BlackLotus злонамерен софтуер
Потвърдено е, че заплаха от зловреден софтуер, която изследователите по киберсигурност описват като „почти неоткриваема“, се предлага за продажба на хакерски форуми. Проследен като BlackLotus, зловреден софтуер може да зарази най-фундаменталните нива на компютър и да стане изключително труден за премахване. Всъщност неговите възможности го поставят наравно със заплашващите инструменти, наблюдавани като част от арсенала на спонсорирани от държавата хакерски групи и APT (Advanced Persistent Threats). Очевидно заинтересованите киберпрестъпници биха могли да получат лиценз от създателите на заплахата срещу $5000.
Инфекция при най-ниско състояние на зареждане
BlackLotus е описан като UEFI (Unified Extensible Firmware Interface) буткит. UEFI е широко използвана спецификация, която описва софтуер, предназначен да улесни комуникацията между операционната система (операционната система) и фърмуера. От своя страна фърмуерът е софтуерът, който осигурява контрол на ниско ниво на хардуерните компоненти на системата. UEFI замени стария фърмуер за зареждане на BIOS (базова входно-изходна система). Накратко, UEFI е едно от първите неща, които се стартират при включване на компютъра и предшества зареждането на ядрото и операционната система. Според продавача заплашващите функции на BlackLotus Malware включват Secure Boot bypass, RingO/Kernel защита срещу премахване и възможност за стартиране в безопасен режим.
Още по-заплашителни функции
Въпреки това, BlackLotus, очевидно, също е оборудван с анти-VM, анти-дебъгване и функции за обфускиране на код, за да предотврати всякакви потенциални опити за анализ. Разработчикът на заплахата заявява, че BlackLotus е напълно неоткриваем от решенията за защита срещу злонамерен софтуер, тъй като работи скрит в легитимен процес под SYSTEM акаунта на нарушеното устройство. Нападателите също биха могли да използват заплахата, за да деактивират няколко защити за сигурност, които са вградени в Windows, като HVCI (интегритет на кода, защитен от хипервизора), UAC (контрол на потребителските акаунти) и дори Microsoft Defender (известен преди като Windows Defender).
Справянето с BlackLotus чрез добавянето му към способността за отмяна на UEFI също няма да даде никакви смислени резултати, тъй като използваната уязвимост може да бъде открита в стотици буутлоудъри, които в момента все още се използват.
