Разкрит е UEFI-буткит Bootkitty, който внедрява зловреден код в зареждащото ядро на Linux

Изследователи от компания ESET откриха нов буткит 'Bootkitty', който се инсталира след пробив в системата вместо загрузчика GRUB и се използва за подмяна на зловредни компоненти в ядрото на Linux, което позволява на атакуващия тайно да контролира системата и да извършва действия в нея. Установява се, че това е първият UEFI-буткит, насочен към компрометиране на Linux системи.

Bootkitty се намира в файла grubx64.efi в системния дял EFI (EFI system partition, /boot/efi/EFI/ubuntu) вместо стандартния загрузчик GRUB. След активацията от UEFI фърмуера, буткитът зарежда в паметта истинския загрузчик GRUB2 и внася промени в кода на GRUB2, разположен в паметта, които деактивират проверката на целостта на компонентите, зареждащи се по-късно, и добавят обработчик, който се извиква след разархивирането на ядрото на Linux в паметта. Указаният обработчик внася промени в заредените в паметта функции на ядрото (деактивира проверката на модулите по цифрова подписка) и променя реда за стартиране на процеса на инициализация от '/init' на 'LD_PRELOAD=/opt/injector.so /init'.

Библиотеката injector.so прихваща някои операции на SELinux и функцията init_module, която след това се използва за зареждане на модула на ядрото /opt/dropper.ko. Модулът на ядрото dropper.ko създава и стартира изпълнимия файл /opt/observer, след което се скрива в списъка с модули на ядрото и установява обработчици на системни повиквания, като getdents и tcp4_seq_show, за да скрие файла /opt/observer и определен мрежови трафик. Изпълнимият файл /opt/observer зарежда модула на ядрото /opt/rootkit_loader.ko, който е зареждач на руткита /opt/rootkit.

За инсталирането на буткита е нужен привилегирован достъп до системата и обикновено подобни видове зловреден софтуер се използват от атакуващи след успешен пробив или компрометиране на системата, за да закрепят настоящето си присъствие и да скрият извършваната вредоносна дейност. Библиотеката injector.so и зловредните модули на ядрото се помещават в образа на начален RAM-диск или файловата система от атакуващите. Загрузчикът grubx64.efi се разполага в дяла с файловете за UEFI.

В случая на Bootkitty, анализиран от изследователите, модификацията на функциите в паметта на ядрото е извършвана по предварително определени отмествания, без проверка на тяхната коректност за заредената версия на ядрото. Използваните в Bootkitty отмествания са приложими единствено за версиите на ядрото и GRUB, предоставяни в определени издания на Ubuntu, а в останалите системи водят до сбой при зареждане. За верификация на зареждача Bootkitty (grubx64.efi) е използван самоподписан сертификат, което не е позволявало използването на буткита в системи с активиран режим UEFI Secure Boot, без да се инсталира сертификатът на нападателя в списъка на доверените сертификати в UEFI. Подобни особености навели изследователите на мисълта, че Bootkitty е само прототип на буткит, който все още не се използва за реални атаки.

Следвайки публикуваната информация от ESET, изследователи от компанията Binarly Research забелязали сред артефактите, свързани с Bootkitty, BMP-изображения, използвани за експлоатиране на уязвимостта LogoFAIL, която позволява изпълнение на код на ниво UEFI-прошивка и заобикаля механизма на UEFI Secure Boot. В контекста на Bootkitty експлоатацията на уязвимостта LogoFAIL е била използвана за добавяне на самоподписан сертификат на нападателя в списъка на одобрените сертификати UEFI, с който е подписан зареждача на буткита grubx64.efi, което е позволило активирането на буткита на системи с активиран UEFI Secure Boot без ръчно добавяне на сертификата.

Атаката се извършва чрез поставяне в раздела ESP (EFI System Partition) на специално оформено изображение в BMP формат, за да бъде изведено от UEFI-прошивката като логотип на производителя. Поради използването на уязвими библиотеки в UEFI-прошивките за работа с изображения, обработката на специално оформеното изображение може да доведе до препълване на буфера и изпълнение на код с привилегии на UEFI-прошивката. Уязвимостта LogoFAIL беше открита преди година и засягаше UEFI-прошивки, използвани на лаптопи Acer, HP, Fujitsu и Lenovo. В новите версии на UEFI-прошивките проблемът е отстранен, но много от устройствата в обиход продължават да работят с уязвими версии на прозивките.

Източник: opennet.ru