セキュリティ研究者のジョナサン・ブロサード氏は、コンピュータの BIOS (基本入出力システム) を置き換え、ハードドライブに痕跡を残さずに起動時にオペレーティングシステムを侵害できる Rakshasa という概念実証ハードウェア バックドアを作成した。
フランスのセキュリティ企業Toucan SystemのCEO兼セキュリティ研究エンジニアであるブロサール氏は、木曜日のBlack Hatセキュリティカンファレンスでもこのマルウェアについて発表した後、土曜日のDefconハッカーカンファレンスでもこのマルウェアの仕組みを実演した。
ヒンドゥー神話の悪魔にちなんで名付けられたRakshasaは、BIOS（他のハードウェアコンポーネントを初期化する低レベルのマザーボードファームウェア）を標的とする最初のマルウェアではありません。しかし、Rakshasaは、永続化と検出回避を実現する新たな手法を用いて、類似の脅威とは一線を画しています。
Rakshasa はマザーボードの BIOS を置き換えますが、高度な冗長性を実現するために、ネットワーク カードや CD-ROM などの他の周辺機器の PCI ファームウェアにも感染する可能性があります。
Rakshasaはオープンソースソフトウェアで構築されています。ベンダー提供のBIOSを、様々なメーカーのマザーボードで動作するCorebootとSeaBIOSの組み合わせに置き換え、さらにiPXEと呼ばれるオープンソースのネットワークブートファームウェアをコンピューターのネットワークカードに書き込みます。
これらのコンポーネントはすべて変更されており、起動プロセス中に存在を示唆するような表示は一切行われません。Corebootは、置き換えたBIOSのスプラッシュスクリーンを模倣したカスタムスプラッシュスクリーンもサポートしています。
ブロサール氏は、既存のコンピュータアーキテクチャでは、あらゆる周辺機器がRAM（ランダムアクセスメモリ）に平等にアクセスできると述べている。「CD-ROMドライブはネットワークカードを非常にうまく制御できます。」
つまり、たとえ誰かがオリジナルの BIOS を復元したとしても、ネットワーク カードまたは CD-ROM にある不正なファームウェアを使用して不正なファームウェアを再フラッシュできる可能性があると Brossard 氏は述べた。
マルウェアを除去する唯一の方法は、コンピュータをシャットダウンし、すべての周辺機器を手動で再フラッシュすることですが、この方法は特殊な機器と高度な知識が必要となるため、ほとんどのユーザーにとって現実的ではありません。
ブロサール氏は、ハードウェアのバックドアが実用的であり、コンピュータがエンドユーザーに届けられる前のサプライチェーンのどこかで実行可能であることを証明するためにRakshasaを作成した。彼は、Macを含むほとんどのコンピュータが中国から輸入されていることを指摘した。
ただし、攻撃者が別のマルウェア感染やエクスプロイトを通じてコンピューターのシステム権限を取得した場合、理論的には BIOS をフラッシュして Rakshasa を展開することも可能になります。
一部の PCI デバイスには新しいファームウェアをフラッシュするために移動する必要がある物理スイッチがあり、一部の BIOS にはデジタル署名があるため、リモート攻撃の方法はすべてのケースで有効であるとは限らないとブロサード氏は述べた。
ただし、Coreboot には、ネットワーク カードに書き込まれたファームウェアよりも優先される PCI 拡張ファームウェアをロードする機能があるため、物理スイッチの問題を回避できます。
ブロサール氏は、「この攻撃は物理的にアクセスできる場合には完全に機能しますが、リモートアクセスの場合は99パーセントしか機能しません」と述べた。
ネットワーク カード上で実行される iPXE ファームウェアは、ブートキット (オペレーティング システムより先に実行され、セキュリティ製品が起動する前に感染する可能性のある悪意のあるコード) をロードするように構成されています。
既知のマルウェアプログラムの中には、ブートキットのコードをハードディスクドライブのマスターブートレコード（MBR）内に格納するものがあり、これによりコンピュータフォレンジックの専門家やウイルス対策製品による検出と削除が容易になります。
Rakshasa は、iPXE ファームウェアを使用してリモートの場所からブートキットをダウンロードし、コンピューターの起動のたびに RAM にロードする点で異なります。
「ファイルシステムには一切触れません」とブロサール氏は述べた。「ハードドライブを企業に送ってマルウェアの分析を依頼しても、マルウェアは見つからないでしょう」と彼は言った。
さらに、ブートキットは、オペレーティングシステムの最高権限部分であるカーネルに悪意のある変更を加えるという任務を終えた後、メモリからアンロードすることができます。つまり、コンピューターのRAMをリアルタイムで分析しても、ブートキットを見つけることはできません。
この種の侵害を検出するのは非常に困難です。なぜなら、オペレーティングシステム内で実行されるプログラムはカーネルから情報を取得するからです。ブロサール氏は、ブートキットはこの情報を偽造する可能性が高いと述べています。
iPXEファームウェアは、イーサネット、Wi-Fi、WiMAX経由で通信でき、HTTP、HTTPS、FTPなど様々なプロトコルをサポートしています。これにより、潜在的な攻撃者に多くの選択肢が与えられます。
例えば、Rakshasaはランダムなブログからブートキットを.pdf拡張子のファイルとしてダウンロードします。また、感染したコンピューターのIPアドレスやその他のネットワーク情報を、事前に定義されたメールアドレスに送信することもできます。
攻撃者は、ネットワーク カードのファームウェアと直接通信することで、暗号化された HTTPS 接続を介して構成の更新やマルウェアの新バージョンをプッシュすることができ、また、コマンド アンド コントロール サーバーをさまざまな Web サイト間でローテーションすることで、法執行機関やセキュリティ研究者による削除を困難にすることができます。
BrossardはRakshasaを公式にリリースしていません。しかし、そのコンポーネントの大部分はオープンソースであるため、十分な知識とリソースを持つ者であれば、それを複製することが可能です。このマルウェアの実装をより詳細に説明した研究論文がオンラインで公開されています。
