上海文通大学 DEITYBOUNCE SHANGHAI JIAO TONG UNIVERSITY DEITYBOUNCE利用主板的BIOS和利用系统管 理模块(System Management Mode)的漏洞驻 留在Dell的PowerEdge服务器上。 ©采用interdiction注入方式。 R&T Analyst WTargets ARKSTREAM Survey TUNING FORK OPS Projects Post Processing SNEAKERNET Target Systems ROC Interactive OPS Console
DEITYBOUNCE DEITYBOUNCE利用主板的BIOS和利用系统管 理模块（System Management Mode）的漏洞驻 留在Dell的PowerEdge服务器上。 采用interdiction注入方式
上海文通大学 MEBROMI[2011年1 SHANGHAI JIAO TONG UNIVERSITY 2011年安全公司360截获到名叫MEBROM的 B1OS恶意代码。 EBROMI是一个非常简陋的面向Award主的 BOOTKIT,MEBROMI通过BIOS感染硬盘的引 导扇区MBR,再通过MBR感染Vindows系统文 件。 网络空间安全学院
MEBROMI［2011年］ 2011年安全公司360截获到名叫MEBROMI的 BIOS恶意代码。 MEBROMI是一个非常简陋的面向Award主板的 BOOTKIT，MEBROMI通过BIOS感染硬盘的引 导扇区MBR，再通过MBR感染Windows系统文 件
上游究通大学 MEBROMI运行流程 SHANGHAI JIAO TONG UNIVERSITY 针对特定主板感染BIOS B1OS(主板芯片程序 BMW病毒 利用BIOS感染硬盘MBR 针对其它主板感染MBR MBR(硬盘主引导区) 利用MBR感染Windows系统文件(32位) Winlogon.exe(XP/2003) Windows系统文件 Wininit.exe(Win7/ista) 执行恶意代码，批量下载木马病毒 盗号/改主页/远程控制 ○nescorp1on 网络空间安全学院
MEBROMI运行流程
上游究通大学 SHANGHAI JIAO TONG UNIVERSITY MEBROMI支特的主板类型： 主板型号 MEBROMI是否支持 MEBROMI支持的操作系统类型： AMI UEFI 不支持 主板型号 MEBROMI是否支持 AMI BIOS Windows XP X86 不支持 支持 Windows XP X64 AWARD BIOS 支持 不支持 Phoenix UEFI 不支持 Windows Vista X86 支持 INSYDE UEFI 不支持 Windows Vista X64 不支持 Windows 7 X86 支持 Windows 7 X64 不支持 MEBROM1I支持的服务器操作系统类型： Windows 8 X86 不支持 主板型号 MEBROMI是否支 Windows 8 X64 不支持 持 Windows 8.1 X86 不支持 Windows Server 2003 X86 支持 Windows 8.1 X64 不支持 Windows Server 2003 X64 不支持 Windows 10 X86 不支持 Windows Server 2008 X86 不支持 Windows 10 X64 不支持 Windows Server 2008 X64 不支持 Nindows Server 2008 R2 X64 不支持 Windows Server 2012 X64 不支持 网络空间安全学院
上海文通大学 UEFIBOOTKIT2015 SHANGHAI JIAO TONG UNIVERSITY 2015年著名的黑客公司Hacking Team源代码泄 漏，其中也包括针对UEF进行攻击的 UEFIBOOTKIT的源代码。 ©植入有很多前提条件： 需要物理控制目标机器，植入过程需要插入移动存储 设备机会，以及需要能重启目标机器进入UEFI Shell 模式。 代码分析请参考： http://www.freebuf.com/articles/system/72713.html 网络空间安全学院
UEFIBOOTKIT[2015] 2015年著名的黑客公司Hacking Team源代码泄 漏，其中也包括针对UEFI进行攻击的 UEFIBOOTKIT的源代码。 植入有很多前提条件： • 需要物理控制目标机器，植入过程需要插入移动存储 设备机会，以及需要能重启目标机器进入UEFI Shell 模式。 代码分析请参考： http://www.freebuf.com/articles/system/72713.html