Zlonamerna programska oprema Bootkitty

Raziskovalci kibernetske varnosti so razkrili tisto, kar je opisano kot prvi bootkit Unified Extensible Firmware Interface (UEFI), ki je posebej zasnovan za sisteme Linux. Ta nov razvoj, imenovan Bootkitty, predstavlja pomemben premik v pokrajini kibernetskih groženj, ki je tradicionalno videla, da so zagonski kompleti UEFI večinoma povezani s platformami Windows.

Bootkitty: dokaz koncepta ali nastajajoča grožnja?

Bootkitty, ki je bil odkrit 5. novembra 2024, naj bi bil dokaz koncepta (PoC) in ne aktivno razporejena grožnja. Omenjen tudi kot IranuKit, trenutno ni dokazov, ki bi kazali na njegovo uporabo v napadih v resničnem svetu. Glavni cilj bootkita, ki ga je ustvaril razvijalec, ki deluje pod vzdevkom BlackCat, je onemogočiti preverjanje podpisa jedra Linuxa med prednalaganjem dveh še neidentificiranih binarnih datotek ELF med postopkom inicializacije Linuxa. Ta proces, ki služi kot izhodišče jedra med zagonom sistema, je ključnega pomena za operativno varnost Linuxa.

Izkoriščanje UEFI za Linux: Nova dimenzija tveganja

Pojav Bootkittyja izpodbija dolgotrajno dojemanje, da so zagonski kompleti UEFI ekskluzivni za sisteme Windows. S tem razvojem se uporabniki Linuxa zdaj soočajo z morebitno novo potjo izkoriščanja. Bootkit uporablja samopodpisano potrdilo za izvajanje svojega koristnega tovora, kar omejuje njegovo funkcionalnost v sistemih z omogočenim varnim zagonom UEFI. Vendar pa lahko še vedno deluje, če napadalcem uspe namestiti lažno potrdilo pod njihovim nadzorom.

Poleg obide varnega zagona Bootkitty manipulira s pomnilnikom jedra Linuxa med postopkom zagona in spodkopava preverjanje celovitosti. Preden se GNU GRand Unified Bootloader (GRUB) izvede, bootkit prestreže in popravi funkcije, ki so kritične za preverjanje celovitosti. Ta večplastna strategija napada dokazuje prefinjeno razumevanje notranjih sistemov UEFI in Linux.

Ciljanje na varen zagon in GRUB: Napredne tehnike v igri

Ko je varni zagon omogočen, Bootkitty spremeni protokole za preverjanje pristnosti UEFI, da zaobide preverjanja celovitosti. Prav tako popravi zakonite funkcije zagonskega nalagalnika GRUB, da se izogne odkrivanju, kar dodatno zagotavlja njegovo sposobnost izvajanja nevarnih uporabnih obremenitev. Ti popravki se razširijo na postopek dekompresije jedra Linuxa, kar bootkitu omogoča nalaganje nepooblaščenih modulov med zagonom.

Da bi olajšal svoj napad, Bootkitty spremeni spremenljivko okolja LD_PRELOAD. Ta prilagoditev prisili postopek inicializacije Linuxa, da naloži dva neznana predmeta ELF v skupni rabi – identificirana kot '/opt/injector.so' in '/init—s čimer se razširi doseg bootkita v sistemske operacije.

BCDropper in BCObserver: večji okvir?

Raziskava Bootkittyja je odkrila potencialno povezan nepodpisan modul jedra z imenom BCDropper. Ta modul je zmožen razmestiti dvojiško datoteko ELF, imenovano BCObserver, ki nato ob zagonu sistema naloži drug neidentificirani modul jedra. Ta dodatni modul, ki deluje pod istim psevdonimom BlackCat, prikazuje funkcije, značilne za rootkite, kot je skrivanje datotek, procesov in omrežnih vrat. Kljub tem naprednim zmogljivostim raziskovalci niso našli dokazov, ki bi to dejavnost povezovali s skupino izsiljevalskih programov ALPHV/BlackCat.

Posledice za varnost UEFI in sisteme Linux

Čeprav je še vedno kategoriziran kot dokaz koncepta, Bootkitty naznanja novo poglavje v evoluciji zagonskih kompletov UEFI, ki razširja njihov doseg prek okolij Windows. Ta razvoj poudarja pomembnost priprave na morebitne prihodnje grožnje v sistemih, ki temeljijo na Linuxu, ki so dolgo veljali za manj ranljive za takšne napade.

Vzpon Bootkittyja prav tako poudarja potrebo po previdnih sistemskih varnostnih ukrepih, kot je vzdrževanje posodobljene vdelane programske opreme, uporaba zaupanja vrednih potrdil in omogočanje varnega zagona, kjer koli je to mogoče. Z dokazovanjem izvedljivosti zagonskih kompletov UEFI v Linuxu Bootkitty služi kot opozorilo za strokovnjake za kibernetsko varnost in uporabnike Linuxa, da okrepijo svojo obrambo.