據(jù)BleepingComputer消息,韓國Best of the Best (BoB) 培訓(xùn)計(jì)劃的網(wǎng)絡(luò)安全學(xué)生利用 LogoFAIL 漏洞創(chuàng)建了新型惡意軟件Bootkitty,能夠攻擊Linux系統(tǒng)設(shè)備。
固件安全公司Binarly 于2023 年 11 月發(fā)現(xiàn)了 LogoFAIL,并警告其可能被用于實(shí)際攻擊。而安全公司ESET表示,Bootkitty 是第一個(gè)專門針對 Linux系統(tǒng)的惡意軟件。
LogoFAIL 是圖像解析代碼中的一組缺陷,源自各種硬件供應(yīng)商使用的 UEFI 固件映像,可被植入 EFI 系統(tǒng)分區(qū) (ESP) 上的惡意圖像或徽標(biāo)利用。Binarly指出,當(dāng)這些鏡像在啟動(dòng)過程中被解析時(shí),可以觸發(fā)漏洞,并且可以任意執(zhí)行攻擊者控制的有效負(fù)載來劫持執(zhí)行流程并繞過安全啟動(dòng),包括基于硬件的驗(yàn)證啟動(dòng)機(jī)制。
根據(jù) Binarly 的最新研究,Bootkitty 在 BMP 文件("logofail.bmp "和 "logofail_fake.bmp")中嵌入了 shellcode,通過向 MokList 變體注入流氓認(rèn)證來繞過安全啟動(dòng)保護(hù)。
惡意圖片文件
合法的 MokList 被替換為惡意證書,從而有效地授權(quán)了惡意引導(dǎo)程序('bootkit.efi')。在將執(zhí)行轉(zhuǎn)移到 shellcode 之后,Bootkitty 會用原始指令恢復(fù)漏洞函數(shù) (RLE8ToBlt) 中被覆蓋的內(nèi)存位置,因此任何明顯的篡改痕跡都會被清除。
攻擊鏈概述
對特定硬件的影響
Bootkitty 可能會影響任何未對 LogoFAIL 進(jìn)行修補(bǔ)的設(shè)備,但其當(dāng)前的shellcode限于宏碁、惠普、富士通和聯(lián)想電腦上固件模塊使用的特定代碼。研究人員對 bootkit.efi 文件的分析確定,基于 Insyde 的聯(lián)想設(shè)備最容易受到影響,因?yàn)?Bootkitty 引用了該品牌使用的特定變量名稱和路徑。但是,這可能表明開發(fā)人員只是在自己的筆記本電腦上測試 bootkit,稍后將添加對更廣泛設(shè)備的支持。
一些最新固件仍然容易受到 LogoFAIL 漏洞的影響,包括聯(lián)想IdeaPad Pro 5-16IRH8、IdeaPad 1-15IRU7、Legion 7-16IAX7、Legion Pro 5-16IRX8 和Yoga 9-14IRP8。
雖然該惡意軟件是出于安全目的而研發(fā),但Binarly警告稱,自從首次敲響 LogoFAIL 警報(bào)以來已經(jīng)一年多,仍有許多廠商產(chǎn)品仍然會受到 LogoFAIL 漏洞的一種或多種變體的影響。對此,建議受影響的用戶限制物理訪問、啟用安全啟動(dòng)、密碼保護(hù) UEFI/BIOS 設(shè)置、禁用從外部介質(zhì)啟動(dòng),并且只從官方網(wǎng)站下載固件更新。
參考資料:https://www.bleepingcomputer.com/news/security/bootkitty-uefi-malware-exploits-logofail-to-infect-linux-systems/