هل صحيح أن إسيت هى بائع الحلول الأمنية الوحيد الذي يمكن لعملائه فحص البرامج الثابتة UEFI الخاصة بهم بحثاً عن مكونات ضارة؟ إذا كان الأمر كذلك ، فما السبب وراء عدم وجود منافسين لإسيت في مثل هذه التكنولوجيا؟

إسيت هي المورد الوحيد من بين أفضل ٢٠ شركة متخصصة في حلول حماية نقاط النهاية من خلال الإيرادات ، مما يوفر لمستخدميها تقنية المسح الضوئي UEFI التي يتم تنفيذها في حلول الحماية النهائية. في حين أن بعض البائعين الآخرين قد يكون لديهم بعض التقنيات  "UEFI" في إلا أن غرضهم يختلف عن الوظيفة التي يجب أن يقوم بها برنامج فحص البرامج الثابتة الأصلي.

أما بالنسبة إلى السبب ، فإن إسيت هي الشركة الوحيدة في مجالها التي تؤمّن للعملاء  UEFI firmware, و هذا يوضح نهج إسيت المسؤول للحماية. نعم هجمات UEFI firmware ، كانت تقتصر في الغالب على العبث بالكمبيوتر المستهدف. و مع ذلك ، فإن مثل هذه الهجمات ، إذا نجحت ، ستؤدي إلى التحكم الكامل في الجهاز . لذا إتخذت إسيت قراراً بإستثمار مواردها في القدرة على حماية عملائها من هجمات UEFI التي تم تسهيل تشغيلها.

يظهر الإكتشاف الأخير لـ LoJax ، أول مجموعة جذرية لـ UEFI تم إكتشافها في هجوم حاسوبي حقيقي ، على أنه للأسف ، قد تصبح تهيدات UEFI rootkits جزءاً معتادًا من هجمات الكمبيوتر المتقدمة.

لحسن الحظ ، بفضل جهاز ESET UEFI Scanner ، أصبح عملاؤنا في وضع ممتاز لتحديد مثل هذه الهجمات و الدفاع عن أنفسهم ضدها.

بإختصار ، يعد فحص البرنامج الثابت الطريقة الوحيدة لتحديد أى تعديلات أجريت عليه. من وجهة نظر الأمن ، فإن البرامج الثابتة التالفة خطرة للغاية لأنه من الصعب إكتشافها و قادرة على البقاء على قيد الحياة و الهروب من التدابير الأمنية مثل إعادة تثبيت نظام التشغيل ، و حتى إستبدال القرص الثابت.

قد يتم إختراق البرامج الثابتة في مرحلة تصنيع الكمبيوتر ، أو أثناء الشحن ، أو عن طريق إعادة تحميل البرامج الثابتة إذا تمكن المهاجمون من الوصول الفعلي إلى الجهاز ، و لكن أيضاً ، كما أظهرت الأبحاث الأخيرة لـ إسيت ، عبر هجوم ضار متطور.

عادة لا يمكن وصول البرامج الثابتة لحلول الحماية للمسح الضوئي ، و نتيجة لذلك ، يتم تصميم حلول الحماية فقط لمسح محركات الأقراص و الذاكرة. للوصول إلى البرامج الثابتة ، هناك حاجة إلى أداة متخصصة - مثل الماسح الضوئي.

"UEFI scanner" هو وحدة نمطية في حلول الأمان لإسيت التي تتمثل وظيفتها الوحيدة في قراءة محتوى البرامج الثابتة UEFI و جعلها قابلة للفحص. و بالتالي ، يتيح ESET UEFI Scanner لمحرك الفحص المنتظم لـ إسيت التحقق من أمان بيئة التشغيل التمهيدية.

بإختصار ، تم تصميم حلول الأمان إسيت ، مع قدرات مدعومة بتقنية المسح الضوئي  ، للكشف عن المكونات المشبوهة أو الضارة في البرنامج الثابت و إبلاغ المستخدم عنها.

بمجرد إكتشاف مكون مشبوه أو ضار في البرنامج الثابت ، يتم إبلاغ المستخدم حتى يتمكن من اتخاذ الخطوات الصحيحة.

في ظل أحد السيناريوهات ، انه لا يوجد شيء خطأ في عمليات الكشف - قد ينتمي المكون المشبوه ، على سبيل المثال ، إلى حل مضاد السرقة المصمم لتحقيق أقصى قدر ممكن من الثبات في النظام.

وفقاً لسيناريو آخر ، انه لا يوجد سبب لوجود مكون غير اساسي تم إكتشافه في البرنامج الثابت. فإن في مثل هذه الحالة ، يجب إتخاذ إجراءات العلاج.

للأسف ، لا توجد طرق سهلة لتنظيف النظام من مثل هذه التهديدات. فعادة ، ما يجب إعادة تحميل البرامج الثابتة لإزالة المكون الخبيث  UEFI ، أو تغيير اللوحة الأم للنظام المصاب.

تم وصف إكتشاف إسيت بشكل شامل كاملاً في blog post و white paper على مدونة إسيت للحماية, WeLiveSecurity.

بإختصار ، قام باحثو إسيت ، بقيادة جان إيان بوتين ، الباحث الأول في إسيت ، بعمل بحثي كبير ، يجمع بين معرفتهم المتعمقة لمجموعة Sednit APT ، و بيانات القياس عن بعد من أنظمة الكشف لإسيت و الإكتشاف السابقة من قبل أقرانهم في شبكة Arbor. و نتيجة لذلك ، إكتشفوا مجموعة كاملة جديدة من الأدوات للهجمات الإلكترونية ، بما في ذلك أول مجموعة جذرية من UEFI.

و تعتبر Sednit ، التي تعمل منذ عام ٢٠٠٤ على الأقل ، و المعروفة أيضاً بإسم APT28 ، STRONTIUM ، Sofacy and Fancy Bear ، واحدة من أكثر المجموعات النشطة. و من المعروف أن هذه المجموعات تقوم بالتجسس الإلكتروني و غيرها من الهجمات الإلكترونية على الأهداف البارزة.

إختراق اللجنة الوطنية الديمقراطية التي أثرت على إنتخابات الولايات المتحدة عام ٢٠١٦ ، إختراق شبكة التلفزيون العالمية TV5Monde ، تسريب البريد الإلكتروني لوكالة مكافحة المنشطات العالمية ، و غيرها الكثير و يعتقد أنه من عمل Sednit.

تحتوي هذه المجموعة على مجموعة متنوعة من أدوات البرمجيات الخبيثة في ترسانتها ، و العديد من الأمثلة التي قام باحثو إسيت بتوثيقها في previous white paper و كذلك في العديد من التدوينات على WeLiveSecurity. أظهر إكتشاف الجذور الخفية لـ LoJax UEFI أن مجموعة Sednit APT هي أكثر تطوراً و خطورة مما كان يُعتقد سابقاً ، وفقاً لجان إيان بوتن ، كبير باحثى البرامج الضارة فى إسيت الذي قاد البحث في حملة Sednit الأخيرة.

بالنسبة إلى الإسناد ، لا تؤدي إسيت أي إسناد جغرافي - سياسي. تعتبر عملية الإسناد بطريقة جادة و علمية مهمة حساسة تتعدى نطاق اختصاص باحثي أمن إسيت. ما يطلق عليه باحثو إسيت "مجموعة Sednit" هو مجرد مجموعة من البرامج وا لبنية التحتية للشبكة ذات الصلة ، دون أي علاقة مع أي منظمة محددة.