Moonbounce è un malware persistente che può sopravvivere ai formati di unità e alle reinstallazioni del sistema operativo

Un nuovo malware ha fatto notizia negli ultimi giorni. Il rootkit, che è stato identificato come Moonbounce, è un malware persistente che può sopravvivere ai formati delle unità e alle reinstallazioni del sistema operativo.

Questo non è un normale trojan o virus che colpisce Windows, è un sofisticato bootkit che prende di mira il firmware della scheda madre, United Extensible Firmware Interface, comunemente abbreviato in UEFI. Ciò consente al malware di sopravvivere alle modifiche apportate al disco rigido o al sistema operativo. La tua scheda madre ha il suo chip di archiviazione chiamato memoria flash. Questo flash SPI contiene il software necessario per avviare e comunicare con il resto dell’hardware.

Immagine per gentile concessione di Pexels

Un rapporto di Kaspersky afferma che il malware Moonbounce è stato creato da un gruppo di hacker chiamato APT41. CSOonline riferisce che il gruppo è sospettato di avere legami con il governo cinese. Il famigerato gruppo di spionaggio informatico è stato anche coinvolto in campagne di criminalità informatica in tutto il mondo per un decennio. Il produttore di antivirus russo osserva che il bootkit del firmware è stato individuato per la prima volta nella primavera del 2021 e che è più avanzato dei due precedenti malware del suo genere, LoJax e MosaicRegressor. Detto questo, finora il nuovo malware è stato trovato solo una volta.

Nota: molte persone e persino gli OEM si riferiscono all’UEFI come BIOS, sebbene siano tecnicamente e funzionalmente diversi, quest’ultimo è il termine più popolare poiché esiste da più tempo. Chiamalo come vuoi, ma entrambi i termini si riferiscono all’interfaccia utilizzata per accedere e modificare le impostazioni del firmware della scheda madre.

In che modo Moonbounce ottiene l’accesso all’UEFI?

Moonbounce prende di mira CORE_DXE nel firmware e viene eseguito quando viene avviata la sequenza di avvio UEFI. Il malware intercetta quindi alcune funzioni per impiantarsi nel sistema operativo e telefona a casa a un server di comando e controllo. Ciò si traduce quindi in un payload dannoso inviato in remoto, per neutralizzare la sicurezza del sistema.

L’attacco avviene quando un componente del firmware viene modificato dal malware. Gli hacker possono usarlo per spiare utenti, archiviare file, raccogliere informazioni di rete, ecc. È interessante notare che il rapporto di Kaspersky afferma che non è stato in grado di tracciare l’infezione sul disco rigido, il che significa che è stato eseguito nella memoria senza fare affidamento sui file.

I rootkit UEFI possono essere difficili da rimuovere poiché i programmi antivirus sono inefficaci al di fuori del sistema operativo, ma non è impossibile rimuovere tali infezioni dalla scheda madre.

Come prevenire i rootkit UEFI?

Esistono alcuni semplici modi per prevenire il malware UEFI come Moonbounce, il primo passo è abilitare Secure Boot. Potrebbe essere questo il motivo per cui Microsoft ha reso TPM 2.0 un requisito per Windows 11? Ecco un video pertinente in cui un esperto di sicurezza Microsoft sottolinea l’importanza di UEFI, Secure Boot, TPM e così via e come sono efficaci nella lotta contro il malware. L’aggiunta di una password per accedere all’UEFI bloccherà gli aggiornamenti firmware non autorizzati, offrendoti così un ulteriore livello di protezione. Se non avevi abilitato l’avvio protetto o una password, ovvero se tutto va a rotoli, puoi sempre eseguire il reflash dell’UEFI per sbarazzarti del fastidioso malware. Suggerimento cortesia: reddit

Vai al sito Web del produttore della tua scheda madre (o laptop) e cerca il modello specifico che hai, controlla se ha una versione aggiornata che puoi flashare. Ricontrolla le informazioni per vedere se il modello della scheda madre corrisponde a quello fornito sul sito Web, perché il flashing del firmware sbagliato può danneggiare il tuo sistema. Dovresti anche evitare di utilizzare programmi di aggiornamento dei driver e affidarti invece agli aggiornamenti di Windows e al sito del tuo fornitore per mantenere aggiornati i driver.