Откриването на прототип на UEFI bootkit, за което писахме, насочен към конкретни настройки на Ubuntu Linux, се задълбочи с разкрития, свързващи създаването му с проект на южнокорейски университет и интегрирането на LogoFAIL експлойт за заобикаляне на проверките на Secure Boot.

Според някои източници  Bootkitty е изследователски проект от академичната програма BoB („Best of the Best“) на Южна Корея, която осигурява обучение на таланти в областта на киберсигурността.

Програмата BoB е част от Южнокорейския изследователски институт по информационни технологии и е свързана с организацията на страната Министерство на търговията, промишлеността и енергетиката.

Буткитът, открит от ESET след качване на образци във VirusTotal, е създаден от изследователи от университета, за да демонстрира реални рискове за сигурността под операционната система. Университетът не може да бъде открит за коментар.

Отделно от това експертите по сигурността на фърмуера в Binarly откриха експлойт за серията уязвимости LogoFAIL, интегрирани в кода на Bootkitty, за заобикаляне на защитите на Secure Boot.

От Binarly заявиха, че bootkit-ът използва CVE-2023-40238 – уязвимост, свързана с първоначалните открития на Binarly за LogoFAIL от декември миналата година.

„Като използват недостатъци в обработката на изображения по време на зареждането на системата, нападателите са разработили сложен механизъм за заобикаляне на защитата Secure Boot“, обясниха от компанията в Лос Анджелис.

По-конкретно Bootkitty използва манипулиран BMP файл с име logofail.bmp, за да изпълни зловреден шелкод и да инжектира фалшиви сертификати в променливите на UEFI, като ефективно гарантира, че зловредният софтуер е доверен по време на процеса на зареждане.

Binarly документира експлойта, за да покаже как подправеният BMP файл (logofail.bmp) е създаден, за да вгради зловреден шел код, който е насочен към рутинните процедури за анализ на изображения на UEFI фърмуера.

Компанията заяви, че експлойтът манипулира променливата MokList, заобикаляйки процеса на проверка на Secure Boot и позволявайки на злонамерени буутлоудъри да работят без проверка.

Уязвимите устройства включват модели на Lenovo, Acer, HP и Fujitsu, като има данни, че прототипът на зловредния софтуер е пригоден за конкретни хардуерни конфигурации.
Експерименталният UEFI bootkit е доказателство, че нападателите могат лесно да разширят bootkit атаките извън операционната система Windows, като деактивират проверката на подписа на ядрото за Linux ядрото и неговите модули.

Забелязан за първи път, когато неизвестно досега UEFI приложение, „bootkit.efi“, е качено във VirusTotal през ноември 2024 г., ESET заяви, че многобройните артефакти, включително неизползвани функции и твърдо кодирани отмествания, предполагат, че Bootkitty все още е в процес на разработка и не е активна заплаха.

През годините в дивата природа са се появявали UEFI bootkits, насочени предимно към екосистемата на Windows. Сред тях са ESPecter, FinSpy, а съвсем наскоро и BlackLotus – първият UEFI bootkit, способен да заобикаля UEFI Secure Boot на актуални системи.

През юли миналата година изходният код на BlackLotus беше споделен публично в GitHub, макар и с няколко модификации в сравнение с оригиналния зловреден софтуер. Разработен специално за Windows, bootkit-ът се появи в хакерски форуми през октомври миналата година, като беше рекламиран с възможности на ниво APT, като например заобикаляне на защитеното зареждане и контрола на потребителския достъп (UAC) и възможност за деактивиране на приложенията за сигурност и защитните механизми в системите на жертвите.