El respetado consultor de seguridad Dragos Ruiu informa sobre que ha sido infectado con un malware misterioso que puede sobrevivir a la reinstalación del sistema operativo y al flasheo del sistema operativo. En otras palabras, tomó una máquina infectada, la limpió, la filtró, volvió a actualizar su BIOS, reemplazó su unidad de disco, instaló un sistema operativo nuevo y, después de iniciar el nuevo sistema operativo, todavía estaba infectado.
¿Cómo podría permanecer esa infección? ¿Qué mecanismos podría usar el malware para mantener sus enlaces en una máquina y sobrevivir tanto a la actualización del BIOS como a la reinstalación del sistema operativo?
Por supuesto, estoy interesado en las posibilidades del mecanismo que podría estar usando el misterioso malware de Dragos, pero no nos detengamos allí. En términos más generales, también estoy interesado en qué mecanismos podría usar el malware para sobrevivir al borrar el disco y el flasheo del BIOS. ¿Qué esquemas podría usar el malware para este propósito?
Esta pregunta tiene implicaciones sobre cómo nos recuperamos de la infección. Un dicho estándar es que, una vez que lo han pirateado, "la única manera de estar seguro es atacar desde la órbita"; en otras palabras, debe limpiar el disco duro y volver a instalar todo desde cero. Tal vez la lección de este malware misterioso es que incluso "matarlo desde la órbita" no es suficiente. Por lo tanto, para comprender lo que debemos hacer para restaurar una máquina infectada a un estado de buena reputación, ayudaría a comprender todas las formas en que el malware podría permanecer residente incluso después de reemplazar el disco duro y volver a flashear el BIOS.
Más antecedentes: esta página resume lo que Dragos ha informado sobre la malware misterioso con el que estaba infectado. Consulte también esta excelente respuesta de Gilles .