{"id":120801,"date":"2024-12-01T03:46:13","date_gmt":"2024-12-01T01:46:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux"},"modified":"2024-12-01T03:46:13","modified_gmt":"2024-12-01T01:46:16","slug":"vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","title":{"rendered":"Der UEFI-Bootkit Bootkitty wurde entdeckt, der schadhafter Code in das zu ladende Linux-Kernel einf\u00fcgt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Forscher von ESET haben einen neuen Bootkit namens \u201eBootkitty\u201c entdeckt, der nach dem Hacken eines Systems anstelle des GRUB-Bootloaders installiert wird und dazu dient, sch\u00e4dliche Komponenten in den Linux-Kernel einzuf\u00fcgen. Diese erm\u00f6glichen es dem Angreifer, das System heimlich zu steuern und darin Aktivit\u00e4ten auszuf\u00fchren. Es wird behauptet, dass dies das erste UEFI-Bootkit ist, das auf Linux-Systeme abzielt. <\/p>\n

Bootkitty wird in der Datei grubx64.efi im EFI-Systempartition (EFI system partition, \/boot\/efi\/EFI\/ubuntu) anstelle des standardm\u00e4\u00dfigen GRUB-Bootloaders abgelegt. Nach der Aktivierung durch die UEFI-Firmware l\u00e4dt das Bootkit den echten GRUB2-Bootloader in den Speicher und \u00e4ndert den im Speicher befindlichen GRUB2-Code, sodass die Integrit\u00e4tspr\u00fcfung der sp\u00e4ter geladenen Komponenten deaktiviert wird. Es f\u00fcgt auch einen Handler hinzu, der nach dem Entpacken des Linux-Kernels in den Speicher aufgerufen wird. Dieser Handler \u00e4ndert die in den Speicher geladenen Kernel-Funktionen (deaktiviert die \u00dcberpr\u00fcfung von Modulen mit digitaler Signatur) und \u00e4ndert die Startzeile des Initialisierungsprozesses von \u201e\/init\u201c auf \u201eLD_PRELOAD=\/opt\/injector.so \/init\u201c. <\/p>\n

Die Bibliothek injector.so f\u00e4ngt einige SELinux-Operationen sowie die Funktion init_module ab, die dann verwendet wird, um das Kernel-Modul \/opt\/dropper.ko zu laden. Das Kernel-Modul dropper.ko erstellt und startet die ausf\u00fchrbare Datei \/opt\/observer, versteckt sich anschlie\u00dfend in der Liste der Kernel-Module und setzt Systemaufruf-Handler wie getdents und tcp4_seq_show ein, um die Datei \/opt\/observer und bestimmten Netzwerktraffic zu verbergen. Die ausf\u00fchrbare Datei \/opt\/observer l\u00e4dt das Kernel-Modul \/opt\/rootkit_loader.ko, das der Loader des Rootkits \/opt\/rootkit ist.

\"Der<\/center> <\/p>\n

F\u00fcr die Installation des Bootkits ist privilegierter Zugang zum System erforderlich, und solche Arten von Malware werden in der Regel von Angreifern nach einem erfolgreichen Einbruch oder einer Kompromittierung des Systems verwendet, um ihre weitere Pr\u00e4senz zu verankern und sch\u00e4dliche Aktivit\u00e4ten zu verbergen. Die Bibliothek injector.so und die sch\u00e4dlichen Kernel-Module werden von den Angreifern in das Image des initialen RAM-Disk oder in das Dateisystem platziert. Der Bootloader grubx64.efi wird in der Partition mit den Dateien f\u00fcr UEFI abgelegt. <\/p>\n

In der Version von Bootkitty, die in die H\u00e4nde von Forschern gelangte, wurden die Funktionalit\u00e4ten im Speicher des Kernels anhand vordefinierter Offsets modifiziert, ohne die Richtigkeit dieser Offsets f\u00fcr die geladene Kernelversion zu pr\u00fcfen. Die in Bootkitty verwendeten Offsets waren nur f\u00fcr Kernel- und GRUB-Versionen anwendbar, die in bestimmten Ubuntu-Versionen bereitgestellt wurden, w\u00e4hrend sie in anderen Systemen zu einem Bootfehler f\u00fchrten. Zur Verifizierung des Bootloaders Bootkitty (grubx64.efi) wurde ein selbstsigniertes Zertifikat verwendet, was es unm\u00f6glich machte, den Bootkit in Systemen mit aktiviertem UEFI Secure Boot zu verwenden, ohne das Zertifikat des Angreifers in die Liste vertrauensw\u00fcrdiger Zertifikate im UEFI aufzunehmen. Solche Merkmale haben die Forscher zu der Schlussfolgerung gebracht, dass Bootkitty nur ein Prototyp eines Bootkits ist, der bislang nicht f\u00fcr reale Angriffe eingesetzt wird. <\/p>\n

