CosmicStrand là một bộ rootkit mới chết người nhắm vào các bo mạch chủ

Rootkit là một trong những loại phần mềm độc hại nguy hiểm nhất có thể lây nhiễm vào máy tính của bạn. Vào tháng 7 năm 2022, Kaspersky đã phát hiện ra bộ rootkit đặc biệt nhắm mục tiêu phần sụn UEFI của bo mạch chủ Gigabyte và Asus với Chipset Intel H81. Bộ rootkit này, được gọi là CosmicStrand, có thể là một mối đe dọa nghiêm trọng đối với máy tính của bạn vì các tác nhân của Mối đe dọa liên tục nâng cao (ATP) là nhà phát triển của nó.

Chúng nổi tiếng là tạo ra các mối đe dọa chết người để truy cập và kiểm soát máy tính và mạng. Đáng ngạc nhiên, các cuộc tấn công CosmicStrand tối đa đã xảy ra với công dân địa phương của Trung Quốc, Nga, Việt Nam và Iran thay vì các tổ chức kinh doanh.

CosmicStrand là gì và nó làm gì?

CosmicStrand là một rootkit cung cấp cho những kẻ tấn công quyền kiểm soát hoàn toàn máy tính của bạn mà bạn không biết gì. Nó vẫn không bị phát hiện bởi bất kỳ loại biện pháp bảo mật truyền thống nào sau khi được cài đặt lén lút trên firmware UEFI của thiết bị Windows của bạn.

Ngoài ra, bộ rootkit CosmicStrand có khả năng vẫn ẩn trên thiết bị của nạn nhân ngay cả sau khi hệ điều hành Windows được cài đặt lại hoặc sửa chữa. Khả năng này khiến nó trở nên rất nguy hiểm và là điều bạn không thể xem nhẹ.

Bộ rootkit này cho phép kẻ tấn công thực hiện bất cứ điều gì chúng muốn trên máy tính của bạn, bao gồm ăn cắp thông tin nhạy cảm, cài đặt phần mềm độc hại khác và thậm chí chiếm toàn bộ hệ thống.

CosmicStrand được cài đặt trên máy tính như thế nào?

Theo nhà nghiên cứu tại Kaspersky, các tin tặc đã có thể cài đặt CosmicStrand trên phần sụn của nạn nhân bằng cách thực hiện các sửa đổi đối với trình điều khiển CSMCORE DXE. Sửa đổi này buộc trình điều khiển chạy một loạt mã khi khởi động hệ thống để kích hoạt tải xuống và cài đặt thành phần CosmicStrand.

Bằng cách kiểm tra các hình ảnh phần sụn bị nhiễm, các nhà nghiên cứu phát hiện ra rằng những kẻ tấn công đã thực hiện các sửa đổi trong trình điều khiển CSMCORE DXE bằng cách truy cập trước vào máy tính của nạn nhân và ghi đè phần vững để giới thiệu bản vá tự động. Trình vá lỗi tự động này chịu trách nhiệm chuyển hướng điểm nhập của trình điều khiển CSMCORE DXE tới mã độc được lưu trữ trong tệp RELOC của tệp thực thi.

Làm thế nào bạn có thể bảo vệ hệ thống của mình khỏi CosmicStrand và các rootkit khác?

Cách tốt nhất để bảo vệ hệ thống của bạn khỏi CosmicStrand và các rootkit khác là cài đặt một giải pháp bảo mật mạnh mẽ có thể phát hiện và loại bỏ các mối đe dọa như vậy.

Bạn cũng nên cập nhật hệ điều hành và tất cả phần mềm với các bản vá bảo mật mới nhất. Điều này sẽ giúp đóng bất kỳ kẽ hở nào mà những kẻ tấn công có thể sử dụng để xâm nhập vào hệ thống của bạn. Bạn nên tiến hành cập nhật chương trình cơ sở và tất cả các cập nhật cần thiết khác thông qua các nguồn chính thức, đáng tin cậy.

Bạn cũng cần tạo các bản sao lưu dữ liệu thường xuyên để có thể khôi phục hệ thống của mình trong trường hợp hệ thống bị nhiễm rootkit hoặc bất kỳ phần mềm độc hại nào khác.

Ngoài ra, sẽ là tốt nhất nếu bạn cũng thực hiện các biện pháp bảo mật cơ bản như không nhấp vào các liên kết hoặc tệp đính kèm không xác định, không tải xuống phần mềm hoặc nội dung vi phạm bản quyền từ các trang web không đáng tin cậy và không chia sẻ thông tin cá nhân của bạn với bất kỳ ai. Điều này sẽ giúp bạn bảo vệ mình khỏi các cuộc tấn công kỹ thuật xã hội.

Bạn có nên lo lắng về ComicStrand?

Kể từ tháng 8 năm 2022, có rất ít trường hợp tấn công rootkit ComicStrand. Tuy nhiên, với sự tinh vi của rootkit và khả năng ẩn của nó, chúng ta có thể thấy nhiều cuộc tấn công hơn trong tương lai. Ngoài ra, cho đến nay, chỉ có các bo mạch chủ cụ thể của Gigabyte và Asus nằm trong danh sách mục tiêu của ComicStrand, nhưng có thể các nhà sản xuất bo mạch chủ khác cũng gặp rủi ro.

Nếu bạn có bo mạch chủ Gigabyte hoặc Asus với chipset Intel H81, điều cần thiết là phải kiểm tra xem hệ thống của bạn có bị nhiễm virus hay không và nếu bạn phát hiện bộ rootkit, hãy thực hiện các bước để gỡ bỏ nó. Bạn cũng nên cài đặt một giải pháp bảo mật đáng tin cậy để bảo vệ hệ thống của bạn khỏi các mối đe dọa như vậy trong tương lai.

Mặc dù rootkit ComicStrand không phải là một mối đe dọa phổ biến, nhưng điều quan trọng là phải nhận thức được nó và thực hiện các bước để bảo vệ hệ thống của bạn.