OS 재설치나 HDD 교체로도 배제할 수 없는 UEFI 루트킷 'LoJax'

- https://pc.watch.impress.co.jp/docs/news/1145336.html

- https://www.welivesecurity.com/2018/09/27/lojax-first-uefi-rootkit-found-wild-courtesy-sednit-group/

보안 소프트웨어 업체 ESET이 27일(현지 시간), UEFI(Unified Extensible Firmware Interface)의 루트킷인 LoJax를 발견했다고 발표했습니다. 이러한 LaJax는 고도의 공격을 하는 사이버 공격 집단인 Sendit이 사용했다고 하며, 이 그룹은 APT28이나 STRONTIUM, Sofacy, Fancy Bear등의 이름으로도 알려져 있다고 합니다.

ESET의 조사에 따르면 LoJax의 공격 대상이 된 건 발칸 반도 중부 및 동유럽의 여러 정부 조직이며, 최소한 한 번의 공격은 성공적이었다고 합니다. UEFI 루트킷으로는 세계 최초로 실제 공격이 확인되었다고 하네요.

이러한 LoJax의 동작은 악의적인 UEFI 모듈을 시스템의 SPI 플래시 메모리에 작성해, PC의 부팅 과정에서 악성 코드를 스토리지에 주입한다고 합니다. 그렇기에 OS 재설치나 스토리지 교체로도 배제할 수 없고, 시스템의 UEFI 펌웨어를 갱신하는 작업 역시 일반적이지 않기에 ESET은 현실적인 위협이라 경고하고 있습니다.

다만, LoJax는 SPI 플래시 메모리 보호가 취약하거나 잘못 구성된 경우에 작동하기에 머더보드의 최신 UEFI를 사용하고, 악용되는 취약점이 오래된 칩셋에만 영향을 주는 만큼 2008년 이후의 PCH(Intel 5시리즈)를 사용하길 권하고 있습니다. 또한 UEFI 루트킷은 올바른 서명이 이루어지지 않기에 Secure Boot를 사용하는 것 역시 이러한 공격을 막을 수 있는 방법이라고 하니 참조하세요.