MoonBounce olarak adlandırılan bu kötü niyetli eklenti, bilgisayarların önemli bir parçası olan Birleşik Genişletilebilir Ürün Yazılımı Arabirimi (UEFI) bellenimi içinde, sabit sürücüler için harici depolama bileşenlerine ait SPI flaşında gizleniyor. Bu tür eklentilerin ortaya çıkarılması oldukça zor ve güvenlik ürünleri tarafından görünürlükleri son derece sınırlı. Serbest ortamda ilk kez 2021 baharında ortaya çıkan MoonBounce, daha önce bildirilen UEFI üretici yazılımı önyükleme setlerine kıyasla belirgin bir ilerlemeye ve sofistike bir saldırı akışına sahip. Kampanya, çok büyük olasılıkla iyi bilinen gelişmiş kalıcı tehdit (APT) aktörü APT41 ile ilişkilendiriliyor.

UEFI sabit yazılımı, bilgisayarların büyük çoğunluğunda kritik bir bileşendir. Taşıdığı kodlar cihazı başlatmaktan ve kontrolü işletim sistemini yükleyen yazılıma geçirmekten sorumludur. Bu kod, sabit disklere dair harici kalıcı bir depolama alanı olan SPI flash içinde gizleniyor. Bu alan kötü amaçlı kod içeriyorsa, kod işletim sisteminden önce başlatılıyor. Bu nedenle sabit sürücüyü yeniden biçimlendirmek veya işletim sistemini yeniden yüklemek enfeksiyondan kurtulmaya yetmiyor. Dahası kod sabit sürücünün dışında bir yerde bulunduğundan, bu tür önyükleme setlerinin etkinliği özellikle aygıtın ilgili bölümünü tarayan bir güvenlik çözümü söz konusu olmadıkça algılanamıyor.

MoonBounce, bugüne dek ortalıkta serbestçe dolaştığı bildirilen üçüncü UEFI bootkiti oldu. Bootkit 2021 baharında ortaya çıktı ve ilk olarak Kaspersky araştırmacıları tarafından, UEFI ürün yazılımı görüntüleri de dahil olmak üzere ROM BIOS'ta saklanan tehditleri özellikle tespit etmek için 2019'un başından beri Kaspersky ürünlerine dahil edilen Firmware Scanner etkinliğine bakarken keşfedildi. Daha önce keşfedilen LoJax ve MosaicRegressor bootkitleriyle karşılaştırıldığında MoonBounce daha karmaşık bir saldırı akışına ve daha fazla teknik gelişmişliğe sahip oluşuyla öne çıkıyor.

Söz konusu eklenti, UEFI önyükleme sırasında erkenden çağrılan bellenimin CORE_DXE bileşeninde yer alıyor. Ardından eklentinin bileşenleri belirli işlevleri engelleyen bir dizi kanca aracılığıyla işletim sistemine giriyor ve burada daha fazla kötü amaçlı yükleri almak için bir komuta ve kontrol sunucusuna ulaşıyor. Bileşenler yalnızca bellekte çalıştığından enfeksiyon zincirinin kendisi sabit sürücüde herhangi bir iz bırakmıyor.

MoonBounce'ı araştırırken Kaspersky araştırmacıları, aynı ağın birkaç düğümünde birkaç kötü amaçlı yükleyiciyi ve kullanım sonrası için ayrılmış kötü amaçlı yazılım ortaya çıkardı. Buna bilgi alışverişi yapmak ve ek eklentileri yürütmek için C2 sunucusuyla iletişim kurabilen bir bellek içi eklenti olan ScrambleCross veya Sidewalk, kimlik bilgilerini ve güvenlik sırlarını aktarmak için kullanılan kamuya açık sömürü aracı Mimikat_ssp, önceden bilinmeyen Golang tabanlı arka kapı ve genellikle SixLittleMonkeys tehdit aktörü tarafından kullanılan kötü amaçlı yazılım olan Microcin dahil oluyor. MoonBounce bu kötü amaçlı yazılım parçalarını indirebildiği gibi, söz konusu kötü amaçlı yazılım parçalarından birinin daha önce sisteme bulaşması makineyi tehlikeye atmanın bir yolu olarak da hizmet edebiliyor. Böylece MoonBounce ağda yer edinebiliyor.

