بدافزار BlackX از نوع بوت کیت است و Secure Boot ویندوز را به راحتی دور می زند. Secure Boot قابلیتی امنیتی است که موقع روشن شدن سیستم، جلوی اجرای مؤلفه های نامعتبر را می گیرد.
منظور از مؤلفه نامعتبر هم فایل هایی است که به خاطر ضعف امنیتی یا باطل شدن گواهی شان نباید اجازه اجرا پیدا کنند. BlackX از همین سد رد می شود. حتی روی سیستم هایی که به روزرسانی امنیتی دارند. فقط یک شرط لازم است: فهرست گواهی ها و مؤلفه های لغو شده بروز نشده باشد.
کسپرسکی می گوید BlackX احتمالاً نسخه تازه شده BlackLotus است. هر دو از آسیب پذیری CVE-2022-21894 استفاده می کنند و پیش از بالا آمدن ویندوز کد مخرب اجرا می کنن. مایکروسافت برای این ضعف پچ داده.
اما همین پچ کافی نیست. سازمان ها باید چند کار دستی دیگر هم بکنند تا مؤلفه های آسیب پذیر مسدود شوند، و مهاجم دقیقاً روی همین کار نکردن حساب باز کرده. من فکر می کنم خطر اصلی ماجرا همین جاست، نه خود بدافزار. سیستم پچ شده هم ممکن است هنوز در معرض حمله باشد.
حمله چطور پیش می رود؟ اول مهاجم وارد شبکه قربانی می شود و دسترسی مدیر سیستم می گیرد. بعد دو فایل برای نصب BlackX روی سیستم می گذارد.
این فایل ها اجزای ویندوز و UEFI را تغییر می دهند، بارگذاری فایل های مخرب ممکن می شود و Secure Boot عملاً از کار می افتد. کد منبع BlackLotus هم هنوز عمومی نشده. پس دو احتمال وجود دارد که کسپرسکی مطرح می کند: یا مهاجم ها با مهندسی معکوس نسخه ای شبیه آن ساخته اند، یا کد را از کس دیگری گرفته اند.
بعد نوبت نرم افزارهای امنیتی می رسد. BlackX یک درایور مخرب را وارد هسته ویندوز می کند تا کار آنتی ویروس ها و ابزارهای مشابه مختل شود. گواهی دیجیتال این درایور مال شرکتی به نام Wenjiang District Mingyu Network Technology Service Studio بود. صادرکننده بعدها گواهی را کاملاً باطل کرد. دیر.
کسپرسکی دو ابزار جاسوسی هم پیدا کرده است:
- اولی تروجان دسترسی از راه دور است: می تواند بدافزار بیشتری اجرا کند، اطلاعات سیستم را جمع کند و فایل هایی را که مهاجم می خواهد بدزدد. برای حرف زدن با سرور مهاجم هم از Google Drive و OneDrive و Yandex.Disk کمک می گیرد، که ترافیکش شبیه رفت و آمد عادی سازمان بشود و کسی بهش شک نکند.
- دومی OxiDLLRunner است؛ یک DLL مخرب که با فایل اجرایی معتبر googleupdate.exe اجرا می شود و بعد بدافزار دیگری را فعال می کند تا افزونه های مخرب را بگیرد و اجرا کند. افزونه یعنی برنامه یا فایل کوچکی که به یک نرم افزار اصلی اضافه می شود تا قابلیت تازه ای بهش بدهد.
حالا سؤال اینجاست: این حمله ها از کجا آمده اند؟ نشانه هایی هست که به APT41 اشاره می کند. BlackX به ابزارهای جاسوسی گروه FishMonger شباهت دارد.
این گروه را با نام های Aquatic Panda و Earth Lusca هم می شناسیم و به APT41 وصل است. عبارت xdd هم هم توی کد BlackX دیده شده و هم توی ابزارهای FishMonger. روش بارگذاری جانبی DLL هم بین هر دو مشترک است. با همه این ها، احتمال ارتباط حمله با هکرهای چینی بیشتر می شود.
نتیجه ای که کسپرسکی می گیرد ساده است. نفوذکننده های پیشرفته لازم نیست ابزار را از صفر بسازند. با همان ابزارهای هکری موجود هم می توانند امنیت ویندوز را دور بزنند و مدت ها، بی سروصدا، به شبکه های مهم دسترسی داشته باشند.
زنگ خطر همین است. آنچه از این ماجرا باید یاد بگیریم این است که وصله کردن کافی نیست. یادتان هست گفتم خطر اصلی همان کوتاهی سازمان هاست؟ همین. فهرست گواهی ها و مؤلفه های لغو شده را هم بروز نگه دارید.