Kaspersky araştırmacıları, ortalıkta serbestçe gezen üçüncü bir firmware (donanım yazılımı) bootkit vakasını ortaya çıkardı.

MoonBounce olarak adlandırılan bu kötü niyetli eklenti, bilgisayarların önemli bir parçası olan Birleşik Genişletilebilir Ürün Yazılımı Arabirimi (UEFI) bellenimi içinde, sabit sürücüler için harici depolama bileşenlerine ait SPI flaşında gizleniyor. Bu tür eklentilerin ortaya çıkarılması oldukça zor ve güvenlik ürünleri tarafından görünürlükleri son derece sınırlı. Serbest ortamda ilk kez 2021 baharında ortaya çıkan MoonBounce, daha önce bildirilen UEFI üretici yazılımı önyükleme setlerine kıyasla belirgin bir ilerlemeye ve sofistike bir saldırı akışına sahip. Kampanya, çok büyük olasılıkla iyi bilinen gelişmiş kalıcı tehdit (APT) aktörü APT41 ile ilişkilendiriliyor.

 

UEFI sabit yazılımı, bilgisayarların büyük çoğunluğunda kritik bir bileşendir. Taşıdığı kodlar cihazı başlatmaktan ve kontrolü işletim sistemini yükleyen yazılıma geçirmekten sorumludur. Bu kod, sabit disklere dair harici kalıcı bir depolama alanı olan SPI flash içinde gizleniyor. Bu alan kötü amaçlı kod içeriyorsa, kod işletim sisteminden önce başlatılıyor. Bu nedenle sabit sürücüyü yeniden biçimlendirmek veya işletim sistemini yeniden yüklemek enfeksiyondan kurtulmaya yetmiyor. Dahası kod sabit sürücünün dışında bir yerde bulunduğundan, bu tür önyükleme setlerinin etkinliği özellikle aygıtın ilgili bölümünü tarayan bir güvenlik çözümü söz konusu olmadıkça algılanamıyor.

MoonBounce, bugüne dek ortalıkta serbestçe dolaştığı bildirilen üçüncü UEFI bootkiti oldu. Bootkit 2021 baharında ortaya çıktı ve ilk olarak Kaspersky araştırmacıları tarafından, UEFI ürün yazılımı görüntüleri de dahil olmak üzere ROM BIOS’ta saklanan tehditleri özellikle tespit etmek için 2019’un başından beri Kaspersky ürünlerine dahil edilen Firmware Scanner etkinliğine bakarken keşfedildi. Daha önce keşfedilen LoJax ve MosaicRegressor bootkitleriyle karşılaştırıldığında MoonBounce daha karmaşık bir saldırı akışına ve daha fazla teknik gelişmişliğe sahip oluşuyla öne çıkıyor.

Söz konusu eklenti, UEFI önyükleme sırasında erkenden çağrılan bellenimin CORE_DXE bileşeninde yer alıyor. Ardından eklentinin bileşenleri belirli işlevleri engelleyen bir dizi kanca aracılığıyla işletim sistemine giriyor ve burada daha fazla kötü amaçlı yükleri almak için bir komuta ve kontrol sunucusuna ulaşıyor. Bileşenler yalnızca bellekte çalıştığından enfeksiyon zincirinin kendisi sabit sürücüde herhangi bir iz bırakmıyor.

 

MoonBounce’ı araştırırken Kaspersky araştırmacıları, aynı ağın birkaç düğümünde birkaç kötü amaçlı yükleyiciyi ve kullanım sonrası için ayrılmış kötü amaçlı yazılım ortaya çıkardı. Buna bilgi alışverişi yapmak ve ek eklentileri yürütmek için C2 sunucusuyla iletişim kurabilen bir bellek içi eklenti olan ScrambleCross veya Sidewalk, kimlik bilgilerini ve güvenlik sırlarını aktarmak için kullanılan kamuya açık sömürü aracı Mimikat_ssp, önceden bilinmeyen Golang tabanlı arka kapı ve genellikle SixLittleMonkeys tehdit aktörü tarafından kullanılan kötü amaçlı yazılım olan Microcin dahil oluyor. MoonBounce bu kötü amaçlı yazılım parçalarını indirebildiği gibi, söz konusu kötü amaçlı yazılım parçalarından birinin daha önce sisteme bulaşması makineyi tehlikeye atmanın bir yolu olarak da hizmet edebiliyor. Böylece MoonBounce ağda yer edinebiliyor.

MoonBounce için başka bir olası bulaşma yöntemi, hedef şirkete teslim edilmeden önce makinenin güvenliğinin ihlal edilmesi şeklinde ortaya çıkıyor. Her iki durumda bulaşmanın hedeflenen makineye uzaktan erişim yoluyla gerçekleştiği düşünülüyor. Ek olarak, LoJax ve MosaicRegressor DXE sürücülerine eklenti yerleştirirken, MoonBounce daha incelikli ve daha gizli bir saldırı için mevcut bir üretici yazılımı bileşenini değiştirme yoluna gidiyor.

Söz konusu ağa karşı yürütülen genel kampanyada saldırganların dosyaları arşivlemek ve ağ bilgilerini toplamak gibi çok çeşitli eylemler gerçekleştirdikleri açık olarak tespit edildi. Saldırganların faaliyetleri boyunca kullandıkları komutlar, yanal hareketler ve verilerin sızdırma girişimleri için UEFI eklentisini kullanmaları bunun bir casusluk faaliyeti olabileceği ihtimalini güçlendiriyor.

 

MoonBounce gibi UEFI önyükleme setlerinden korunmak için Kaspersky şunları öneriyor:

  • SOC ekibinizin en son tehdit istihbaratına (TI) erişimini sağlayın.
  • Uç nokta düzeyinde algılama, olayların araştırılması ve zamanında düzeltilmesi için EDR çözümlerini uygulayın.
  • Ürün yazılımının kullanımını algılayabilen sağlam bir uç nokta güvenlik ürünü kullanın.
  • UEFI donanım yazılımınızı düzenli olarak güncelleyin ve yalnızca güvenilir satıcıların donanım yazılımlarını kullanın.
  • Varsayılan olarak Güvenli Önyüklemeyi etkinleştirin. Uygun olduğunda BootGuard ve TPM’leri kullanın.