MoonBounce için başka bir olası bulaşma yöntemi, hedef şirkete teslim edilmeden önce makinenin güvenliğinin ihlal edilmesi şeklinde ortaya çıkıyor. Her iki durumda bulaşmanın hedeflenen makineye uzaktan erişim yoluyla gerçekleştiği düşünülüyor. Ek olarak, LoJax ve MosaicRegressor DXE sürücülerine eklenti yerleştirirken, MoonBounce daha incelikli ve daha gizli bir saldırı için mevcut bir üretici yazılımı bileşenini değiştirme yoluna gidiyor.

Söz konusu ağa karşı yürütülen genel kampanyada saldırganların dosyaları arşivlemek ve ağ bilgilerini toplamak gibi çok çeşitli eylemler gerçekleştirdikleri açık olarak tespit edildi. Saldırganların faaliyetleri boyunca kullandıkları komutlar, yanal hareketler ve verilerin sızdırma girişimleri için UEFI eklentisini kullanmaları bunun bir casusluk faaliyeti olabileceği ihtimalini güçlendiriyor.

Kaspersky, MoonBounce'ı çok yüksek ihtimalle en az 2012'den beri dünya çapında siber casusluk ve siber suç kampanyaları yürüten, Çince konuşan bir tehdit aktörü olduğu geniş çapta bildirilen APT41'e bağlıyor. Aynı ağ, APT41 ile Çince konuşan diğer tehdit aktörleri arasında olası bir bağlantı olduğunu da öne sürüyor.

Şimdiye kadar bellenim önyükleme seti, yüksek teknoloji pazarındaki bir holding şirketinin tek bir makinesinde bulundu. Ancak, diğer bağlantılı kötü niyetli örneklere (ScrambleCross ve yükleyicileri gibi) birkaç başka ağda da rastlandı.

GReAT Kıdemli Güvenlik Araştırmacısı Denis Legezo, şunları söyledi: “MoonBounce üzerinde yaptığımız araştırmalar sırasında bulunan ek kötü amaçlı yazılım eklentilerini özellikle bağlayamasak da Çince konuşan bazı tehdit aktörleri, çeşitli kampanyalarına yardımcı olmak için söz konusu araçları birbirleriyle paylaşıyor gibi görünüyor. Özellikle MoonBounce ve Microcin arasında bir bağlantı olduğunu düşünüyoruz."

Kaspersky Küresel Araştırma ve Analiz Ekibi (GReAT) Araştırmacısı Mark Lechtik de şunları aktarıyor: "En son UEFI önyükleme seti, 2020'de bildirdiğimiz MosaicRegressor ile karşılaştırıldığında aynı kayda değer ilerlemeleri gösteriyor. Aslında bellenimdeki önceden iyi huylu bir çekirdek bileşenini, sistemde kötü amaçlı yazılım dağıtımını kolaylaştırabilecek bir bileşene dönüştürmek önemli bir yenilik. Bunu önceki kıyaslanabilir bellenim önyükleme setlerinde görmemiştik ve tehdidi çok daha gizli hale getiriyor. 2018'de UEFI tehditlerinin popülerlik kazanacağını tahmin etmiştik, bu eğilim gerçekleşiyor gibi görünüyor. 2022'de ek bootkit'ler bulduğumuza şaşırmayacağız. Neyse ki dağıtıcılar donanım yazılımı saldırılarına daha fazla dikkat etmeye başladı. BootGuard ve Güvenilir Platform Modülleri gibi donanım yazılımı güvenlik teknolojileri yavaş yavaş benimseniyor."

MoonBounce gibi UEFI önyükleme setlerinden korunmak için Kaspersky şunları öneriyor:

• SOC ekibinizin en son tehdit istihbaratına (TI) erişimini sağlayın. Kaspersky Threat Intelligence Portal, şirketin tehdit istihbaratı için 20 yılı aşkın süredir Kaspersky tarafından toplanan siber saldırı verileri ve öngörüleri sağlayan tek bir erişim noktasıdır.
• Uç nokta düzeyinde algılama, olayların araştırılması ve zamanında düzeltilmesi için Kaspersky Endpoint Detection and Response gibi EDR çözümlerini uygulayın.
• Kaspersky Endpoint Security for Business gibi ürün yazılımının kullanımını algılayabilen sağlam bir uç nokta güvenlik ürünü kullanın.
• UEFI donanım yazılımınızı düzenli olarak güncelleyin ve yalnızca güvenilir satıcıların donanım yazılımlarını kullanın.
• Varsayılan olarak Güvenli Önyüklemeyi etkinleştirin. Uygun olduğunda BootGuard ve TPM'leri kullanın.