Nach der Analyse der ver\u00f6ffentlichten Informationen von ESET bemerkten Forscher der Firma Binarly REsearch unter den mit Bootkitty verbundenen Artefakten BMP-Bilder, die zur Ausnutzung der LogoFAIL-Schwachstelle verwendet werden. Diese Schwachstelle erm\u00f6glicht die Ausf\u00fchrung von Code auf UEFI-Firmware-Ebene und umgeht den UEFI Secure Boot-Mechanismus. Im Kontext von Bootkitty wurde die LogoFAIL-Schwachstelle genutzt, um ein selbstsigniertes Zertifikat des Angreifers in die Liste der genehmigten UEFI-Zertifikate aufzunehmen, mit dem der Bootloader grubx64.efi signiert wurde. Dies erm\u00f6glichte es, den Bootkit auf Systemen mit aktivem UEFI Secure Boot ohne manuelle Zertifikatsanpassung zu starten. <\/p>\n

Ein Angriff erfolgt durch das Platzieren eines speziell gestalteten BMP-Bildes im ESP (EFI System Partition), damit es von der UEFI-Firmware als Herstellerlogo ausgegeben wird. Aufgrund der Verwendung von verwundbaren Bibliotheken in UEFI-Firmware zur Bearbeitung von Bildern kann die Verarbeitung des speziell gestalteten Bildes zu einem Puffer\u00fcberlauf und zur Ausf\u00fchrung von Code mit den Rechten der UEFI-Firmware f\u00fchren. Die Schwachstelle LogoFAIL wurde vor einem Jahr entdeckt und betraf UEFI-Firmware, die unter anderem auf Laptops von Acer, HP, Fujitsu und Lenovo verwendet wird. In neuen Versionen der UEFI-Firmware wurde das Problem behoben, aber viele im Umlauf befindlichen Ger\u00e4te arbeiten weiterhin mit anf\u00e4lligen Firmware-Versionen.

\"Der<\/center>
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 «Bootkitty», \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443 \u0441\u043a\u0440\u044b\u0442\u043e \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0432 \u043d\u0435\u0439 \u0441\u0432\u043e\u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u044d\u0442\u043e \u043f\u0435\u0440\u0432\u044b\u0439 UEFI-\u0431\u0443\u0442\u043a\u0438\u0442, \u043d\u0430\u0446\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430 \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c Linux. Bootkitty \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 grubx64.efi \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":120802,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-120801","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bootkit Bootkitty entdeckt, das sch\u00e4dlichen Code in den zu ladenden Linux-Kernel einschleust | ProHoster","description":"Forscher von ESET haben einen neuen Bootkit \"Bootkitty\" entdeckt, der nach einem System-Hack anstelle des GRUB-Bootloaders installiert wird und verwendet wird, um b\u00f6sartige Komponenten in den Linux-Kernel einzuschleusen, die es dem Angreifer dann erm\u00f6glichen, das System heimlich zu kontrollieren und darin Aktionen auszuf\u00fchren. Es wird behauptet, dass dies das erste UEFI-Bootkit ist, das darauf abzielt, Linux-Systeme zu infizieren. Bootkitty wird in der Datei grubx64.efi im Systempartition abgelegt.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u044f\u0432\u043b\u0435\u043d UEFI-\u0431\u0443\u0442\u043a\u0438\u0442 Bootkitty, \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u043e\u0435 \u044f\u0434\u0440\u043e Linux | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 "Bootkitty", \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443 \u0441\u043a\u0440\u044b\u0442\u043e \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0432 \u043d\u0435\u0439 \u0441\u0432\u043e\u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u044d\u0442\u043e \u043f\u0435\u0440\u0432\u044b\u0439 UEFI-\u0431\u0443\u0442\u043a\u0438\u0442, \u043d\u0430\u0446\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430 \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c Linux. Bootkitty \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 grubx64.efi \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-12-01T01:46:16+00:00","article:modified_time":"2024-12-01T01:46:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"120801","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 08:28:23","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 08:28:23","updated":"2026-01-23 08:28:23"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/120801","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=120801"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/120801\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/120802"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=120801"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=120801"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=120801"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}