【2022/UEFIBootkit】CosmicStrand，某作者评价，不如HyperVBootkit

显示全部楼层 · 发表于 2022-7-26 15:57:14

UBitch 发表于 2022-7-26 15:54
我觉得微软搞那个WPBT纯粹是脱裤子放屁，还增加了攻击面
华硕之前也做过基于WPBT的一些东西不过在BIOS ...

很多东西，开始设想很美好，但是安全的东西不方便，方便的东西不安全，导致后来为了各种需求，各种妥协，然后只能烂尾，除非能像苹果那样强硬。不听我的，自己滚蛋。

显示全部楼层 · 发表于 2022-7-26 16:05:20

UBitch 发表于 2022-7-26 15:54
我觉得微软搞那个WPBT纯粹是脱裤子放屁，还增加了攻击面
华硕之前也做过基于WPBT的一些东西不过在BIOS ...

属于是老想着加功能引入了一堆安全隐患，例如微软为了方便某些企业管理给自家安全软件加了powershell和组策略管理，结果被攻击者疯狂滥用，到现在这个问题都没得到彻底的解决。还有（大概是）为了同步Windows Update导致相当长的一段时间里只要是TrustedInstaller权限的程序就能在R3层面干死它。
之前的Log4j漏洞也是这样

显示全部楼层 · 发表于 2022-7-26 16:11:02

ANY.LNK 发表于 2022-7-26 15:51
另外，卡巴斯基是不打算放出样本了是么，对应的哈希只能在他们官方网站和转载他们文章的网站上找到

防病毒厂商哪敢放样本，都是给你放个Ioc就不错了

opentip卡巴分析师好像能下，别的应该都下不了的吧

360的威胁情报平台也是完全下不到样本

但是在野样本一般情况下vt或者微步都有不难愁下不到

但是uefi bios那种基本上披露个Ioc你也下不到

像4楼那个样本我查了下opentip、vt、微步就全都有

显示全部楼层 · 发表于 2022-7-26 16:41:13

wwwab 发表于 2022-7-26 16:11
防病毒厂商哪敢放样本，都是给你放个Ioc就不错了

opentip卡巴分析师好像能下，别的应该都下不了的吧

全是不放样本的，不要想太多了

显示全部楼层 · 发表于 2022-7-26 16:44:47

tdsskiller 发表于 2022-7-26 16:41
全是不放样本的，不要想太多了

IOC就很不错了
某厂商IOC还喜欢给图片，让你自己打出来搜

显示全部楼层 · 发表于 2022-7-26 16:48:51

wowocock 发表于 2022-7-26 14:34
CR4SH以前看过，记得是利用卡巴的UEFI启动劫持来实现的，不过貌似被微软拉黑名单了。在SECURE BOOT的机器上 ...

静默UEFI启动又更新了：https://github.com/ValdikSS/Super-UEFIinSecureBoot-Disk
其中的releases里面有6月份新的

估计又找到绕过的

显示全部楼层 · 发表于 2022-7-26 16:50:24

pal家族发表于 2022-7-26 16:44
IOC就很不错了
某厂商IOC还喜欢给图片，让你自己打出来搜

我的评价是，大多的技术含量不如卡饭的样本

显示全部楼层 · 发表于 2022-7-26 16:51:27

tdsskiller 发表于 2022-7-26 16:50
我的评价是，大多的技术含量不如卡饭的样本

没听懂。。

显示全部楼层 · 发表于 2022-7-26 17:23:59

pal家族发表于 2022-7-26 16:44
IOC就很不错了
某厂商IOC还喜欢给图片，让你自己打出来搜

那还有某厂商的Ioc是哈希加上自家威胁情报系统指向该哈希的超链接

然后你复制的时候按到就跳转过去了

显示全部楼层 · 发表于 2022-7-26 19:10:30

pal家族发表于 2022-7-26 16:51
没听懂。。

因为那个厂商分析给的IOC一般都是各种流氓软件，还有一些是类似之前那个低级勒索病毒SafeSound这类的，综合来看技术含量都不高…………

[分析报告] 【2022/UEFIBootkit】CosmicStrand，某作者评价，不如HyperVBootkit

浏览过的版块