus bằng cách thêm nó vào khả năng thu hồi UEFI cũng sẽ không cung cấp bất kỳ kết quả có ý nghĩa nào, vì lỗ hổng được khai thác có thể được tìm thấy trong hàng trăm bộ tải khởi động hiện vẫn đang được sử dụng.