Французская ИБ-компания Toucan System представила на конференции Defcon концепт аппаратного бэкдора Rakshasa, способного подменить собой BIOS компьютера и скомпрометировать операционную систему во время ее загрузки без каких-либо следов на жестком диске компьютера. Rakshasa - это не первый образец вредоносного программного обеспечения, атакующего BIOS компьютера на уровне системной прошивки материнской плат. Однако в отличие от ранее созданных вредоносов, новинка использует ряд новых трюков, затрудняющих ее детектирование и удаление. Rakshasa заменяет собой BIOS на материнской плате и фактически берет на себя системную инициализацию аппаратных компонентов компьютера. Базируется Rakshasa на открытом программном обеспечении и заменяет родную версию BIOS компьютера экзотической комбинацией открытых реализация BIOS Coreboot и SeaBIOS, что позволяет ему работать на различных материнских платах от разных производителей, он также переписывает компоненты iPXE, ответственные за сетевую загрузку компьютера или сервера (располагается в некоторых моделях сетевых карт). Эксперты Toucan System утверждают, что при модификации любой из этих прошивок любые антивирусы, работающие на уровне операционной системы, ничего не заподозрят и вредоносный код избежит обнаружения, при этом, сам вредоносный код без проблем сможет перехватывать данные, слушать целевой трафик и проводить другие операции. За счет использования кодов Coreboot авторы кода даже могут создать модифицированный приветственный экран, чтобы пользователь также ничего не заподозрил при включении компьютера. "При модификации всех этих компонентов современные компьютеры не выдают никаких предупреждений или оповещений со стороны системы, что позволяет Rakshasa совершенно незаметно проникать в систему и подменять почти любые прошивки компонентов. Большинство современных системных прошивок созданы по единому подходу, что позволяет нам писать стандартизированный компонент для всех узлов", - заявили в Toucan System. Многие современные материнские платы имеют два блока хранения BIOS и иных управляющих систем. Rakshasa может заразить один, тогда как во втором сохранится оригинальная версия. Технически, пользователь должен понимать что такое BIOS и как происходит его обновление, чтобы восстановить оригинальный BIOS, поэтому для большинства пользователей заражение Rakshasa фактически означает безвозвратную потерю BIOS. В будущем Toucan System намерена развивать концепцию Rakshasa, чтобы концептуальный код получил возможность удаленного сетевого обновления, работы через HTTPS и FTP.
Источник