СМИ: Хакеры ГРУ создали новый вирус, который невозможно стереть
Группа хакеров Fancy Bear имеет в своем распоряжении вирус, который способен «выжить» даже после полного форматирования жесткого диска.
28 сентября — ИА News. Группа хакеров Fancy Bear, которую власти США связывают с российскими властями и обвиняют во вмешательстве в выборные процессы на своей территории, «заполучила новое гадкое оружие», пишет американское издание The Daily Beast.
— Если новый вирус от Путина заразит ваш компьютер, не тратьте время на очистку винчестера. Просто выбросьте его целиком, — пишет издание.
Утверждается, что «ГРУ России разработало и приняло на вооружение новый вирус, который, теоретически, невозможно стереть. Вирус способен «выжить» даже после полного форматирования жесткого диска.
Это позволит «хакерам из Кремля» возвращаться к компьютеру цели снова и снова. Вредоносная программа, обнаруженная европейской антивирусной компанией ESET, внедряется в UEFI чип, расположенный прямо на материнской плате, управляющий запуском и перезапуском процессов.
Очевидная задача этого вируса состоит в том, чтобы он сохранял возможность доступа к компьютеру высокоприоритетной цели, даже после того, как система будет переустановлена или жесткий диск будет заменен — процедуры, которые в обычной ситуации избавляют от вредоносных программ.
Это еще одно доказательство того, что хакеры, известные как Fancy Bear «могут быть еще более опасными, чем представлялось ранее», пишут исследователи компании в своем блоге, отмечает The Daily Beast.
Они собираются представить отчет по изучению этого вируса на конференции по компьютерной безопасности. В ЦРУ определили, что Fancy Bear состоит из двух подразделений, руководство которыми осуществляется якобы напрямую из ГРУ.
В июле специальный прокурор США Роберт Мюллер обвинил «12 офицеров ГРУ из Fancy Bear» во вмешательстве в выборы в США.
— Улучшения в области разработки вредоносных программ показывают, что Кремль продолжает развиваться в области операций с применением хакерских атак, таких, как печально известный взлом данных Национального Демократического Альянса в 2016 году, — отмечается в статье.
Хакеры ГРУ очень активны уже на протяжении как минимум 12 лет, пробивая бреши в сетях НАТО, Белого дома, Французской телевизионной станции, Антидопингового агентства, бесчисленного количества неправительственных организаций, военных и гражданских агентств Европы, Центральной Азии и стран Кавказа, пишет издание.
В прошлом году они нацелились на сенатора от демократов Клэр Маккэскилл, которая пытается выиграть чрезвычайно сложную предвыборную гонку.
— Мы не дали никакого отпора хакерам из России. И пока нет никакого отпора, они не намерены останавливаться, и они будут все более и более изощренными, — говорит бывший агент ФБР Клинт Воттс.
Воттс раньше занимался контртеррористической деятельностью, а сейчас является сотрудником в Институте международной политики.
«Новый изощренный вирус из России», как утверждается, работает только на персональных компьютерах с уязвимостью в чипе UEFI.
Это не первая программа, пытающаяся спрятаться в этом чипе. Исследователи компьютерной безопасности уже демонстрировали уязвимость с помощью пробного кода в прошлом, и утечка 2015 года показала, что компания занимающаяся производством вредоносных программ на коммерческой основе Hacking Team воспользовалась этой возможностью в качестве одной из опций для некоторых из ее продуктов.
Есть даже свидетельство того, что Fancy Bear позаимствовали часть кода у Hacking Team, говорит ESET. В прошлом году, Wikileaks обнародовал информацию о том, что и ЦРУ использовало вирус собственного производства под названием DerStarke для поддержания возможности длительного доступа к взломанным компьютерам на основе системы MacOS, используя схожую технологию.
Но до сих пор, подобная атака ни разу не была замечена жертвой. Первое слабое подозрение на использование подобной технологии Россией появилось в прошлом марте, когда команда из компании ASERT сообщили о находке вредоносной программы, маскирующейся под компонент программы Absolute LoJack, призванной помочь вернуть устройство при утере или краже.
Absolute LoJack работает примерно так же как и приложение Apple’s Find My iPhone, позволяющее владельцам устройств отследить их геолокацию после кражи, или удаленно стереть важную информацию с пропавшего гаджета. Хакеры скопировали одну часть этой программы, фоновый процесс, поддерживающий соединение с сервером Absolute Software, и перенаправили запросы так, чтобы они шли в командный центр Fancy Bear.
ESET называет этот вирус LoJax. Они начали подозревать, что узрели только один маленький кусочек большего пазла, и стали искать дополнительные компоненты LoJax в Восточной Европе и на Балканах, где на зараженных машинах и всплыл этот вирус.
И они обнаружили новые компоненты LoJax'а, призванные получить полный доступ к UEFI чипу, и сделали предположение, что Fancy Bear, таким образом, пытается подобраться к материнской плате.
В итоге, как отмечается в статье, они нашли доказательства этому в еще одном найденном компоненте «ReWritter_binary», который переписывает значения в уязвимом UEFI чипе, заменяя код продавца на код Fancy Bear. В свою очередь, этот код работает в качестве защитника фальшивого агента от LoJack. При каждой перезагрузке, взломанный чип проверяет, установлен ли вирус в Windows, а если нет, то устанавливает его.
На данный момент, исследователи нашли только один компьютер с зараженным UEFI чипом, среди множества зараженных поддельным LoJack'ом, что говорит о том, что эта технология применяется довольно редко. И по всем показателям, весь это проект является довольно новым.
— Кампания по применению LoJax стартовала не позже начала 2017 года. Мы не знаем точно, когда доступ к управлению UEFI чипа был использован первый раз, но мы его впервые обнаружили в начале 2018 года, — говорит ведущий исследователь вредоносных программ в ESET Жан Ян Бутен.
По словам все того же Воттса, «ГРУ является приверженцем сложной эволюционной модели».
— У них есть высококлассные программисты, которые готовы перейти от разработки к применению кибероружия в молниеносные сроки, — уверен Воттс.
Представители ESET говорят, что новый вирус нужно воспринимать в качестве угрозы.
— История с LoJax говорит о том, что, скорее всего, подобным вирусным атакам будут подвержены приоритетные цели, поскольку применение этого оружия крайне эпизодично. Подобные цели должны всегда быть настороже, — отметили в ESET.