MoonBounce atakuje. Użytkownika nie uratuje nawet format czy wymiana dysku

Serwis Secure List prowadzony przez specjalistów z zespołu Kaspersky zajął się zbadaniem szkodnika MoonBounce. Z informacji wynika, że malware lokuje się w pamięci flash, która znajduje się na płycie głównej, zamiast na dysku twardym. W ten sposób w działaniu nie przeszkadza mu formatowanie lub wymiana dysku.

Ze względu na fakt, że łańcuch infekcji nie pozostawia żadnych śladów na dysku twardym, ponieważ jego komponenty działają tylko w pamięci, sami eksperci nie byli w stanie dojść, w jaki sposób doszło do infekcji ich urządzeń. Z cyfrowych śladów, jakie zostały jednak zostawione, udało się powiązać MoonBounce z chińską grupą APT41.

Celem działania MoonBouce jest ułatwienie wdrażania złośliwego oprogramowania działającego w trybie użytkownika. Wieloetapowy łańcuch haków ułatwia propagację złośliwego kodu do innych komponentów rozruchowych podczas uruchamiania systemu, umożliwiając wprowadzenie szkodliwego sterownika do przestrzeni adresowej pamięci jądra Windowsa.

Wspomniany sterownik, który działa w początkowej fazie wykonywania jądra, jest odpowiedzialny za wdrażanie złośliwego oprogramowania w trybie użytkownika poprzez wstrzyknięcie go do procesu svchost.exe po uruchomieniu systemu operacyjnego. Ostatecznie złośliwe oprogramowanie działające w trybie użytkownika próbuje pobrać kolejny etap ładunku do uruchomienia w pamięci, jednak eksperci Kaspersky nie byli w stanie go pozyskać.

Zespół badaczy podkreśla, że nie posiada wystarczających danych, aby prześledzić, w jaki sposób UEFI zostało zainfekowane, jednak założono, że sama infekcja została dokonana zdalnie. Dla osób zainteresowanych malware, Kaspersky przygotował specjalny raport, w którym znalazły się wszystkie znane szczegóły, dotyczące jego działania.