Перейти к содержанию

Атака LogoFail через подмену картинки в UEFI | Блог Касперского

KL FC Bot
 Поделиться

Рекомендуемые сообщения

KL FC Bot

KL FC Bot

Опубликовано
Опубликовано

Когда пользователь включает ноутбук, до загрузки операционной системы на экран выводится логотип производителя. В теории, этот логотип можно изменить — данная функция предусмотрена для производителей ноутбуков или настольных компьютеров. Но никто не запрещает воспользоваться ей и простому пользователю — если что, можно поменять дефолтный логотип производителя на какую-то другую картинку.

Логотип хранится в составе программного кода, который запускается на настольном ПК или ноутбуке сразу после включения, в так называемой прошивке UEFI. Оказалось, что такая неявная возможность замены логотипа открывает путь для серьезной компрометации устройства — взлома с последующим захватом контроля над системой, который можно провести даже удаленно. Возможность проведения такой атаки, получившей название LogoFAIL, недавно продемонстрировали специалисты компании Binarly. Сегодня мы попытаемся рассказать об этой атаке простыми словами, но сначала давайте вспомним об опасности так называемых UEFI-буткитов.

UEFI-буткиты: зловреды, загружаемые до системы

Исторически программа, исполняемая на раннем этапе включения ПК, называлась BIOS или Basic Input/Output System. Это была крайне ограниченная в своих возможностях, но необходимая программа, задачей которой была инициализация аппаратных систем компьютера и передача управления загрузчику операционной системы. С конца 2000-х годов BIOS постепенно начали заменять на UEFI – расширенную версию такой же «базовой» программы, получившую дополнительные возможности, в том числе – защиту от выполнения вредоносного кода.

В частности, в UEFI был реализован протокол Secure Boot, который с помощью криптографических алгоритмов позволяет проверять код на каждом этапе загрузки компьютера. Это значительно усложняет, например, подмену реального кода ОС на вредоносный. Но, увы, даже эти технологии безопасности не исключили полностью возможность загрузки вредоносного кода на раннем этапе. И если злоумышленникам удается «протащить» в UEFI вредоносную программу или так называемый буткит, последствия будут крайне неприятными.

Дело в том, что UEFI-буткит крайне сложно отследить из самой операционной системы. Буткит способен модифицировать файлы системы, запускать вредоносный код в ОС с максимальными привилегиями. А главная проблема заключается в том, что он способен пережить не только переустановку операционной системы с нуля, но и замену жесткого диска. Находясь в прошивке UEFI, буткит не зависит от данных, хранимых на системном носителе. В результате буткит часто используется в сложных, таргетированных атаках. Пример такой атаки описан, например, в этом исследовании наших экспертов.

 

Посмотреть статью полностью

wumbo12

wumbo12

Опубликовано
Опубликовано

UEFI до сих пор актуальная и на сейчас день =(

 

Антивирусы нужно ставить , чтобы защитить от буткитов...

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
 Поделиться
Перейти к списку тем

  • Похожий контент

    • KL FC Bot
      AMOS и Amatera вместо ИИ-агентов | Блог Касперского
      Автор KL FC Bot
      Недавно мы рассказывали о том, как злоумышленники распространяют инфостилер AMOS под macOS при помощи рекламы в Google, используя при этом чат c ИИ-ассистентом на настоящем сайте OpenAI для размещения вредоносной инструкции. Мы решили чуть глубже исследовать эту тему и обнаружили несколько схожих вредоносных кампаний, в которых атакующие пытаются подсунуть пользователям зловредов под видом популярных ИИ-инструментов через рекламу в поисковике Google. Если жертвы ищут инструменты под macOS, то в качестве вредоносной нагрузки выступает тот же AMOS, а если под Windows — инфостилер Amatera. Как приманку в этих кампаниях используют популярный китайский ИИ Doubao, нашумевшего ИИ-ассистента OpenClaw или помощника для написания программного кода Claude Code. А это значит, что подобные кампании несут угрозу не только для домашнего пользователя, но и для организаций.
      Дело в том, что ассистента для кодинга Claude Code, как и агента для автоматизации рабочих задач OpenClaw достаточно часто используют сотрудники компаний. Это несет свои риски, поэтому далеко не все организации официально одобряют (и закупают) доступ к таким инструментам. Поэтому некоторые сотрудники пытаются найти модные инструменты самостоятельно и первым делом идут на сайт google, где вводят поисковый запрос. А в ответ получают проплаченную рекламную ссылку на вредоносную инструкцию. Как происходит атака — расскажем подробнее на примере обнаруженной в начале марта кампании по распространению Claude Code.
      Поисковой запрос
      Итак, пользователь начинает искать, откуда можно было бы загрузить агента от Anthropic, и вводит в строку поиска, например, Claude Code download. Поисковая система выдает список ссылок, в верхней части которого располагаются «спонсированные ссылки», то есть платные рекламные предложения. Одно из таких предложений ведет пользователя на вредоносную страницу с фейковой документацией (причем сам сайт собран на публичном легитимном сервисе Squarespace, что позволяет обходить антифишинговые фильтры).
      Выдача поисковиков с рекламными объявлениями в Румынии и Бразилии
       
