«Лаборатория Касперского» нашла угрозу в BIOS современных ПК и ноутбуков
«Лаборатория Касперского» обнаружила, что несовершенная реализация сетевого протокола, используемого продуктом Absolute Computrace компании Absolute Software, может стать своего рода «архимедовым рычагом» и превратить полезное ПО в мощное орудие злоумышленников. Этот программный недочет способен потенциально открыть киберпреступникам доступ к миллионам компьютеров по всему миру – и в качестве ключа в этом случае выступит программный агент Absolute Computrace, хранящийся в прошивке BIOS современных компьютеров и ноутбуков.
Постоянный модуль Computrace находится в дополнительном BIOS ROM
Анализировать эту особенность защитного ПО Absolute Software специалисты «Лаборатории Касперского» начали после того, как выяснили, что программный агент Absolute Computrace работает на ряде компьютеров без предварительной авторизации. Несмотря на то что этот продукт является легальной разработкой, некоторые пользователи утверждали, что никогда его не устанавливали и не активировали, а в ряде случаев и вовсе не знали о существовании этого ПО на своих компьютерах. В то время как большинство предустановленных программ может быть легко удалено или деактивировано пользователем, Absolute Computrace, располагаясь в прошивке компьютера, продолжает работать даже после тщательной чистки системы или замены диска.
Однако не только эта особенность Absolute Computrace может вызвать подозрение у пользователей. Это ПО применяет технологии, затрудняющие дизассемблирование и анализ, а также другие инструменты, популярные у создателей зловредов, в частности инъекции в память других процессов, организацию скрытых каналов связи, изменение системных файлов на диске, шифрование конфигурационных данных и создание исполняемых файлов Windows непосредственно из кода прошивки BIOS.
Согласно данным, полученным из облачного сервиса Kaspersky Security Network, программный агент Absolute Computrace функционирует сегодня в системах около 150 тысяч пользователей. Общее же число пользователей с активированным агентом по некоторым оценкам может превышать 2 миллиона, и не известно, сколько из них знают о существовании этого ПО на своем компьютере. Также эксперты установили, что большинство компьютеров с активно работающим агентом Absolute Computrace находится в США и России.
Сетевой протокол Computrace, предоставляет базовые возможности для удаленного выполнения кода. Он не требует использования каких-либо криптографических механизмов для шифрования данных или проверки удаленного сервера, что дает злоумышленникам возможность для совершения удаленных атак в незащищенном сетевом окружении. В настоящее время нет доказательств того, что Absolute Computrace используется как платформа для проведения атак.
Источник новости: Лаборатория Касперского