Análise de Malware em Firmware

Quando Usar

• Um dispositivo IoT ou roteador comprometido precisa de análise de firmware para identificar backdoors implantados
• Investigação de rootkits UEFI/BIOS que persistem após reinstalações do sistema operacional
• Análise de atualizações de firmware para comprometimento da cadeia de suprimentos ou modificações maliciosas
• Extração e exame de sistemas de arquivos Linux embarcados de imagens de firmware de dispositivos IoT
• Verificação da integridade do firmware após um suposto comprometimento em nível de hardware ou firmware

Não use para malware de sistema operacional padrão; use ferramentas de análise PE/ELF para malware em nível de sistema operacional em sistemas convencionais.

Pré-requisitos

• binwalk instalado para análise e extração de imagens de firmware (pip install binwalk)
• Ghidra com suporte à arquitetura ARM/MIPS para engenharia reversa de binários embarcados
• UEFI Tool (UEFITool) para análise e parsing de firmware UEFI
• Firmware Analysis Toolkit (FAT) ou EMBA para análise automatizada de firmware
• QEMU para emulação de sistemas de arquivos de firmware extraídos
• Toolchains de compilação cruzada para ARM, MIPS e outras arquiteturas embarcadas

Fluxo de Trabalho

Passo 1: Extrair e Identificar Componentes do Firmware

Analise a estrutura da imagem de firmware e extraia sistemas de arquivos:

# Identify embedded filesystems and compressed data
binwalk firmware.bin

# Extract all identified components
binwalk -e firmware.bin

# Recursive extraction with signature scanning
binwalk -eM firmware.bin

# Output typically includes:
# - Bootloader (U-Boot, GRUB, custom)
# - Kernel image (Linux, RTOS)
# - Root filesystem (SquashFS, JFFS2, CramFS, ext4)
# - Configuration data
# - Digital signatures or checksums

# Entropy analysis to find encrypted or compressed regions
binwalk -E firmware.bin

# Identify specific filesystem types
file _firmware.bin.extracted/*

# For SquashFS filesystems
unsquashfs _firmware.bin.extracted/squashfs-root.img
ls squashfs-root/

Passo 2: Analisar o Sistema de Arquivos Extraído

Procure por modificações maliciosas no sistema de arquivos do firmware:

# Directory structure analysis
find squashfs-root/ -type f | head -50

# Search for suspicious files
find squashfs-root/ -name "*.sh" -exec ls -la {} \;
find squashfs-root/ -perm -4000 -type f  # SUID binaries
find squashfs-root/ -name "*.so" -newer squashfs-root/bin/busybox  # Modified libraries

# Check startup scripts for backdoors
cat squashfs-root/etc/init.d/rcS
cat squashfs-root/etc/inittab
ls -la squashfs-root/etc/rc.d/

# Search for hardcoded credentials
grep -rn "password\|passwd\|secret\|key\|token" squashfs-root/etc/ 2>/dev/null
grep -rn "root:" squashfs-root/etc/shadow 2>/dev/null

# Check for unauthorized SSH keys
find squashfs-root/ -name "authorized_keys" -exec cat {} \;

# Network configuration backdoors
cat squashfs-root/etc/hosts
grep -rn "iptables\|nc\|netcat\|ncat" squashfs-root/etc/ squashfs-root/usr/bin/

# Check for reverse shells in cron
find squashfs-root/ -name "crontab" -o -name "cron*" | xargs cat 2>/dev/null

# Identify all ELF binaries for analysis
find squashfs-root/ -type f -exec file {} \; | grep ELF

Passo 3: Engenharia Reversa de Binários Suspeitos

Analise binários extraídos que podem ser backdoors:

# Identify architecture and format
file squashfs-root/usr/bin/suspicious_binary

# Extract strings for IOC discovery
strings squashfs-root/usr/bin/suspicious_binary | grep -iE "http|ip|port|shell|connect|exec"

# Cross-reference against known firmware binaries
# Compare SHA-256 hashes with known-good firmware
sha256sum squashfs-root/usr/bin/* > current_hashes.txt
# diff against baseline: diff baseline_hashes.txt current_hashes.txt

# Import into Ghidra for disassembly (select correct architecture)
# ARM:   ARM/AARCH64 (Little Endian for most IoT devices)
# MIPS:  MIPS/MIPS64 (Big or Little Endian depending on device)
# x86:   For UEFI modules

# Analyze with radare2 for quick triage
r2 -A squashfs-root/usr/bin/suspicious_binary
# Commands: afl (function list), pdf @main (disassemble main), iz (strings)

Passo 4: Análise de Firmware UEFI/BIOS

Analise o firmware do sistema em busca de bootkits e implantes:

# Extrair volumes de firmware UEFI com UEFITool
# GUI: UEFITool -> File -> Open -> Selecionar firmware.rom
# CLI: UEFIExtract firmware.rom

# Analisar firmware UEFI com chipsec (requer acesso ao hardware)
python chipsec_main.py -m common.bios_wp     # Proteção contra gravação do BIOS
python chipsec_main.py -m common.spi_lock     # Bloqueio do flash SPI
python chipsec_main.py -m common.secureboot   # Status do Secure Boot

…