      View the full article
    • KL FC Bot
      Троянское ПО BeatBanker и BTMOB — способы проникновения в смартфон и методы защиты | Блог Касперского
      Автор KL FC Bot
      Разработчики вредоносных программ для Android должны последовательно решить несколько проблем: обмануть пользователя и проникнуть в смартфон, уберечься от защитного ПО, уговорить жертву дать им различные системные разрешения, защититься от штатных оптимизаторов батареи, убивающих лишние приложения, а после всего этого еще и сделать что-то прибыльное для своих хозяев. Авторы недавно обнаруженной нашими экспертами кампании, получившей название BeatBanker, придумали нечто новое на каждом из этих шагов. Атака (пока) нацелена на бразильских пользователей, но амбиции разработчиков наверняка подтолкнут их к международной экспансии, поэтому стоит оставаться настороже и изучить трюки злоумышленников. Полный технический анализ кампании вы можете найти на Securelist.
      Как BeatBanker проникает в смартфон
      Зловред распространяют через специально созданные фишинговые страницы, имитирующие магазин Google Play. На странице, трудноотличимой от страницы официального магазина, можно скачать полезное на вид приложение. В одной кампании троян маскировался под официальное приложение для получения госуслуг в Бразилии, INSS Reembolso, в другой — под приложение Starlink.
      Вредоносный сайт cupomgratisfood{.}shop имитирует магазин приложений. Непонятно только, почему поддельный INSS Reembolso присутствует аж трижды — чтобы наверняка?
       
      View the full article
    • KL FC Bot
      Приложения для «здоровой психики» сливают конфиденциальную информацию о том, что происходит в голове у их владельцев. Как защититься? | Блог Касперского
      Автор KL FC Bot
      В феврале 2026 года компания Oversecured опубликовала отчет, после которого хочется стереть все с телефона и уйти в лес. Исследователи проверили десять популярных Android-приложений для психического здоровья — трекеры настроения, ИИ-терапевты, инструменты для борьбы с депрессией и тревожностью — и нашли в них 1575 уязвимостей. Пятьдесят четыре из них оказались критическими. При этом, судя по количеству установок из Google Play, суммарно этими приложениями может пользоваться до 15 миллионов человек. Но самое неприятное — шесть из десяти проверенных приложений клятвенно обещали, что данные пользователей зашифрованы и надежно защищены.
      Разбираемся в скандальной «утечке мозгов»: что именно может утечь, как именно это происходит и почему «анонимность» в таких сервисах — чаще всего маркетинговый миф.
      Что нашли в приложениях
      Oversecured — компания, которая занимается безопасностью мобильных приложений. Ее сканер проверяет APK-файлы на известные паттерны уязвимостей по десяткам категорий. В январе 2026 года исследователи прогнали через сканер десять приложений для контроля психического здоровья из Google Play — и получили впечатляющую картину.
      Тип приложения Всего установок Уязвимости по степени риска Высокий Средний Низкий Всего Трекер настроения и привычек 10+ млн 1 147 189 337 Чат-бот для психотерапии с использованием ИИ 1+ млн 23 63 169 255 Платформа для эмоционального здоровья с использованием ИИ 1+ млн 13 124 78 215 Трекер самочувствия 500+ тыс. 7 31 173 211 Приложение для мониторинга депрессии 100+ тыс. 0 66 91 157 Приложение контроля тревожности на основе когнитивно-поведенческой терапии (КПТ) 500+ тыс. 3 45 62 110 Приложение онлайн-сообщества для психотерапии 1+ млн 7 20 71 98 Приложение самопомощи при тревожности и фобиях 50+ тыс. 0 15 54 69 Приложение для управления стрессом в армии 50+ тыс. 0 12 50 62 Чат-бот для когнитивно-поведенческой терапии (КПТ) с использованием ИИ 500+ тыс. 0 15 46 61 Всего 14,7+ млн 54 538 983 1575 Таблица уязвимостей в десяти протестированных приложениях для контроля психического здоровья. Источник
       
