Французский эксперт по компьютерной безопасности Джонатан Броссар (Jonathan Brossard), основатель и главный инженер компании Toucan System, наглядно продемонстрировал возможность модифицировать базовую прошивку материнской платы, сетевых карт и CD/DVD-приводов. Его утилита под названием Rakshasa отличается от более ранних попыток подменить и модифицировать BIOS своей способностью «поселяться» в системе навсегда и избегать обнаружения стандартными средствами.

Подмена базовой системы ввода/вывода (BIOS — Basic Input Output System) в компьютерах давно интересует специалистов, как способ скомпрометировать операционную систему на стадии первичной загрузки, не оставляя следов на жестком диске. Утилита Rakshasa, названная в честь демона индуистской мифологии, способна эффективно выполнять эту операцию. Она была продемонстрирована сразу на двух важнейших конференциях по безопасности этого года – Black Hat и Defcon.

Строго говоря, утилита Rakshasa является не первой программой, которая способна на низком уровне вмешаться в инициализацию всех важнейших аппаратных компонентов системы. Тем не менее, новые находки разработчиков позволяют обеспечить долговременное существование Rackshasa в системе и избегать обнаружения. Кроме того, она может заражать прошивку компонентов, подключаемых к материнской плате по интерфейсу PCI, включая сетевые адаптеры и оптические приводы – это обеспечивает дополнительное резервирование при попытках уничтожить вредоносный код.

Примечательно, что технология Rakshasa построена с использованием общедоступных инструментов с открытым исходным кодом. Она заменяет BIOS, встроенный производителем, комбинацией альтернативных модулей Coreboot и SeaBIOS, которые работают на материнских платах разных производителей. Кроме того, поддерживается запись открытого сетевого загрузчика под названием iPXE в память сетевого адаптера.

Конечно, открытые компоненты были изменены, чтобы не отображать никакой информации, способной выдать их присутствие в ходе загрузки. Стоит заметить, что технология Coreboot даже поддерживает вывод собственной заставки, повторяющей диалоги подмененных прошивок BIOS.

По словам Броссара, нынешняя архитектура компьютеров дает каждому периферийному устройству равный доступ к оперативной памяти. В результате привод CD-ROM теоретически может управлять сетевой картой. Это значит, что если кто-то решит восстановить исходный BIOS, подложная прошивка, расположенная в памяти сетевого адаптера или в привода CD-ROM, может использоваться, чтобы вновь подменить восстанавливаемый BIOS.

Единственный способ полностью уничтожить такое заражение, это выключить компьютер и вручную прошить каждый компонент в отдельности. Подобный метод практически неприменим для рядовых пользователей, поскольку требует специального оборудования и высокой квалификации операторам.