BlackLotus bootkit contourne UEFI Secure Boot sur Windows 11 patché
Le virus a été amélioré par les créateurs du bootkit BlackLotus UEFI avec des fonctions de contournement de Secure Boot qui lui permettent d’infecter même les PC Windows 11 qui ont été complètement corrigés.
BlackLotus est le premier exemple connu de malware UEFI capable de contourner le processus Secure Boot et de désactiver les mesures de sécurité intégrées du système d’exploitation.
Ce malware pourrait être utilisé pour compromettre l’intégrité du code protégée par l’hyperviseur (HVCI), également connue sous le nom de fonction d’intégrité de la mémoire, qui protège contre les tentatives d’exploitation du noyau Windows, de la fonction de protection des données BitLocker, de l’antivirus Microsoft Defender et de l’intégrité du code protégée par l’hyperviseur (HVCI).
Le logiciel qui relie le système d’exploitation au matériel qui l’exécute est connu sous le nom d’interface micrologicielle extensible unifiée (UEFI).
Avant que le système d’exploitation ne commence ses opérations, un code de bas niveau contrôle la séquence d’amorçage et s’exécute lorsque l’ordinateur s’allume.
Contents
Le bootkit de commodité BlackLotus
Le malware UEFI BlackLotus est apparu l’année dernière, promu sur les forums de piratage, avec un ensemble de fonctionnalités qui le rendent pratiquement invisible aux agents antivirus installés sur l’hôte compromis.
source : KELA
La publicité affirmait que le logiciel malveillant ne nécessite que 80 kilo-octets après installation et qu’une licence coûte 5 000 dollars, même si les reconstructions ne coûtent que 200 dollars.
Les experts en sécurité d’ESET ont confirmé dans un rapport publié cette semaine que le malware fonctionne exactement comme décrit et peut contourner Secure Boot en utilisant une faille de l’année précédente identifiée comme CVE-2022-21894.
Voici plus d’informations sur les raisons pour lesquelles les correctifs de CVE-2022-21894 ne parviennent pas à arrêter ce virus.
Le composant en mode utilisateur du bootkit UEFI de BlackLotus, qui se connecte au serveur de commande et de contrôle (C2) et a la capacité de charger diverses charges utiles (en mode utilisateur/kernel), a été le point de départ de leur analyse.
Chaîne d’infection de BlackLotus
Martin Smolár, chercheur en logiciels malveillants chez ESET, note que l’attaque commence par l’exécution d’un programme d’installation qui déploie les fichiers du bootkit sur la partition système EFI, désactive les protections HVCI et BitLocker, et redémarre l’hôte.
L’attaquant s’appuie sur des programmes légitimes (Windows Hypervisor Loader, Windows Boot Manager et les binaires PE) qui sont vulnérables à CVE-2022-21894 et à leurs données de configuration de démarrage (BCD) uniques.
Après le redémarrage initial, la persistance est rendue possible sur les périphériques dont le démarrage sécurisé UEFI est activé en exploitant CVE-2022-21894 et en inscrivant la clé de propriétaire de machine (MOK) de l’attaquant.
Un autre redémarrage lance ensuite le bootkit UEFI auto-signé, qui est suivi par le déploiement du téléchargeur HTTP et du pilote de noyau malveillant pour terminer l’installation du malware.
source : ESET
Des références à la série animée Higurashi When They Cry ont été trouvées dans le code de BlackLotus, notamment les noms de deux composants et de la personne qui a émis le certificat auto-signé du binaire du bootkit.
Une autre référence que l’auteur de BlackLotus a laissée dans le code du malware se trouve dans des chaînes inutilisées qui se décryptent en messages adressés à l’analyste de malware polonais Aleksandra Doniec.
source : ESET
Le bogue est corrigé, mais le risque de sécurité persiste
ESET indique que le programme d’installation de BlackLotus peut être en ligne ou hors ligne, la différence entre les deux étant que les variantes hors ligne contiennent les binaires Windows vulnérables.
