Niektóre płyty główne z chipsetem Intel H81 mogą być zainfekowane rootkitem CosmicStrand

Naukowcy z firmy Kaspersky odkryli nowy wariant rootkita UEFI, który istnieje od co najmniej 2016 roku. Złośliwe oprogramowanie nosi nazwę CosmicStrand i zostało znalezione tylko na komputerach wyposażonych w płyty główne z chipsetem Intel H81. Póki co nie ma pewności w jaki sposób hakerzy mogli osiągać swoje cele, jednak cała sprawa budzi spore emocje, bowiem mowa tu nie o nowych, lecz o kilkuletnich platformach dla chipów Intel Haswell.

CosmicStrand jest nie tylko trudny do wykrycia, ale także trudny do usunięcia - zaczyna on działać jeszcze przed uruchomieniem systemu i jego zabezpieczeń, więc zwykły format dysku w tym przypadku nic nie daje.

Pierwszy w historii rootkit UEFI znaleziony przez specjalistów

Nowo odkryty rootkit CosmicStrand i ma długi, złożony łańcuch wykonawczy, który inicjuje proces uruchamiania systemu operacyjnego. Celem jest jednak dostęp do jądra systemu Windows i usunięcie jego zabezpieczeń, pozostając przy tym w ukryciu. Rootkit ma niewielki rozmiar (<100 kB) i został wykryty w niektórych firmware'ach UEFI płyt głównych z chipsetem H81 od producentów ASUS i GIGABYTE. Tego typu wirusy uchodzą za rzadko spotykane - jeśli już są stosowane, to raczej przeciwko dużym firmom lub konkretnym osobom. Wcześniejsze wersje szkodliwego kodu z tej rodziny szkodliwego wykryli badacze z Qihoo360 w Chinach przed pięcioma laty.

Kaspersky Lab trafia na amerykańską czarną listę. Federalna Komisja Łączności widzi zagrożenie bezpieczeństwa narodowego

Warto podkreślić, że CosmicStrand jest nie tylko trudny do wykrycia, ale także trudny do usunięcia - zaczyna on działać jeszcze przed uruchomieniem systemu i jego zabezpieczeń, więc zwykły format dysku w tym przypadku nic nie daje. Firma Kaspersky nie określiła liczby ofiar zaatakowanych przez rootkit CosmicStrand, ale wiemy że wszystkie te osoby wydają się być przypadkowymi osobami prywatnymi i znajdują się w Chinach, Iranie, Wietnamie i Rosji. Nie ma więc powodu do paniki, jednak zainteresowanych odsyłamy do tego raportu, który powinien dać odpowiedzi na wszystkie pytania.