Một số mainboard Gigabyte và Asus chứa mã độc UEFI

Công ty bảo mật ESET đã phát hiện ra bộ rootkit UEFI đầu tiên đã phổ biến vào năm 2018. Loại mã độc này từng là chủ đề gây tranh cãi của các nhà nghiên cứu bảo mật, và trong những năm qua mã độc này trở nên phổ biến hơn nhiều. 

Tuần này, các nhà nghiên cứu của Kaspersky đã tiết lộ một rootkit phần mềm độc hại mới có tên "CosmicStrand", được cho là tác phẩm của một nhóm Trung Quốc không rõ danh tính.

Các nhà nghiên cứu giải thích rằng bộ rootkit đã được phát hiện trong firmware của một số bo mạch chủ Asus và Gigabyte được trang bị chipset Intel H81, một trong những chipset tồn tại lâu nhất từ ​​thời Haswell, cuối cùng đã bị ngừng sản xuất vào năm 2020.

Xem thêm: Ứng dụng chứa mã độc hại, nhận được 3 triệu lượt tải về trên Google Play Store

Vì firmware UEFI là đoạn mã đầu tiên chạy khi bạn bật máy tính, điều này làm cho CosmicStrand đặc biệt khó xóa so với các loại phần mềm độc hại khác. Phần mềm rootkit cũng khó bị phát hiện hơn và mở đường cho hacker cài đặt thêm mã độc vào hệ thống mà chúng đã nhắm mục tiêu.

Chỉ cần xóa sạch bộ nhớ trong PC của bạn sẽ không loại bỏ được sự lây nhiễm và cũng không cần thay thế hoàn toàn các thiết bị lưu trữ. UEFI thực chất là một hệ điều hành nhỏ sống bên trong chip, thường được hàn trên bo mạch chủ. Điều này có nghĩa là việc xóa CosmicStrand cần có các công cụ đặc biệt trong khi PC tắt nguồn. 

Ở thời điểm hiện tại, có vẻ như chỉ có các thiết bị Windows ở các nước như Nga, Trung Quốc, Iran và Việt Nam bị xâm phạm. Tuy nhiên, thiết bị UEFI đã được sử dụng rầm rộ từ cuối năm 2016, điều này làm tăng khả năng loại nhiễm trùng này phổ biến hơn so với giả định trước đây.

Trở lại năm 2017, công ty bảo mật Qihoo360 đã phát hiện ra một phiên bản đầu tiên của CosmicStrand. Trong những năm gần đây, các nhà nghiên cứu đã tìm thấy các rootkit UEFI bổ sung như MosaicRegressor, FinSpy , ESpecter và MoonBounce .