caxapa.ru :: О вечном. Вирь, живущий в служебных областях SSD

Evgeny_CD^{Архитектор} (01.02.2022 16:51, просмотров: 1617)

О вечном. Вирь, живущий в служебных областях SSD

https://www.ferra.ru/news/techlife/novyi-virus-ostayotsya-v-kompyutere-dazhe-posle-zameny-zhyostkikh-diskov-i-ssd-25-01-2022.htm

Ответить

- Внедряется в SPI-прошивку BIOS'а. Из-за того, что сейчас всё работает по стандарту (UEFI), сделать это не так сложно, главное чтобы флешка была открыта на запись. Shust555(1 знак., 01.02.2022 18:39, ссылка)
  - Комбинация ваще шикарная: вирь стартует из BIOS, данные в скрытом разделе SSD. Осталось юзера в виртуалке запустить, чисто чтобы у него была видимость работы на компе, и майнить, майнить :) - Evgeny_CD(01.02.2022 20:13)
    - Разные варианты (А/П)МДЗ решают ваши проблемы - Shust555(02.02.2022 11:00)
      - Вот меня всегда интересовало, как они, при наличии SMM, обеспечивают то, что после ресета первая команда будет из доверенной памяти АПМДЗ. - Evgeny_CD(02.02.2022 17:53)
        
        МДЗ - это пассивная защита, не дающая загрузить инфицированный бутлоадер и контролирующая контрольку образа биоса. Не очень понятен ваш вектор атаки через SMM. МДЗ начинает работать вместе с биосом, он может быть встроен в биос как набор EFI/DXE-модулей (ПМДЗ), либо как OpROM (фактически тот же DXE-модуль) из PCIe-карты (АПМДЗ). АПМДЗ в принципе, более защищен от отключения (через свой WDT и свою же память для хранения кс), но более глючный и работает не на всякой материнке. Shust555(110 знак., 03.02.2022 15:26)
        
        Там свой проц, без SMM - LightElf(02.02.2022 20:29)
    - Давно уже были публикации про юзеров, обнаруживавших, что работают под гипервизором. Обнаружилось это при неудачной попытке запустить свой гипервизор. - AlexG(02.02.2022 09:45)
      - Это да, регулярное явление. Там хитрее. Запустить свой гипервизор можешь, но некоторые инструкции выполняются миллисекунду :) - Evgeny_CD(02.02.2022 10:09)

Средства и методы разработки