Kore'nin En İyi Of the Siber Güvenlik Eğitim Programı'ndaki öğrenciler tarafından oluşturulan bu bootkit hakkında aşağıda eklendi.
Son zamanlarda ortaya çıkan 'Bootkitty' Linux UEFI Bootkit, savunmasız ürün yazılımı üzerinde çalışan bilgisayarları hedeflemek için CVE-2023-40238 olarak izlenen Logofail kusurundan yararlanıyor.
Bu, Kasım 2023'te Logofail'i keşfeden ve gerçek saldırılarda kullanılma potansiyeli konusunda uyaran ürün yazılımı güvenlik firması Binarly tarafından doğrulandı.
Bootkitty, geçen hafta bir rapor yayınlayan ESET tarafından keşfedildi ve özellikle Linux'u hedefleyen ilk UEFI Bootkit olduğunu belirtti. Bununla birlikte, şu anda, yaygın bir tehdit yerine yalnızca belirli Ubuntu sürümleri üzerinde çalışan bir gelişme içi UEFI kötü amaçlı yazılımdır.
Logofail, EFI Sistem Bölümü'ne (ESP) ekilen kötü niyetli görüntüler veya logolarla kullanılabilir, çeşitli donanım satıcıları tarafından kullanılan UEFI ürün yazılımı görüntülerinin görüntü-parlama kodunda bir dizi kusurdur.
"Bu görüntüler önyükleme sırasında ayrıştırıldığında, güvenlik açığı tetiklenebilir ve saldırgan kontrollü bir yük yükü, yürütme akışını ele geçirmek ve donanım tabanlı doğrulanmış önyükleme mekanizmaları da dahil olmak üzere güvenli önyükleme gibi güvenlik özelliklerini atlamak için keyfi olarak yürütülebilir."
Binarly'nin en son raporuna göre, BootKitty, Moklist varyantına haydut sertifikalar enjekte ederek güvenli önyükleme korumalarını atlamak için BMP dosyaları ('logofail.bmp' ve 'logofail_fake.bmp') içine Shellcode'u yerleştirir.
'Logofail.bmp' dosyası kabuk kodunu ucuna yerleştirir ve negatif yükseklik değeri (0xfffffd00) ayrıştırma sırasında sınır dışı yazma güvenlik açığını tetikler.
Meşru Moklist'in yerini, kötü niyetli bir bootloader ('bootkit.efi') etkin bir şekilde yetkilendirerek bir haydut sertifikası ile değiştirilir.
Kabuk koduna yürütmeyi yönlendirdikten sonra, Bootkitty, orijinal talimatlarla savunmasız işlevdeki (RLE8TOBOBLT) üzerine yazılmış bellek konumlarını geri yükler, böylece bariz kurcalama belirtileri silinir.
Binarly, Bootkitty'nin Logofail'e karşı yamalanmamış herhangi bir cihazı etkileyebileceğini, ancak mevcut kabuk kodu Acer, HP, Fujitsu ve Lenovo bilgisayarlarda bulunan ürün yazılımı modüllerinde kullanılan belirli kodları beklediğini söylüyor.
Araştırmacının bootkit.efi dosyasını analizi, INSYDE'ye dayalı Lenovo cihazlarının en duyarlı olduğunu belirledi, çünkü BootKitty bu marka tarafından kullanılan belirli değişken adları ve yolları referanslar. Bununla birlikte, bu, geliştiricinin bootkit'i sadece kendi dizüstü bilgisayarlarında test ettiğini ve daha sonra daha geniş bir cihaz yelpazesi için destek ekleyeceğini gösterebilir.
En son ürün yazılımı hala Logofail istismarlarına karşı savunmasız olan bazı yaygın olarak kullanılan cihazlar arasında IdeaPad Pro 5-16IRH8, Lenovo IdeaPad 1-15Iru7, Lenovo Legion 7-16IX7, Lenovo Legion Pro 5-16irx8 ve Lenovo Yoga 9-14irp8 bulunmaktadır.
Binarly, "Logofail ile ilgili alarmı ilk kez duyduğumuzdan bu yana bir yıldan fazla zaman geçti ve yine de, etkilenen birçok taraf, logofail güvenlik açıklarının bir veya daha fazla varyantına karşı savunmasız kalıyor."
"Bootkitty, bu güvenlik açıklarının ne zaman yeterince ele alınmadığının veya düzeltmelerin sahadaki cihazlara düzgün bir şekilde dağıtılmadığının sonuçlarının kesin bir hatırlatıcısı olarak hizmet eder."
Logofail riskini azaltmak, fiziksel erişimi sınırlamak, güvenli önyüklemeyi etkinleştir, parola koruma uefi/bios ayarlarını etkinleştir, harici ortamdan önyükleme devre dışı bırakın ve yalnızca OEM'in resmi web sitesinden ürün yazılımı güncellemelerini indirmek için mevcut güvenlik güncellemeleri olmayan bir cihaz kullanıyorsanız .
GÜNCELLEME 12/2/24: ESET, projenin Siber Güvenlik Öğrencileri tarafından Kore'nin En İyi Of (BOB) eğitim programındaki siber güvenlik öğrencileri tarafından oluşturulduğunu belirterek bugün orijinal bootkitty makalelerini güncelledi.
Program ESET'e verdiği demeçte, "Bu projenin temel amacı, güvenlik topluluğunda potansiyel riskler konusunda farkındalığı artırmak ve benzer tehditleri önlemek için proaktif önlemleri teşvik etmektir." Dedi.
"Ne yazık ki, planlanan konferans sunumundan önce birkaç bootkit örneği açıklandı."
Araştırmacılar Linux için ilk UEFI Bootkit kötü amaçlı yazılımlarını keşfeder
Kore, uydu alıcılarına DDOS özelliği eklemek için CEO'yu tutukladı
Bilgisayar korsanları, savunmaları devre dışı bırakmak için avast karşıtı anti-rootkit sürücüsünü kötüye kullanıyor
Hackerlar Binlerce PC'yi enfekte etmek için popüler Godot oyun motorunu kötüye kullanıyor
Kimlik avı e -postaları, kaçınma tespitinden kaçınan SVG eklerini kullanıyor
Kaynak: Bleeping Computer