Odkryto prawdopodobnie pierwszy, aktywny w Internecie UEFI bootkit, potrafiący omijać mechanizm UEFI Secure Boot: działa na w pełni załatanych Windowsach.

Eset przedstawił analizę malware BlackLotus. To złośliwe oprogramowanie potrafi odpalić się we wczesnej fazie bootowania systemu, co z kolei umożliwia na ominięcie wielu standardowych metod ochrony oferowanych przez system operacyjny / hardware:

However, running as a bootloader gives them almost the same capabilities as firmware implants, but without having to overcome the multilevel SPI flash defenses, such as the BWE, BLE, and PRx protection bits, or the protections provided by hardware (like Intel Boot Guard).

I w zasadzie to jest głównym „atutem” tego złośliwego oprogramowania – znacznie utrudnione wykrycie, możliwość zignorowania wielu mechanizmów ochronnych OS oraz (oczywiście) działanie z bardzo wysokimi uprawnieniami.

Malware wykorzystuje podatność CVE-2022-21894, jeśli wczytacie się w szczegóły to jest ona… załatana. Ale jak się okazuje, mimo microsoftowej łatki udaje się ją wykorzystać – również w całkowicie zaktualizowanych systemach:

Although the vulnerability was fixed in Microsoft’s January 2022 update, its exploitation is still possible as the affected, validly signed binaries have still not been added to the UEFI revocation list. BlackLotus takes advantage of this, bringing its own copies of legitimate – but vulnerable – binaries to the system in order to exploit the vulnerability

Co jeszcze? Oczywiście malware pracuje z bardzo wysokimi uprawnieniami (jądro OS), dzięki czemu ma między innymi możliwość wyłączenia Bitlockera, Windows Defendera czy mechanizmu HCVI.

Ze złych wieści – malware sprzedawany jest od jakiegoś czasu na czarnym rynku, z dobrych – do pierwszego uruchomienia wymaga uprawnień administratora Windows.

~ms