{"id":120801,"date":"2024-12-01T03:46:13","date_gmt":"2024-12-01T01:46:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux"},"modified":"2024-12-01T03:46:13","modified_gmt":"2024-12-01T01:46:16","slug":"vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","title":{"rendered":"Se ha detectado el bootkit UEFI Bootkitty, que inserta c\u00f3digo malicioso en el n\u00facleo de Linux durante el arranque.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Investigadores de la empresa ESET han descubierto un nuevo bootkit llamado \"Bootkitty\", que se instala despu\u00e9s de la ruptura del sistema en lugar del cargador GRUB y se utiliza para inyectar componentes maliciosos en el n\u00facleo de Linux, permitiendo as\u00ed al atacante controlar de forma encubierta el sistema y llevar a cabo sus acciones. Se afirma que este es el primer bootkit UEFI dirigido a comprometer sistemas Linux. <\/p>\n

Bootkitty se coloca en el archivo grubx64.efi en la partici\u00f3n del sistema EFI (EFI system partition, \/boot\/efi\/EFI\/ubuntu) en lugar del cargador GRUB est\u00e1ndar. Tras ser activado por el firmware UEFI, el bootkit carga en memoria el verdadero cargador GRUB2 y realiza modificaciones en el c\u00f3digo de GRUB2 que se encuentra en memoria, desactivando la verificaci\u00f3n de integridad de los componentes que se cargar\u00e1n posteriormente, y tambi\u00e9n a\u00f1ade un manejador que se invoca despu\u00e9s de descomprimir la imagen del n\u00facleo de Linux en memoria. Dicha manejadora realiza cambios en las funciones del n\u00facleo cargadas en memoria (desactiva la verificaci\u00f3n de m\u00f3dulos mediante firma digital), as\u00ed como modifica la cadena de arranque del proceso de inicializaci\u00f3n de \"\\\/init\" a \"LD_PRELOAD=\\\/opt\\\/injector.so \\\/init\". <\/p>\n

La biblioteca injector.so intercepta algunas operaciones de SELinux y la funci\u00f3n init_module, que luego se utiliza para cargar el m\u00f3dulo del n\u00facleo \/opt\/dropper.ko. El m\u00f3dulo del n\u00facleo dropper.ko crea y ejecuta el archivo ejecutable \/opt\/observer, luego se oculta en la lista de m\u00f3dulos del n\u00facleo y establece controladores para llamadas del sistema, como getdents y tcp4_seq_show, para ocultar el archivo \/opt\/observer y ciertos tr\u00e1ficos de red. El archivo ejecutable \/opt\/observer carga el m\u00f3dulo del n\u00facleo \/opt\/rootkit_loader.ko, que es el cargador del rootkit \/opt\/rootkit.

\"Se<\/center> <\/p>\n

Para instalar el bootkit se requiere acceso privilegiado al sistema, y este tipo de malware es normalmente utilizado por atacantes tras una intrusi\u00f3n exitosa o la violaci\u00f3n del sistema para consolidar su presencia y ocultar la actividad maliciosa que llevan a cabo. La biblioteca injector.so y los m\u00f3dulos maliciosos del n\u00facleo son colocados en la imagen del disco RAM inicial o en el sistema de archivos por el atacante. El cargador grubx64.efi se ubica en la partici\u00f3n de archivos para UEFI. <\/p>\n

En la variante de Bootkitty que lleg\u00f3 a manos de los investigadores, la modificaci\u00f3n de las funciones en la memoria del n\u00facleo se realizaba en desplazamientos predefinidos sin verificar la validez de estos desplazamientos para la versi\u00f3n del n\u00facleo que se hab\u00eda cargado. Los desplazamientos utilizados en Bootkitty solo eran aplicables a versiones del n\u00facleo y GRUB que se entregaban en ciertas ediciones de Ubuntu, y en otros sistemas provocaban fallos al iniciar. Para verificar el cargador de arranque Bootkitty (grubx64.efi), se utilizaba un certificado autofirmado, lo que imped\u00eda la aplicaci\u00f3n del bootkit en sistemas con el modo UEFI Secure Boot habilitado sin instalar previamente el certificado del atacante en la lista de certificados de confianza en UEFI. Estas caracter\u00edsticas llevaron a los investigadores a pensar que Bootkitty era solo un prototipo de bootkit, todav\u00eda no utilizado para ataques reales. <\/p>\n

Al estudiar la informaci\u00f3n publicada por ESET, los investigadores de la empresa Binarly Research notaron entre los artefactos relacionados con Bootkitty im\u00e1genes BMP utilizadas para explotar la vulnerabilidad LogoFAIL, que permite ejecutar c\u00f3digo a nivel de firmware UEFI y eludir el mecanismo UEFI Secure Boot. En el contexto de Bootkitty, la explotaci\u00f3n de la vulnerabilidad LogoFAIL se utilizaba para a\u00f1adir a la lista de certificados aprobados de UEFI un certificado autofirmado del atacante, que certificaba el cargador de arranque del bootkit grubx64.efi, permitiendo as\u00ed iniciar el bootkit en sistemas con UEFI Secure Boot activo sin necesidad de a\u00f1adir manualmente el certificado. <\/p>\n

El ataque se lleva a cabo mediante la colocaci\u00f3n en la partici\u00f3n ESP (EFI System Partition) de una imagen especialmente dise\u00f1ada en formato BMP para su visualizaci\u00f3n por el firmware UEFI como el logotipo del fabricante. Debido a la utilizaci\u00f3n de bibliotecas vulnerables en los firmwares UEFI para trabajar con im\u00e1genes, el procesamiento de la imagen especialmente dise\u00f1ada puede provocar un desbordamiento de b\u00fafer y la ejecuci\u00f3n de c\u00f3digo con privilegios del firmware UEFI. La vulnerabilidad LogoFAIL fue descubierta hace un a\u00f1o y afectaba a los firmwares UEFI, utilizados en dispositivos como ordenadores port\u00e1tiles de Acer, HP, Fujitsu y Lenovo. En las nuevas versiones de firmwares UEFI, el problema ha sido solucionado, pero muchos dispositivos en uso contin\u00faan operando con versiones vulnerables del firmware.

\"Se<\/center>
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 «Bootkitty», \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443 \u0441\u043a\u0440\u044b\u0442\u043e \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0432 \u043d\u0435\u0439 \u0441\u0432\u043e\u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u044d\u0442\u043e \u043f\u0435\u0440\u0432\u044b\u0439 UEFI-\u0431\u0443\u0442\u043a\u0438\u0442, \u043d\u0430\u0446\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430 \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c Linux. Bootkitty \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 grubx64.efi \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":120802,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-120801","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Se ha detectado el bootkit UEFI Bootkitty, que inyecta c\u00f3digo malicioso en el n\u00facleo de Linux al arrancar | ProHoster","description":"Investigadores de la empresa ESET han identificado un nuevo bootkit llamado \"Bootkitty\", que se instala despu\u00e9s de comprometer un sistema en lugar del cargador GRUB y se utiliza para inyectar componentes maliciosos en el n\u00facleo de Linux, los cuales permiten posteriormente.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u044f\u0432\u043b\u0435\u043d UEFI-\u0431\u0443\u0442\u043a\u0438\u0442 Bootkitty, \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u043e\u0435 \u044f\u0434\u0440\u043e Linux | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 "Bootkitty", \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-12-01T01:46:16+00:00","article:modified_time":"2024-12-01T01:46:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"120801","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 08:28:23","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 08:28:23","updated":"2026-01-23 08:28:23","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/120801","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=120801"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/120801\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/120802"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=120801"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=120801"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=120801"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}