CosmicStrand: un rootkit de firmware avancé capable de persistance à long terme

Baptisé “CosmicStrand”, ce rootkit UEFI a surtout été utilisé dans des attaques visant des particuliers en Chine, avec de rares cas au Vietnam, en Iran et en Russie.

Le logiciel UEFI est un composant essentiel de la grande majorité du matériel informatique. Son code est celui qui permet le démarrage d’un appareil et le lancement du logiciel qui exécute le système d’exploitation. Si on parvient à modifier le code de l’UEFI pour y insérer du contenu malveillant, alors ce dernier sera lu avant le lancement du système d’exploitation, rendant son activité invisible aux solutions antivirus. Le firmware étant stocké sur une puce distincte du disque dur, les attaques ciblant le programme UEFI sont particulièrement imperceptibles et persistantes, car le malware reste sur l’appareil malgré les tentatives de réinstallation du système d’exploitation.

CosmicStrand, le nouveau firmware découvert par les équipes de Kaspersky, est attribué à un opérateur sinophone inconnu. Le motif des attaques reste encore indéterminé, mais on ne recense que des particuliers parmi les victimes (et non des équipements professionnels).

Tous les ordinateurs touchés jusqu’ici utilisaient Windows: à chaque redémarrage, un bout de code malveillant était exécuté après le lancement de Windows. Leur but était de se connecter à un serveur C2 (Commande & Control) pour télécharger un malware supplémentaire.

Les chercheurs n’ont pas réussi à déterminer comment le rootkit a pu se retrouver sur les machines infectées, mais des comptes non-vérifiés découverts en ligne indiquent que certains utilisateurs auraient reçu du matériel infecté en commandant des composants sur internet.

Le plus surprenant, c’est que CosmicStrand semble circuler sous le manteau depuis fin 2016, bien longtemps avant que les attaques UEFI ne soient publiquement exposées.

“Bien que sa découverte soit récente, il semblerait que le rootkit CosmicStrand soit déployé depuis assez longtemps. Cela nous apprend que certains cybercriminels ont des compétences très poussées qu’ils ont réussi à dissimuler depuis 2017. Il nous reste à découvrir les nouveaux outils qu’ils ont développés depuis.” commente Ivan Kwiatkowski, chercheur senior de l’équipe Global Research & Analysis (GReAT) de Kaspersky.

Une analyse plus détaillée du fonctionnement de CosmicStrand et de ses composants est disponible sur SecureList

Pour se protéger des menaces comme CosmicStrand, Kapsersky vous donne les conseils suivants:

-       Donnez à votre équipe SOC un accès aux dernières informations sur la Threat Intelligence (TI). Le portail Kaspersky Threat Intelligence est un point d'accès unique à la TI, qui fournit des données sur les cyberattaques et des informations recueillies par Kaspersky depuis plus de 20 ans.

-       Mettez en place des solutions EDR pour la détection des problèmes au niveau des terminaux,  l'investigation et la neutralisation rapide des menaces, telles que Kaspersky Endpoint Detection and Response.

-       Dispensez à votre personnel une formation de base sur la cybersécurité, car de nombreuses attaques ciblées commencent par du phishing et autres techniques d'ingénierie sociale.

-       Utilisez un produit EDR efficace capable de détecter l'utilisation de firmware, tel que Kaspersky Endpoint Security for Business.

-       Mettez régulièrement à jour votre logiciel UEFI et n'utilisez que des programmes provenant de fournisseurs de confiance.