La version en ligne de l’installateur télécharge les binaires Windows “directement depuis la boutique de symboles de Microsoft”
Les chercheurs ont vu les trois fichiers ci-dessous être utilisés par le bootkit :
- https://msdl.microsoft.com/download/symbols/bootmgfw.efi/7144BCD31C0000/bootmgfw.efi
- https://msdl.microsoft.com/download/symbols/bootmgr.efi/98B063A61BC000/bootmgr.efi
- https://msdl.microsoft.com/download/symbols/hvloader.efi/559F396411D000/hvloader.Efi
Selon Smolár, BlackLotus peut surmonter Secure Boot et établir la persistance après avoir supprimé BitLocker (pour permettre de modifier la chaîne de démarrage sans invoquer la méthode de récupération sur les systèmes dotés du composant matériel Trusted Platform Module (TPM)) et HVCI (pour charger le code non signé du noyau) :
- Exploitation de CVE-2022-21894 pour permettre de contourner Secure Boot et d’installer le bootkit. Du code arbitraire peut alors être exécuté dans les premières phases de démarrage, lorsque la plateforme est encore la propriété du firmware et que les fonctions des services de démarrage UEFI sont encore disponibles. Cela permet aux attaquants de faire de nombreuses choses qu’ils ne devraient pas pouvoir faire sur une machine avec UEFI Secure Boot activé sans avoir un accès physique à celle-ci, comme modifier les variables NVRAM réservées aux Boot-services. Et c’est ce dont les attaquants profitent pour configurer la persistance pour le bootkit à l’étape suivante.
- Il établit la persistance en écrivant son propre MOK dans la variable MokList, Boot-services-only NVRAM. En faisant cela, il peut utiliser un shim légitime signé par Microsoft pour charger son bootkit UEFI auto-signé (signé par la clé privée appartenant à la clé écrite dans MokList) au lieu d’exploiter la vulnérabilité à chaque démarrage.
Il convient de noter que le code d’exploitation de la preuve de concept (PoC) pour CVE-2022-21894 est accessible au grand public depuis août 2022. Pourtant, le problème de sécurité n’a pratiquement pas été résolu.
Étant donné que la liste de révocation UEFI (UEFI DBX) n’a pas encore été mise à jour avec les clés et les hachages binaires non fiables utilisés dans les systèmes de démarrage ayant activé Secure Boot, le correctif de Microsoft de juin 2022 pour la vulnérabilité n’a pas suffi à combler la faille de sécurité.
“En conséquence, les attaquants peuvent apporter leurs propres copies de binaires vulnérables sur les machines de leurs victimes pour exploiter cette vulnérabilité et contourner Secure Boot sur les systèmes UEFI à jour” – ESET
Des chercheurs ont révélé l’année dernière d’autres failles UEFI [1, 2] qui pourraient éventuellement être utilisées pour désactiver Secure Boot. Le fait que les fournisseurs ne maintiennent plus les appareils concernés, l’application de correctifs inappropriés ou l’absence totale de correctifs signifient que certains d’entre eux peuvent encore être exploités.
Selon M. Smolár, ces failles étaient destinées à attirer l’attention d’un acteur de la menace et à aboutir au développement d’un bootkit UEFI très efficace.
Les logiciels malveillants UEFI
Les bootkits UEFI se situent à l’autre extrémité du spectre des logiciels malveillants courants. Il s’agit de découvertes peu communes qui ont été liées à des attaques menées par des acteurs de la menace hautement qualifiés agissant pour le compte d’un État-nation.
Bien que des chargeurs de démarrage EFI malveillants bloquant le démarrage de l’ordinateur aient été découverts en 2020 et que des bootkits de démonstration comme DreamBoot existent depuis 2013, la liste des bootkits complets déployés dans des attaques réelles est étonnamment courte :
- FinSpy – fait partie de l’ensemble d’outils de surveillance homonyme (alias FinFisher, WingBird)
- ESPecter – un gestionnaire de démarrage Windows corrigé sur la partition système EFI (Extensible Firmware Interface)
- CosmicStrand/Spy Shadow Trojan – une menace UEFI qui se cachait dans les images du microprogramme des cartes mères ASUS et Gigabyte pour déployer un implant au niveau du noyau chaque fois que la machine Windows compromise démarrait
Il n’y a pas beaucoup d’autres dossiers dans la catégorie plus large des logiciels malveillants UEFI, qui comprend également les rootkits ou les implants de firmware.
Le rootkit LoJax UEFI employé par les hackers russes du groupe APT28 (Sednit/Fancy Bear/Sofacy) a été rendu public en 2018 par ESET.
Un rapport sur le rootkit MosaicRegressor utilisé par des hackers de langue chinoise dans des opérations de vol de données et d’espionnage en 2019 a été publié par Kaskpersky deux ans plus tard.
Un autre implant de micrologiciel UEFI a été rendu public au début de l’année 2022. Le groupe APT41/Winnti, qui parle chinois, a été crédité de la création de MoonBounce.
BlackLotus, quant à lui, est le seul bootkit UEFI qui ait jamais été rendu public, contourne Secure Boot et est lié au domaine de la cybercriminalité.
French 
Italian 