CyberGlossary

Вредоносное ПО

Вредоносное ПО для прошивки

Также известно как: Имплант прошивки, Низкоуровневое ВПО

Определение

Вредоносный код, размещённый в прошивке устройства — BIOS/UEFI, сетевых картах, дисках или периферии — переживающий переустановку ОС и большинство средств защиты конечных точек.

Имплантаты в прошивке закрепляются в низкоуровневом коде, инициализирующем и управляющем оборудованием, ниже ОС. Поскольку прошивка редко сканируется и обычно находится в перезаписываемой флэш-памяти, имплант может пережить вайп диска, переустановку ОС и даже замену накопителя, если он находится в другом компоненте. К угрозам относятся UEFI-буткиты, вредоносные прошивки дисков, имплантаты в NIC и бэкдоры в контроллерах управления. Первичное заражение обычно требует физического доступа, компрометации цепочки поставок или прав ядра для перепрошивки. Защита: Secure Boot, подписанные обновления прошивки, Measured Boot и TPM-аттестация, утилиты проверки целостности от производителя, аппаратный корень доверия и строгий контроль цепочки поставок.

Примеры

  • UEFI-имплантат LoJax, приписываемый Sednit/APT28.
  • MoonBounce — имплант прошивки, загружаемый из SPI-флэш.

Связанные термины