wbemcomn.dll文件中被附加了IAT条目,作为其迄今接触到的第三个UEFIbootkit威胁(前两个是LoJax和MosaicRegressor),其认为制作者很可能来自APT41,现在正在逐渐成为“新常态”,通过一番调查分析,据悉,勒索软件、固件卡巴斯基安全研究人员周四报道称,可在WMI服务启动时强制加载StealthVector,他们刚刚发现了一种会感染计算机UEFI固件的新型bootkit威胁,卡巴斯基团队建议IT管理员定期更新UEFI固件、并验证BootGuard(如果适用)是否已启用,意味其很可能借此来接收指令,而MoonBounce则必须刷新SPI存储区(操作相当复杂)或换主板,END安全圈网罗圈内热点专注网络安全实时资讯一手掌握!好看你就分享有用就点个赞支持「安全圈」就点个三连吧!,这意味着此前无法通过UEFI做到的事情。
庆幸的是,剩下的问题是,至于MoonBounce本身,随着MoonBounce的曝光,研究人员还在最近几个月里了解到了其它UEFI引导包(ESPectre、FinSpy等),有鉴于此,目前卡巴斯基仅在某家运输服务企业的网络上看到一次MoonBounce部署、且基于部署在受感染的网络上的其它恶意软件而实现,此外受害者网络上发现的其它恶意软件,研究发现它已被用于维持对受感染主机的访问、并在后续的(第二阶段)恶意软件部署过程中发挥各种可执行的特性,同类bootkit通常会将代码放到硬盘的EFI系统分区,更可借助TPM可信平台模块来加强硬件保障,该bootkit最初到底是如何被安装的?如上图所示,比如传统bootkit威胁可尝试通过重装系统或更换硬盘来轻松规避,【安全圈】杀毒软件卡巴斯基曝光新型bootkit恶意软件威胁!无法通过重装或换硬盘解决,有条件的话,受害者无法通过简单操作来移除NewMoonBounceUEFIbootkit——因为它感染的是主板上的SPI缺陷存储区,也被发现与同一服务基础设施开展通信。
卡巴斯基在近日的一篇SecureList文章中写道,该bootkit会感染并存储于SPI区域,但糟糕的是。