Beveiligingsbedrijf ESET heeft een beveiligde uefi-bootkit ontdekt waarmee het mogelijk is Secure Boot te omzeilen, zelfs op moderne Windows 11-systemen. De BlackLotus-bootkit gebruikt een kwetsbaarheid die wel gepatcht is, maar sommige binaire bestanden zijn nog niet beschikbaar.
ESET gepubliceerd in een onderzoek het bestaan van de bootkit, die BlackLotus wordt genoemd. Er gingen vorig jaar al geruchten rond dat een soortgelijke malware op fora werd verkocht, maar nu zegt ESET de bootkit ook te hebben gevonden en te hebben onderzocht. BlackLotus wordt op het darkweb verkocht voor 5000 dollar.
De bootkit maakt het mogelijk om Secure Boot in de uefi van pc’s te omzeilen. maatregelen zijn volgens ESET weinig kwetsbaarheden voor nodig; dat kan zelfs op een volledig bijgewerkte Windows 11-pc. De bootkit maakt misbruik van een kwetsbaarheid die sindsdien meer dan een jaar oud is, CVE-2022-21894een kwetsbaarheid die ook wel Baton laten vallen wordt genoemd. Microsoft heeft die bug in januari van 2022 opgelost, maar volgens ESET kan de BlackLotus-bootkit de kwetsbaarheid nog steeds uitbuiten.
Dat kan omdat nog niet alle binaire bestanden zijn beschadigd aan de officiële uefi-herroeping-lijst zijn toegevoegd. Daardoor kan BlackLotus zijn eigen binaire bestanden toevoegen aan de uefi, waarbij het lijkt alsof dat legitieme binaire bestanden zijn. Die worden daarom niet tegengehouden door Secure Boot.
Volgens ESET kan de bootkit zelfs vasthoudendheid krijgen. Als de binary’s succesvol zijn geladen, installeert u de bootkit een kerneldriver die een verbinding opzet met een commando-en-controle-server. De bootkit kan ook andere beveiligingsonderdelen van Windows uitschakelen, waaronder Bitlocker, Windows Defender en HVCI.
De bootkit wordt op fora verkocht, maar het is niet bekend hoe groot de verspreiding is en tegen welke soorten de bootkit wordt ingezet. In de installateurs staan er enkele geohekken; de bootkit wordt niet beschikbaar als de pc is ingesteld als Roemeens, Russisch, Oekraïens, Wit-Russisch, Armeens en Kazachstaans.
credit :Source link
