Los investigadores de ciberseguridad han arrojado luz sobre lo que se ha descrito como el primer kit de arranque de interfaz de firmware extensible unificada (UEFI) diseñado para sistemas Linux.
Apodado botita Según sus creadores, que se llaman BlackCat, el kit de arranque se considera una prueba de concepto (PoC) y no hay evidencia de que se haya utilizado en ataques del mundo real. También rastreado como IranuKit, se subió a la plataforma VirusTotal el 5 de noviembre de 2024.
“El objetivo principal del kit de arranque es desactivar la función de verificación de firma del kernel y precargar dos binarios ELF aún desconocidos a través del proceso de inicio de Linux (que es el primer proceso ejecutado por el kernel de Linux durante el inicio del sistema)”, los investigadores de ESET Martin Smolár y Peter dijo Strýček.
El desarrollo es significativo ya que presagia un cambio en el panorama de las amenazas cibernéticas donde los bootkits UEFI ya no se limitan únicamente a los sistemas Windows.
Vale la pena señalar que Bootkitty está firmado mediante un certificado autofirmado y, por lo tanto, no se puede ejecutar en sistemas con UEFI Secure Boot habilitado a menos que ya se haya instalado un certificado controlado por el atacante.
Independientemente del estado de arranque seguro UEFI, el kit de arranque está diseñado principalmente para arrancar el kernel de Linux y parchear, en la memoria, la respuesta de la función para la verificación de integridad antes de que se ejecute GNU GR y Unified Bootloader (GRUB).
En concreto, procede a enganchar dos funciones de los protocolos de autenticación UEFI si el Arranque seguro está habilitado de tal forma que se omitan las comprobaciones de integridad UEFI. Posteriormente, también parchea tres funciones diferentes en el cargador de arranque GRUB legítimo para eludir otras verificaciones de integridad.
La compañía eslovaca de ciberseguridad dijo que su investigación sobre el kit de arranque también condujo al descubrimiento de un módulo de kernel sin firmar probablemente relacionado que es capaz de implementar un binario ELF denominado BCDropper que carga otro módulo de kernel aún desconocido después de iniciar el sistema.
El módulo del kernel, que también presenta BlackCat como nombre del autor, implementa otras funcionalidades relacionadas con rootkit, como ocultar archivos, procesos y abrir puertos. No hay evidencia que sugiera una conexión con el grupo de ransomware ALPHV/BlackCat en este momento.
“Ya sea una prueba de concepto o no, Bootkitty marca un avance interesante en el panorama de amenazas UEFI, rompiendo la creencia de que los bootkits UEFI modernos son amenazas exclusivas de Windows”, dijeron los investigadores, y agregaron que “enfatiza la necesidad de estar preparados”. para posibles amenazas futuras.”
