Trojan.Bioskit.1 заражает BIOS компьютера

ПредыдущаяСледующая
1174
Doctor Web Logo

Компания «Доктор Веб» сообщает об обнаружении примечательного экземпляра вредоносной программы, получившей название Trojan.Bioskit.1. В целом это стандартный по функциональности троянец, заражающий MBR (загрузочную область диска) и пытающийся скачать что-то из сети. После проведенного специалистами «Доктор Веб» исследования оказалось, что в него также заложены механизмы, позволяющие заразить BIOS материнской платы компьютера.

Есть мнение, что это скорее экспериментальная разработка, нежели полноценная вредоносная программа, — либо она «утекла» раньше, чем этого хотелось бы автору. Об этом, в частности, могут свидетельствовать следующие факты:

  • наличие проверки параметров командной строки (запуск данного экземпляра троянца с ключом -u излечивает систему);
  • использование сторонних утилит;
  • отключенный код дезактивации вируса через 50 дней;
  • присутствие двух разных вариантов заражения системных файлов (из которых используется только один);
  • ошибки в коде, выглядящие, как описки.

Но все эти обстоятельства нисколько не умаляют потенциальной опасности данного троянца. Сразу оговоримся, что заражению могут подвергнуться только материнские платы, оборудованные BIOS производства компании Award.

Первоначально дроппер троянца Trojan.Bioskit.1 проверяет, запущены ли в операционной системе процессы нескольких китайских антивирусов: если таковые обнаруживаются, то троянец создает прозрачное диалоговое окно, из которого осуществляется вызов его главной функции. Затем Trojan.Bioskit.1 определяет версию операционной системы и в случае, если это Windows 2000 и выше (за исключением Windows Vista), продолжает заражение. Троянец проверяет состояние командной строки, из которой он может быть запущен с различными ключами:

  • -d — данный ключ не функционирует (вероятно, в «релизной сборке» эта функция была удалена);
  • -w — заразить систему (используется по умолчанию);
  • -u — вылечить систему (включая MBR и BIOS).

В ресурсах дроппера упаковано несколько файлов:

  • cbrom.exe
  • hook.rom
  • my.sys
  • flash.dll
  • bios.sys

В процессе своей работы дроппер распаковывает и сохраняет на жестком диске драйвер %windir%\system32\drivers\bios.sys. В случае если в системе есть устройство \\.\MyDeviceDriver (в исследуемом дроппере драйвера, реализующего такое устройство, нет), троянец сбрасывает на диск библиотеку %windir%\flash.dll и, вероятнее всего, последовательно пытается внедрить ее в системные процессы services.exe, svchost.exe и explorer.exe. Назначение данной библиотеки — запуск драйвера bios.sys штатными средствами (service control manager) с целью создания службы bios. При выгрузке библиотеки эта служба удаляется. В случае отсутствия устройства \\.\MyDeviceDriver троянец инсталлируется в систему путем перезаписывания системного драйвера beep.sys. После запуска beep.sys восстанавливается из предварительно созданной копии. Единственное исключение из этого правила сделано для ОС Microsoft Windows 7: в данной системе дроппер сбрасывает на диск библиотеку %windir%\flash.dll и сам же ее загружает.

Затем дроппер сохраняет в корне диска C: руткит-драйвер my.sys. Если драйвер bios.sys так и не удалось запустить или BIOS компьютера отличается от Award, троянец переходит к заражению MBR. На диск сбрасывается файл %temp%\hook.rom, который является полноценным модулем расширения (PCI Expansion ROM). Но на данном этапе он используется всего лишь как контейнер, из которого извлекаются данные для последующей записи на диск. После этого перезаписываются первые 14 секторов жесткого диска, включая MBR. Оригинальный MBR сохраняется в восьмом секторе.

Но вернемся к случаю, когда драйверу bios.sys удается опознать Award BIOS. Надо сказать, что именно наличие этого драйвера выделяет данную вредоносную программу из большого списка подобных троянцев, заражающих MBR. Упомянутый драйвер очень мал и обладает пугающим деструктивным потенциалом. В нем реализовано три метода:

  • Опознать Award BIOS (попутно определить размер его образа и, самое главное, I/O порта, через который можно программно заставить сгенерировать SMI (System Management Interrupt) и таким образом исполнить код в режиме SMM);
  • Сохранить образ BIOS на диск в файл С:\bios.bin;
  • Записать образ BIOS из файла С:\bios.bin.

Получить доступ и тем более перезаписать микросхему с BIOS — задача нетривиальная. Для этого сначала необходимо организовать взаимодействие с чипсетом материнской платы для разрешения доступа к чипу, затем нужно опознать сам чип и применить знакомый для него протокол стирания/записи данных. Но автор этой вредоносной программы пошел более легким путем, переложив все эти задачи на сам BIOS. Он воспользовался результатами работы китайского исследователя, известного под ником Icelord. Работа была проделана еще в 2007 году: тогда при анализе утилиты Winflash для Award BIOS был обнаружен простой способ перепрошивки микросхемы через сервис, предоставляемый самим BIOS в SMM (System Management Mode). Программный код SMM в SMRAM не виден операционной системе (если BIOS корректно написан, то доступ к этой памяти им заблокирован) и исполняется независимо от нее. Назначение данного кода весьма разнообразно: это эмуляция не реализованных аппаратно возможностей материнской платы, обработка аппаратных ошибок, управление режимами питания, сервисные функции и т.д.

