LoJax, el primer rootkit UEFI, abre una puerta a los ciberdelincuentes para controlar de forma completa y casi indetectable cualquier dispositivo.
ESET, el mayor fabricante de software de seguridad de la Unión Europea, a través de su área de Investigación, ha anunciado el descubrimiento del primer ciberataque que utiliza un rootkit UEFI para infectar y conseguir persistencia en el dispositivo de las víctimas. Denominado LoJax por parte de los investigadores de ESET, este rootkit es parte de una campaña llevada a cabo por el grupo de ciberdelincuentes Sednit contra importantes objetivos en Europa central y oriental y se trata del primer ataque de esta naturaleza descubierto en el mundo.
“Estábamos al tanto de la existencia de rootkits UEFI pero el descubrimiento realizado por los investigadores de ESET pone de manifiesto su utilización por parte de un grupo activo y conocido de ciberdelincuentes. No se trata de una prueba de concepto que mostrar en una conferencia de seguridad, sino de una amenaza real, avanzada y persistente”, asegura Josep Albors, responsable de investigación y concienciación de ESET.
Los rootkits UEFI son herramientas muy peligrosas en el mundo de la ciberdelincuencia ya que permiten tomar el control del dispositivo independientemente del sistema operativo utilizado, son difíciles de descubrir y pueden sobrevivir incluso a las medidas más comunes utilizadas en los departamentos de seguridad, tales como la reinstalación del sistema o el reemplazo del disco duro. Además, la limpieza de un sistema infectado por un rootkit UEFI debe llevarse a cabo por profesionales especializados con conocimientos de alto nivel.
Sednit –también conocido como APT28, Strontium, Sofacy o Fancy Bear– es el grupo responsable del ataque. Se trata de un grupo de ciberdelincuentes muy activo desde 2004, autor, entre otros, del ataque al Comité Nacional del Partido Demócrata de EEUU que afectó a las elecciones de 2016, al canal de televisión francés TV5Monde, a la Agencia Mundial Antidopaje y a muchas otras instituciones en todo el mundo.
El descubrimiento de este rootkit UEFI usado como herramienta de ataque por primera vez es una llamada de atención a los usuarios y a las organizaciones que ignoran los riesgos de un mundo ultraconectado.
“Este descubrimiento debería servir para incorporar, de una vez por todas, el análisis regular también del firmware de los dispositivos utilizados en una organización. Es cierto que los ataques UEFI son extremadamente raros y hasta ahora se limitaban a la manipulación del dispositivo afectado, pero un ataque como el descubierto por los investigadores de ESET puede conseguir que un atacante obtenga el control completo del aparato con una persistencia prácticamente total”, recuerda Albors.
ESET, con ESET UEFI Scanner, es el único fabricante de la industria de seguridad que añade una capa de protección dedicada en las soluciones endpoint diseñada específicamente para detectar componentes maliciosos en el firmware del dispositivo.
