Die Experten von Kaspersky haben mit dem CosmicStrand ein neues UEFI-Firmware-Rootkit entdeckt. Es sei hauptsächlich für Angriffe auf Privatpersonen in China verwendet worden, einige Opfer befänden sich zudem in Vietnam, im Iran und in Russland. Betroffen waren davon wohl nur  Windows-Nutzer.

CosmicStrand ist nach Erkenntnissen der Kaspersky-Expertenvon einem zuvor unbekannten chinesischsprachigen Akteur geschrieben worden. Während das eigentliche Ziel der Angreifer noch nicht bekannt ist, stellten die Forscher fest, dass die Firmware nur auf Privatpersonen abzielt und nicht wie sonst üblich auf Unternehmen. Alle angegriffenen Computer seien Windows-basiert gewesen, teilt Kaspersky mit. CosmicStrand  habe bei jedem Neustart eines Computers nach dem Start von Windows schädliche Code ausgeführt, dessen Zweck darin bestanden habe, sich mit einem C2-Server (Command-and-Control) zu verbinden und eine zusätzliche schädliche ausführbare Datei herunterzuladen.

Die Kaspersky-Experten konnten noch nicht identifizieren, wie das Rootkit auf die infizierten Computer gelangte, es gebe aber Hinweise, dass einige Nutzer wohl kompromittierte Geräte erhalten haben, als sie Hardware-Komponenten online bestellten. Interessant sei zudem, dass CosmicStrand wohl bereits seit Ende 2016 in freier Wildbahn verwendet wurde – lange bevor UEFI-Angriffe überhaupt öffentlich beschrieben wurden.

Dies deutet darauf hin, dass diese Akteure über fortschrittliche Fähigkeiten verfügen, die sicherstellten, dass die Firmware so lange unentdeckt bleiben konnte. Man müsse sich jetzt fragen, welche neuen Tools sie in der Zwischenzeit entwickelt haben, sagte Ivan Kwiatkowski, Senior Security Researcher beim Global Research and Analysis Team bei Kaspersky.

Der Beitrag Kaspersky entdeckt neues altes UEFI-Rootkit erschien zuerst auf Linux-Magazin.