BlackLotus Malware
En malwaretrussel, som cybersikkerhedsforskere beskriver som 'næsten uopdagelig', er blevet bekræftet til at blive udbudt til salg på hackerfora. Sporet som BlackLotus kan malwaren inficere de mest fundamentale niveauer af en computer og blive ekstremt svær at fjerne. Faktisk sætter dens evner det på niveau med de truende værktøjer, der observeres som en del af arsenalet af statssponsorerede hackergrupper og APT'er (Advanced Persistent Threats). Tilsyneladende kunne interesserede cyberkriminelle få en licens fra skaberne af truslen for $5000.
Infektion ved laveste støvletilstand
BlackLotus beskrives som et UEFI (Unified Extensible Firmware Interface) bootkit. UEFI er en meget brugt specifikation, der beskriver software dedikeret til at lette kommunikationen mellem operativsystemet (operativsystemet) og firmwaren. Til gengæld er firmware den software, der giver kontrol på lavt niveau af systemets hardwarekomponenter. UEFI erstattede den ældre BIOS (Basic Input/Output System) boot-firmware. Kort sagt er UEFI en af de første ting, der starter, når en computer tændes og går forud for opstart af kernen og OS. Ifølge sælgeren inkluderer de truende funktioner ved BlackLotus Malware Secure Boot bypass, RingO/Kernel-beskyttelse mod at blive fjernet og muligheden for at starte i fejlsikret tilstand.
Endnu flere truende funktioner
BlackLotus er dog tilsyneladende også udstyret med anti-VM, anti-debug og kode sløringsfunktioner for at forhindre potentielle analyseforsøg. Udvikleren af truslen siger, at BlackLotus er fuldstændig uopdagelig af anti-malware-sikkerhedsløsninger, fordi den kører skjult i en legitim proces under den krænkede enheds SYSTEM-konto. Angribere kan også bruge truslen til at deaktivere flere sikkerhedsbeskyttelser, der er indbygget i Windows, såsom HVCI (Hypervisor-Protected Code Integrity), UAC (User Account Control) og endda Microsoft Defender (tidligere kendt som Windows Defender).
Håndtering af BlackLotus ved at føje den til UEFI-tilbagekaldelsesevnen vil heller ikke give nogen meningsfulde resultater, da den udnyttede sårbarhed kan findes i hundredvis af bootloadere, der i øjeblikket stadig er i brug.