Для модификации самого образа BIOS данная вредоносная программа использует утилиту cbrom.exe (от Phoenix Technologies), которую, как и все прочие файлы, несет у себя в ресурсах. При помощи этой утилиты троянец внедряет в образ свой модуль hook.rom в качестве ISA BIOS ROM. Затем Trojan.Bioskit.1 отдает своему драйверу команду перепрошить BIOS из обновленного файла.

При следующей перезагрузке компьютера в процессе инициализации BIOS будет вызывать все имеющиеся PCI Expansion ROM, в том числе и hook.rom. Вредоносный код из этого модуля каждый раз проверяет зараженность MBR и перезаражает ее в случае необходимости. Следует отметить, что наличие в системе Award BIOS вовсе не гарантирует заражение данным троянцем. Так, из трех проверенных в вирусной лаборатории материнских плат заразить удалось только одну, а в двух других в памяти BIOS банально не хватило места для записи нового модуля.

Троянец размещает в MBR код, основная задача которого — инфицировать файлы winlogon.exe (в операционных системах Windows 2000 и Windows XP) или wininit.exe (Windows 7). Для решения этой задачи Trojan.Bioskit.1 располагает собственным парсером NTFS/FAT32. Троянец ведет счетчик запусков, который обновляется раз в день. Через 50 дней предполагается дезактивация зараженного модуля: он будет изменен таким образом, что вирусный код перестанет получать управление. Но в данной версии троянца этот механизм отключен. Всего Trojan.Bioskit.1 включает две версии шелл-кода, из которых в настоящий момент активна только одна.

Трудно недооценивать опасность подобного рода угроз, особенно с учетом того, что в будущем возможно появление более совершенных модификаций данной троянской программы либо вирусов, действующих по схожему алгоритму.

13 сентября 2011 Г.

09:10

Ctrl
ПредыдущаяСледующая

Все новости за сегодня

Назван срок «ожидаемой доступности» объектива Sony FE 400mm F2.8 GM OSS: К сожалению, цена новинки пока остается неизвестной

Обновление BIOS для системных плат ASUS подтвердило скорый выход процессоров Raven Ridge и Pinnacle Ridge: Выход этих процессоров ожидается не позднее февраля 2018 года

Агроэлектризация: в Германии представлен электрический трактор Fendt e100 Vario: Массовое производство Fendt e100 Vario начнется только через год11

Samsung Electronics создаст центр разработки искусственного интеллекта: Где будет расположен новый исследовательский центр — пока неизвестно6

Беззеркальная камера Leica CL оснащена электронным видоискателем и поддерживает запись видео 4K: Leica CL на родине оценена в 2500 евро6

В Бразилии цена iPhone X начинается с отметки $2170: Столь высокая цена в Бразилии, в частности, объясняется 60-процентным налогом на импортированные товары стоимостью до $3000 13

Экран смартфона Samsung Galaxy S9 будет занимать 90% лицевой панели: Автор слуха утверждает, что нижняя рамка дисплея смартфона практически полностью исчезнет29

Цены на оперативную память увеличатся на 10-15% в текущем квартале: Компании Nanya Technology и Winbond Electronics благодаря росту цен на оперативную памяти смогли попасть в пятерку лучших поставщиков DRAM4

Consumer Report поставила максимальные 100 баллов кухонным плитам Samsung: Обозреватели, в частности, выделили светодиодную систему виртуального пламени, которая имитирует горение газовой конфорки26

Работа камеры OnePlus 5T будет улучшена при помощи обновления ПО: К сожалению, сроки выпуска обновления пока не сообщаются2

Бюджетный смартфон Uhans i8 получил систему распознавания лиц пользователей: Цена Uhans I8 составляет 130 долларов

Экшн-камера MGCool Explorer 3 будет поддерживать запись видео разрешением 4К при 30 к/с: При помощи специального чехла камера сможет выдерживать погружения на глубину до 30 м2

Eluga C — первый «полноэкранный» смартфон Panasonic: Над дисплеем находится только вырез громкоговорителя, а фронтальная камера переместилась на нижнюю панель5

Смартфон 360 N6 Pro может получить второй экран и два дактилоскопических датчика: Анонс новинки состоится 28 ноября3

Производитель называет Vernee Active лучшим защищенным смартфоном на рынке: Vernee Active оснащен аккумулятором емкостью 4200 мА•ч, разъемом USB-С, модулем NFC, поддерживается 18-ваттная быстрая зарядка4

997
1318

iXBT TV

  • Обзор проекционного документ-сканера Doko BS16

  • Обзор материнской платы Z370 Aorus Gaming 7 под процессоры Coffee Lake

  • Обзор аккумуляторной дрели-шуруповерта Bosch GSR 12V-15 FC Professional

  • Заводские экзоскелеты, обновление Firefox, слишком умные наушники

  • Репортаж с конференции Supercomputing 2017 (SC17), день 3: стенд группы компаний РСК

  • Репортаж с конференции Supercomputing 2017 (SC17), день 2: стенд Intel

  • Репортаж с конференции Supercomputing 2017 (SC17), день 1: рейтинг Top500

  • Обзор кинотеатрального DLP-проектора LG PF1000U со встроенным ТВ-тюнером

  • Камера Panasonic G9, унитазный робот, игровой смартфон, кепка для водителей

  • Обзор портативной беспроводной колонки Sven PS-460

  • Обзор напольного пылесоса Tefal Silence Force 4A TW6477 с одноразовыми мешками для сбора мусора

  • Обзор сверхширокоугольного зум-объектива Canon EF 16-35mm f/2.8L III USM

1212

Календарь

сентябрь
Пн
Вт
Ср
Чт
Пт
Сб
Вс

Рекомендуем почитать