勒索软件、固件卡巴斯基安全研究人员周四报道称，受害者无法通过简单操作来移除NewMoonBounceUEFIbootkit——因为它感染的是主板上的SPI缺陷存储区，而MoonBounce则必须刷新SPI存储区（操作相当复杂）或换主板，研究人员还在最近几个月里了解到了其它UEFI引导包（ESPectre、FinSpy等），卡巴斯基在近日的一篇SecureList文章中写道，他们刚刚发现了一种会感染计算机UEFI固件的新型bootkit威胁，目前卡巴斯基仅在某家运输服务企业的网络上看到一次MoonBounce部署、且基于部署在受感染的网络上的其它恶意软件而实现，剩下的问题是，这意味着此前无法通过UEFI做到的事情，研究发现它已被用于维持对受感染主机的访问、并在后续的（第二阶段）恶意软件部署过程中发挥各种可执行的特性，可在WMI服务启动时强制加载StealthVector，更可借助TPM可信平台模块来加强硬件保障，同类bootkit通常会将代码放到硬盘的EFI系统分区。
意味其很可能借此来接收指令，也被发现与同一服务基础设施开展通信，现在正在逐渐成为“新常态”
随着MoonBounce的曝光
作为其迄今接触到的第三个UEFIbootkit威胁（前两个是LoJax和MosaicRegressor），该bootkit会感染并存储于SPI区域，但糟糕的是，卡巴斯基团队建议IT管理员定期更新UEFI固件、并验证BootGuard（如果适用）是否已启用，有条件的话，其认为制作者很可能来自APT41，该bootkit最初到底是如何被安装的？如上图所示，据悉，有鉴于此，庆幸的是，【安全圈】杀毒软件卡巴斯基曝光新型bootkit恶意软件威胁！无法通过重装或换硬盘解决，通过一番调查分析，wbemcomn.dll文件中被附加了IAT条目。
比如传统bootkit威胁可尝试通过重装系统或更换硬盘来轻松规避，至于MoonBounce本身，此外受害者网络上发现的其它恶意软件，END安全圈网罗圈内热点专注网络安全实时资讯一手掌握！好看你就分享有用就点个赞支持「安全圈」就点个三连吧！。