      View the full article
    • KL FC Bot
      Что такое атака «Браузер в браузере» и как распознать поддельное окно входа | Блог Касперского
      Автор KL FC Bot
      В 2022 году в нашем блоге мы подробно описали метод атаки под названием «Браузер в браузере» (browser-in-the-browser), разработанный исследователем кибербезопасности под ником mr.d0x. Тогда примеров реализации этой модели «в дикой природе» не было. Однако четыре года спустя атаки «браузер в браузере» перестали быть теорией — злоумышленники уже активно используют их на практике. В этом посте еще раз разберем, что собой представляет атака browser-in-the-browser, покажем, как злоумышленники ее применяют, и, главное, объясним, как не стать жертвой.
      Что такое атака «Браузер в браузере» (browser-in-the-browser, BitB)
      Для начала давайте вспомним, что же придумал mr.d0x. Сама идея атаки основывалась на его наблюдении продвинутости современных средств построения веб-страниц — HTML, CSS, JavaScript и других. Собственно, это наблюдение натолкнуло исследователя на идею создания замысловатой модели фишинга.
      Атака «Браузер в браузере» — это разновидность фишинга, которая предполагает правдоподобную подделку окна входа с использованием известных сервисов — Microsoft, Google, Facebook* или Apple — на мошеннических сайтах посредством веб-дизайна. По задумке исследователя злоумышленник создает правдоподобно выглядящий сайт, на который заманивает своих жертв. При этом действия — оставлять комментарии, совершать покупки и так далее — на ресурсе могут совершать только авторизованные пользователи.
      Авторизоваться на сайте совершенно не сложно — достаточно нажать на кнопку «Войти с помощью {название популярного сервиса}». Вот тут и начинается самое интересное: после нажатия кнопки перед пользователем вместо настоящей страницы аутентификации в легитимном сервисе появляется нарисованная внутри мошеннического сайта форма, которая выглядит как… всплывающее окно браузера. При этом в адресной строке этого всплывающего окна — также нарисованной злоумышленниками — отображается совершенно легитимный адрес, и даже внимательное его изучение не позволит распознать подвох.
      Дальше доверчивый пользователь вводит в нарисованное окно свои учетные данные от того сервиса, с помощью которого он хотел аутентифицироваться, — Microsoft, Google, Facebook* или Apple, — и они, в свою очередь, отправляются прямиком к преступнику. Некоторое время подобная схема оставалась только теоретическим экспериментом исследователя кибербезопасности. Однако теперь ее на вооружение взяли настоящие преступники.
       
      View the full article
    • KL FC Bot
      Уязвимость CVE-2026-3102 при обработке изображений в ExifTool на macOS | Блог Касперского
      Автор KL FC Bot
      Можно ли заразить компьютер вредоносным ПО, просто обрабатывая фотографии? Особенно если это «Мак», который многие до сих пор считают устойчивым к зловредам? Как выясняется, можно — если пользоваться уязвимой версией приложения ExifTool или многочисленных приложений на его основе. Это популярнейшее решение с открытым исходным кодом (open source) для чтения, редактирования и записи метаданных в изображениях используется фотографами и специалистами фотоархивов, применяется в аналитике, криминалистических экспертизах и журналистских расследованиях.
      Наши эксперты GReAT обнаружили в нем уязвимость CVE-2026-3102, которая проявляется при обработке вредоносного файла изображения (например, PNG), содержащего в метаданных команды оболочки. При обработке такого файла с помощью ExifTool на macOS команда срабатывает, и на компьютере выполняются действия, задуманные злоумышленником, — например, загрузка и запуск вредоносного ПО с внешнего сервера. Мы расскажем, как это возможно, порекомендуем способы защиты и объясним, как проверить свой компьютер на уязвимость.
      Что такое ExifTool
      Бесплатное приложение с открытым исходным кодом ExifTool решает узкую, но важную задачу. Оно извлекает из файлов метаданные и позволяет обрабатывать эти данные и сами файлы. Метаданные — это сопроводительная информация, зашитая в большинстве современных форматов файлов. Например, у музыкального трека метаданными будут имя исполнителя и название песни, жанр, год выпуска, фото обложки альбома. Для фотографий метаданные — это дата, время и географические координаты съемки, использованные настройки светочувствительности и затвора, модель и производитель камеры. У офисных документов в метаданных хранятся имя автора, продолжительность редактирования, название и дата создания документа.
       
      View the full article
×
×
  • Создать...