Открит UEFI-буткит Bootkitty, който вмъква злонамерен код в зарежданото ядро на Linux

Изследователи от компания ESET откриха нов буткит „Bootkitty“, който се инсталира след хакване на системата вместо загрузчика GRUB и се използва за вмъкване на вредоносни компоненти в ядрото на Linux, което позволява на атакуващия да контролира системата дистанционно и да изпълнява свои действия. Твърди се, че това е първият UEFI буткит, насочен към системи с Linux.

Bootkitty се разполага в файла grubx64.efi в системния дял EFI (EFI system partition, /boot/efi/EFI/ubuntu) вместо стандартния загрузчик GRUB. След активиране от UEFI фърмуера буткитът зарежда истинския загрузчик GRUB2 в паметта и внася промени в кода на GRUB2, който се намира в паметта, с цел да деактивира проверката на целостта на компоненти, които ще се зареждат по-късно, а също така добавя обработчик, който се извиква след разопаковане на образа на ядрото Linux в паметта. Този обработчик извършва промени в функциите на ядрото, заредени в паметта (деактивира проверката на модулите по цифрова подпись), и променя командния ред на процеса на инициализация от „/init” на „LD_PRELOAD=/opt/injector.so /init”.

Библиотеката injector.so перехваща някои операции от SELinux и функцията init_module, която след това се използва за зареждане на ядрото на модула /opt/dropper.ko. Ядрото на dropper.ko създава и стартира изпълним файл /opt/observer, след което се крие в списъка на ядровите модули и установява обработчици за системни повиквания, като getdents и tcp4_seq_show, за да скрие файла /opt/observer и определен мрежови трафик. Изпълнимият файл /opt/observer зарежда ядрото на модула /opt/rootkit_loader.ko, който е зареждач на руткита /opt/rootkit.

За инсталиране на буткита е необходим привилегирован достъп до системата и обикновено този вид зловреден софтуер се използва от атакуващите след успешен хак или компрометиране на системата, за да затвърди присъствието си и да скрие извършваната зловредна активност. Библиотеката injector.so и вредоносните ядрови модули се поставят в образа на начален RAM-диск или файловата система от атакуващия. Загрузчикът grubx64.efi се разполага в раздела с файлове за UEFI.

В версията Bootkitty, която попадна на изследователите, модификацията на функциите в ядрото памет се извършваше по предварително определени отмествания без проверка на коректността на тези отмествания за заредената версия на ядрото. Използваните в Bootkitty отмествания бяха приложими само за версиите на ядрото и GRUB, предлагани в определени издания на Ubuntu, а в останалите системи предизвикаха срив при зареждане. За верификация на заредителя Bootkitty (grubx64.efi) се използваше само-подписан сертификат, което не позволяваше прилагането на буткит на системи с активен режим на UEFI Secure Boot без добавяне на сертификата на атакуващия в списъкa на доверените сертификати в UEFI. Подобни особености подтикнаха изследователите към извода, че Bootkitty е само прототип на буткит, който все още не се използва за реални атаки.

Изследвайки публикуваната информация от ESET, изследователите от компанията Binarly REsearch забелязаха сред артефактите, свързани с Bootkitty, BMP-изображения, използвани за експлоатация на уязвимостта LogoFAIL, която позволява изпълнение на код на ниво UEFI-фърмуер и заобикаляне на механизма UEFI Secure Boot. В контекста на Bootkitty, експлоатацията на уязвимостта LogoFAIL се използваше за добавяне на само-подписания сертификат на атакуващия в списъка с одобрени сертификати на UEFI, с който беше подписан заредителя на буткита grubx64.efi, позволяващ стартиране на буткита на системи с активен UEFI Secure Boot без ръчно добавяне на сертификата.

Атаката се извършва чрез поставяне в раздел ESP (EFI System Partition) на специално оформено BMP изображение, за да бъде показано от UEFI-фърмуера като логотип на производителя. Поради използването на уязвими библиотеки в UEFI-фърмуерите за работа с изображения, обработката на специално оформеното изображение може да доведе до препълване на буфера и изпълнение на код с привилегии на UEFI фърмуера. Уязвимостта LogoFAIL беше открита преди година и засяга UEFI-фърмуерите, използвани сред другото и на лаптопи Acer, HP, Fujitsu и Lenovo. В новите версии на UEFI-фърмуерите проблемът е решен, но много от устройствата в употреба все още работят с уязвими версии на фърмуерите.

Източник: opennet.ru