Các nhà nghiên cứu phát hiện ra "Bootkitty" – UEFI Bootkit đầu tiên nhắm vào hạt nhân Linux
Các nhà nghiên cứu an ninh mạng đã làm sáng tỏ thứ được mô tả là bộ khởi động Giao diện chương trình cơ sở mở rộng hợp nhất (UEFI) đầu tiên được thiết kế cho các hệ thống Linux.
Được những người sáng tạo ra nó gọi là Bootkitty, có biệt danh là BlackCat, bootkit được đánh giá là bằng chứng khái niệm (PoC) và không có bằng chứng nào cho thấy nó đã được sử dụng trong các cuộc tấn công trong thế giới thực. Cũng được theo dõi là IranuKit , nó đã được tải lên nền tảng VirusTotal vào ngày 5 tháng 11 năm 2024.
Các nhà nghiên cứu Martin Smolár và Peter Strýček của ESET cho biết: "Mục tiêu chính của bootkit là vô hiệu hóa tính năng xác minh chữ ký của hạt nhân và tải trước hai tệp nhị phân ELF chưa được biết đến thông qua quy trình khởi tạo Linux (đây là quy trình đầu tiên được hạt nhân Linux thực hiện trong quá trình khởi động hệ thống) " .
Sự phát triển này có ý nghĩa quan trọng vì nó báo hiệu sự thay đổi trong bối cảnh mối đe dọa mạng, nơi các bộ khởi động UEFI không còn chỉ giới hạn ở các hệ thống Windows nữa .
Điều đáng chú ý là Bootkitty được ký bằng chứng chỉ tự ký và do đó không thể thực thi trên các hệ thống bật UEFI Secure Boot trừ khi chứng chỉ do kẻ tấn công kiểm soát đã được cài đặt.
Bất kể trạng thái UEFI Secure Boot là gì, bootkit chủ yếu được thiết kế để khởi động hạt nhân Linux và vá trong bộ nhớ, phản hồi của chức năng để xác minh tính toàn vẹn trước khi GNU GRand Unified Bootloader ( GRUB ) được thực thi.
Cụ thể, nó sẽ tiến hành móc hai chức năng từ giao thức xác thực UEFI nếu Secure Boot được bật theo cách mà các kiểm tra tính toàn vẹn của UEFI bị bỏ qua. Sau đó, nó cũng vá ba chức năng khác nhau trong trình tải khởi động GRUB hợp lệ để tránh các xác minh tính toàn vẹn khác.
Công ty an ninh mạng Slovakia cho biết cuộc điều tra của họ về bootkit cũng dẫn đến việc phát hiện ra một mô-đun hạt nhân chưa được ký có khả năng liên quan, có khả năng triển khai tệp nhị phân ELF có tên là BCDropper, tải một mô-đun hạt nhân khác chưa được xác định sau khi hệ thống khởi động.
Mô-đun hạt nhân, cũng có BlackCat là tên tác giả, triển khai các chức năng liên quan đến rootkit khác như ẩn tệp, quy trình và mở cổng. Không có bằng chứng nào cho thấy có mối liên hệ với nhóm ransomware ALPHV/BlackCat ở giai đoạn này.
Các nhà nghiên cứu cho biết: "Cho dù có phải là bằng chứng về khái niệm hay không, Bootkitty vẫn đánh dấu một bước tiến thú vị trong bối cảnh mối đe dọa UEFI, phá vỡ quan niệm cho rằng các bộ khởi động UEFI hiện đại là mối đe dọa chỉ dành riêng cho Windows", đồng thời nói thêm "nó nhấn mạnh đến sự cần thiết phải chuẩn bị cho các mối đe dọa tiềm ẩn trong tương lai".