تلاشی برای دور زدن Secure Boot و ELAM در ویندوز
گروه‌های APT مانند Lazarus (کره شمالی) و Scattered Spider به طور گسترده از تکنیک BYOVD برای غیرفعال کردن ابزارهای امنیتی پیشرفته و استقرار بدافزارهای خود استفاده می‌کنند.
۱- پیدا کردن یک درایور آسیب‌پذیر: مهاجم یک درایور قانونی و دارای امضای دیجیتال معتبر (مثلاً از مایکروسافت) را پیدا می‌کند که حاوی یک آسیب‌پذیری شناخته‌شده است (مثلاً یک درایور قدیمی از یک کارت گرافیک یا نرم‌افزار آنتی‌چیت بازی).
۲-نصب درایور قانونی: مهاجم که قبلاً دسترسی ادمین را در سیستم به دست آورده، این درایور قانونی اما آسیب‌پذیر را روی سیستم قربانی نصب می‌کند.
۳-تأیید توسط ELAM: از آنجایی که این درایور دارای امضای دیجیتال معتبر است، Secure Boot و درایور ELAM آن را به عنوان یک درایور قابل اعتماد شناسایی کرده و اجازه بارگذاری آن را می‌دهند.
۴-بهره‌برداری از آسیب‌پذیری: پس از اینکه درایور معتبر در حافظه (سطح کرنل) بارگذاری شد، مهاجم از آسیب‌پذیری موجود در آن استفاده می‌کند تا کد مخرب خود را در سطح کرنل اجرا کند.
۵-غیرفعال کردن امنیت از درون: از آنجایی که کد مهاجم اکنون در سطح کرنل در حال اجراست، می‌تواند به راحتی درایور ELAM یا سایر نرم‌افزارهای امنیتی (EDR، آنتی‌ویروس) را از درون غیرفعال کند.
تبصره : باید گفت ELAM همیشه درگیر نیست، بیشتر نقش بررسی اولیه بوت را دارد
#خوب_بخوانیم
گروه‌های APT مانند Lazarus (کره شمالی) و Scattered Spider به طور گسترده از تکنیک BYOVD برای غیرفعال کردن ابزارهای امنیتی پیشرفته و استقرار بدافزارهای خود استفاده می‌کنند.
۱- پیدا کردن یک درایور آسیب‌پذیر: مهاجم یک درایور قانونی و دارای امضای دیجیتال معتبر (مثلاً از مایکروسافت) را پیدا می‌کند که حاوی یک آسیب‌پذیری شناخته‌شده است (مثلاً یک درایور قدیمی از یک کارت گرافیک یا نرم‌افزار آنتی‌چیت بازی).
۲-نصب درایور قانونی: مهاجم که قبلاً دسترسی ادمین را در سیستم به دست آورده، این درایور قانونی اما آسیب‌پذیر را روی سیستم قربانی نصب می‌کند.
۳-تأیید توسط ELAM: از آنجایی که این درایور دارای امضای دیجیتال معتبر است، Secure Boot و درایور ELAM آن را به عنوان یک درایور قابل اعتماد شناسایی کرده و اجازه بارگذاری آن را می‌دهند.
۴-بهره‌برداری از آسیب‌پذیری: پس از اینکه درایور معتبر در حافظه (سطح کرنل) بارگذاری شد، مهاجم از آسیب‌پذیری موجود در آن استفاده می‌کند تا کد مخرب خود را در سطح کرنل اجرا کند.
۵-غیرفعال کردن امنیت از درون: از آنجایی که کد مهاجم اکنون در سطح کرنل در حال اجراست، می‌تواند به راحتی درایور ELAM یا سایر نرم‌افزارهای امنیتی (EDR، آنتی‌ویروس) را از درون غیرفعال کند.
تبصره : باید گفت ELAM همیشه درگیر نیست، بیشتر نقش بررسی اولیه بوت را دارد
#خوب_بخوانیم
Comments
Be the first to add a comment
Log in to comment