Ловците на зловреден софтуер от ESET документираха в сряда откриването на прототип на UEFI bootkit, насочен към конкретни конфигурации на Ubuntu Linux, което е сигнал за промяна в процеса на разширяване на bootkit атаките отвъд операционната система Windows.
Наречен Bootkitty, ESET отбелязва, че бууткитът представлява първоначално доказателство за концепция, а не активна заплаха, но предупреждава за нова реалност: „UEFI бууткитовете вече не са ограничени само до Windows системите.“
В изследователския документ, написан от изследователите Мартин Смолар и Петер Стричек, ESET казва, че Bootkitty е проектиран да деактивира проверката на подписа на ядрото за ядрото на Linux и неговите модули. Той също така поправя ключови процеси, включително зареждащия модул GRUB и процедурите за декомпресия на ядрото.
Буткитът, забелязан, когато неизвестно досега приложение за UEFI, „bootkit.efi“, беше качено във VirusTotal през ноември 2024 г., е предназначен да модифицира ядрото на Linux, за да позволи зареждането на неподписани модули на ядрото, заобикаляйки защити като UEFI Secure Boot.
ESET заяви, че многобройни артефакти, включително неизползвани функции и твърдо кодирани отмествания, предполагат, че Bootkitty все още е в процес на разработка и все още не е внедрен от активни участници заплахи.
„Основната цел на bootkitty е да деактивира функцията за проверка на подписа на ядрото и да зареди предварително две все още неизвестни ELF двоични файлове чрез Linux init процеса (който е първият процес, изпълняван от Linux ядрото по време на стартирането на системата)“, казват изследователите.
По време на разследването екипът на ESET открива евентуално свързан неподписан модул на ядрото – със знаци, които подсказват, че може да е разработен от същия автор (автори) като бууткита – който разгръща ELF двоичен файл, отговорен за зареждането на още един модул на ядрото.
ESET заяви, че свързаният модул на ядрото, наречен BCDropper, проявява поведение, подобно на руткит, включително скриване на файлове и процеси, разгръщане на вторичен полезен товар, който улеснява зареждането на допълнителен неподписан модул на ядрото по време на изпълнение.
Изследователите обаче отбелязват, че точната връзка между BCDropper и Bootkitty остава спекулативна, но отбелязват признаци на споделено развитие, които предполагат връзка.
През годините са се появявали UEFI bootkits, насочени предимно към екосистемата на Windows. Сред тях са ESPecter, FinSpy и съвсем наскоро BlackLotus – първият UEFI bootkit, способен да заобикаля UEFI Secure Boot на актуални системи.
През юли миналата година изходният код на BlackLotus беше споделен публично в GitHub, макар и с няколко модификации в сравнение с оригиналния зловреден софтуер. Разработен специално за Windows, bootkit-ът се появи в хакерски форуми през октомври миналата година, като беше рекламиран с възможности на ниво APT, като например заобикаляне на защитеното зареждане и контрола на потребителския достъп (UAC) и възможност за деактивиране на приложенията за сигурност и защитните механизми в системите на жертвите.
След откритието Microsoft пусна ресурси, които да помогнат на ловците на заплахи да идентифицират инфекциите с BlackLotus. Националната агенция за сигурност на САЩ (NSA) също публикува ръководство, което да помогне на организациите да укрепят системите си срещу заплахата.
