Virustotal: مسح البرامج الثابتة بحثًا عن علامات التلاعب
- فئة: الأمان
خدمة فحص الفيروسات الشهيرة عبر الإنترنت من Google Virustotal تم الاستلام تحديث حديث يمكّن مستخدمي الخدمة من فحص البرامج الثابتة تمامًا مثل الملفات الأخرى.
واحدة من أكبر نقاط القوة في فيروستوتال هو دعم الفحص متعدد المحركات الذي يختبر الملفات التي تم تحميلها إلى الخدمة باستخدام أكثر من 40 محركًا مختلفًا لمكافحة الفيروسات.
تم توسيع الخدمة عدة مرات منذ أن حصلت عليها Google لتحسين معلمات الفحص من بين أشياء أخرى.
أحدث إضافة إلى Virustotal هي دعم عمليات مسح البرامج الثابتة التي تمكن مستخدمي الخدمة من تحميل صور البرامج الثابتة ، التي تم إلقاؤها أو تنزيلها ، إلى الخدمة لمعرفة ما إذا كانت (على الأرجح) مشروعة أو تم التلاعب بها.
مسح البرامج الثابتة Virustotal
على الرغم من أن معظم البرامج الضارة تصيب الأنظمة الموجودة في جانب البرامج ، فإن البرامج الضارة للبرامج الثابتة تمثل مشكلة بشكل خاص لأنه ليس من السهل اكتشافها أو تنظيفها.
نظرًا لأنه يتم تخزين البرامج الثابتة على الجهاز نفسه ، فإن تنسيق محركات الأقراص الثابتة أو حتى استبدالها ليس له أي تأثير على الحالة المصابة لجهاز الكمبيوتر.
نظرًا لأن الاكتشاف صعب علاوة على ذلك ، فمن الشائع أن يمر نوع الهجوم دون أن يلاحظه أحد لفترة طويلة.
يعمل فحص البرامج الثابتة التي يدعمها Virustotal في العديد من النواحي مثل المسح العادي للملفات. الاختلاف الأساسي هو كيفية الحصول على البرامج الثابتة.
بينما يمكن استخدامه لاختبار البرامج الثابتة التي يتم تنزيلها من موقع الشركة المصنعة على الويب ، فإن الحاجة الأكثر شيوعًا هي الرغبة في اختبار البرامج الثابتة المثبتة على الجهاز بدلاً من ذلك.
المشكلة الرئيسية هنا هي أنه يجب التخلص من البرامج الثابتة حتى يحدث ذلك. يسلط منشور المدونة على موقع Virustotal الضوء على العديد من الأدوات (في الغالب كرمز مصدر أو لأنظمة Unix / Linux) التي يمكن للمستخدمين الاستفادة منها لتفريغ البرامج الثابتة على الأجهزة التي يشغلونها.
يبدو تحليل الملف مماثلاً لتحليل الملفات الأخرى للوهلة الأولى ، لكن علامة التبويب 'تفاصيل الملف' وعلامات التبويب 'معلومات إضافية' تكشفان عن معلومات محددة تقدم معلومات متعمقة فوق ذلك.
تتضمن علامة التبويب 'تفاصيل الملف' معلومات حول الملفات المضمنة وإصدار ROM وتاريخ الإنشاء والمعلومات الأخرى المتعلقة بالبناء.
معلومات تعريف ملف قائمة المعلومات الإضافية وتفاصيل المصدر.
تقوم الأداة الجديدة بتنفيذ المهام التالية وفقًا لـ Virustotal:
الكشف عن نظام Apple Mac BIOS والإبلاغ عنه.
الكشف عن العلامة التجارية القائمة على السلاسل ، لتحديد الأنظمة المستهدفة.
استخراج الشهادات من صورة البرنامج الثابت والملفات القابلة للتنفيذ الواردة فيه.
تعداد رمز فئة PCI ، مما يسمح بتحديد فئة الجهاز.
استخراج علامات جداول ACPI.
تعداد أسماء المتغيرات NVAR.
استخراج ذاكرة القراءة فقط الاختيارية ، وإلغاء ترجمة نقطة الدخول وقائمة ميزات PCI.
استخراج برامج BIOS المحمولة القابلة للتنفيذ وتحديد برامج Windows القابلة للتنفيذ المحتملة الموجودة في الصورة.
الإبلاغ عن خصائص SMBIOS.
إن استخراج الملفات التنفيذية المحمولة من BIOS له أهمية خاصة هنا. يستخرج Virustotal تلك الملفات ويقدمها للتعريف بشكل فردي. يتم الكشف عن معلومات مثل هدف نظام التشغيل المقصود ضمن معلومات أخرى بعد الفحص.
ما يلي نتيجة الفحص تسلط الضوء على برنامج Lenovo rootkit (في شكل NovoSecEngine2) ، الثاني برنامج ثابت محدث لأجهزة Lenovo حيث تمت إزالته.
الكلمات الختامية
يعد خيار مسح البرامج الثابتة الجديد من Virustotal خطوة مرحب بها في الاتجاه الصحيح. في حين أن هذا هو الحال ، ستظل خدمة متخصصة في الوقت الحالي بسبب صعوبة استخراج البرامج الثابتة من الأجهزة وتفسير النتائج.