Neues FinFisher UEFI Bootkit entwickelt

Xynthetic

Nein M-K-D-B, soweit ich weiß ist genau das nicht möglich.

Sobald die Firmware einmal infiziert ist, kann man das Board wegschmeißen - und in diesem Fall auch gleich den Rest des Computers, weil ich keiner einzigen Komponente mehr vertrauen würde.

Unter Umständen kann man die Tasks erkennen, oder auch bestimmte Registry-Einträge in den Run-Keys.
Eher unwahrscheinlich ist, dass FRST irgendwas am Dateisystem bemerkt, weil die Timestamps entsprechend geändert werden.
Alles sieht so aus, als wäre es schon seit einem Jahr auf dem Rechner.
Außerdem ist das "versteckte Dateisystem" gar kein richtiges Dateisystem wie bei anderen Root-/Bootkits, sondern nur eine einzige verschlüsselte Datei - wie eine Art Container.

Jetzt endlich blicke ich durch, wie das Bootkit funktioniert, und es ist echt trickreich. Ziemlich erschreckend.

Ich hoffe, dass Farbar das Ding wenigstens "detectable" macht, damit man weiß, wann es einen erwischt hat.

Ich gehe zwar nicht davon aus, dass ich zur Zielgruppe der Gamma Group Spyware gehöre, da der BND seine eigenen Trojaner schreibt (und ich habe ja eh nix zu verbergen ).
Aber trotzdem würde es mich sehr freuen, wenn die Leute, die von diesem Dreck erwischt werden, es wenigstens einigermaßen rechtzeitig mitbekommen.
Je nachdem, an wen die Gamma Group das Zeug verscherbelt, könnten davon sogar Leben abhängen (das ist leider mein völliger Ernst!).

X.