{"id":120801,"date":"2024-12-01T03:46:13","date_gmt":"2024-12-01T01:46:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux"},"modified":"2024-12-01T03:46:13","modified_gmt":"2024-12-01T01:46:16","slug":"vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","title":{"rendered":"Un UEFI bootkit Bootkitty a \u00e9t\u00e9 d\u00e9couvert, injectant du code malveillant dans le noyau Linux au d\u00e9marrage","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Des chercheurs de l'entreprise ESET ont d\u00e9couvert un nouveau bootkit nomm\u00e9 \u00ab Bootkitty \u00bb, install\u00e9 apr\u00e8s le piratage du syst\u00e8me \u00e0 la place du chargeur GRUB et utilis\u00e9 pour injecter des composants malveillants dans le noyau Linux, permettant ainsi \u00e0 l'attaquant de contr\u00f4ler furtivement le syst\u00e8me et d'y mener des actions. Il est affirm\u00e9 que c'est le premier bootkit UEFI visant \u00e0 compromettre les syst\u00e8mes Linux. <\/p>\n

Bootkitty est plac\u00e9 dans le fichier grubx64.efi dans la partition EFI (EFI system partition, \/boot\/efi\/EFI\/ubuntu) \u00e0 la place du chargeur GRUB standard. Apr\u00e8s activation par le firmware UEFI, le bootkit charge en m\u00e9moire le v\u00e9ritable chargeur GRUB2 et modifie le code GRUB2 en m\u00e9moire pour d\u00e9sactiver la v\u00e9rification de l'int\u00e9grit\u00e9 des composants qui seront charg\u00e9s par la suite, et ajoute un gestionnaire appel\u00e9 apr\u00e8s le d\u00e9ballage de l'image du noyau Linux en m\u00e9moire. Ce gestionnaire modifie les fonctions du noyau charg\u00e9es en m\u00e9moire (d\u00e9sactive la v\u00e9rification des modules par signature num\u00e9rique) et change la ligne de commande du processus d'initialisation de \u00ab \/init \u00bb \u00e0 \u00ab LD_PRELOAD=\/opt\/injector.so \/init \u00bb. <\/p>\n

La biblioth\u00e8que injector.so intercepte certaines op\u00e9rations SELinux et la fonction init_module, qui est ensuite utilis\u00e9e pour charger le module du noyau \/opt\/dropper.ko. Le module du noyau dropper.ko cr\u00e9e et ex\u00e9cute le fichier ex\u00e9cutable \/opt\/observer, puis se cache dans la liste des modules du noyau et expose des gestionnaires d'appels syst\u00e8mes, tels que getdents et tcp4_seq_show, pour dissimuler le fichier \/opt\/observer et un certain trafic r\u00e9seau. Le fichier ex\u00e9cutable \/opt\/observer charge le module du noyau \/opt\/rootkit_loader.ko, qui est le chargeur du rootkit \/opt\/rootkit.

\"Un<\/center> <\/p>\n

Pour installer le bootkit, un acc\u00e8s privil\u00e9gi\u00e9 au syst\u00e8me est requis et de tels types de logiciels malveillants sont g\u00e9n\u00e9ralement utilis\u00e9s par les attaquants apr\u00e8s une compromission r\u00e9ussie du syst\u00e8me afin de consolider leur pr\u00e9sence future et de masquer leurs activit\u00e9s malveillantes. La biblioth\u00e8que injector.so et les modules du noyau malveillants sont plac\u00e9s dans l'image de disque RAM initiale ou le syst\u00e8me de fichiers par l'attaquant. Le chargeur grubx64.efi est plac\u00e9 dans la partition des fichiers pour UEFI. <\/p>\n

Dans la variante Bootkitty, qui a \u00e9t\u00e9 examin\u00e9e par les chercheurs, la modification des fonctions dans la m\u00e9moire du noyau \u00e9tait effectu\u00e9e selon des d\u00e9calages pr\u00e9d\u00e9finis sans v\u00e9rifier la validit\u00e9 de ces d\u00e9calages pour la version du noyau charg\u00e9e. Les d\u00e9calages utilis\u00e9s dans Bootkitty ne s'appliquaient qu'\u00e0 certaines versions du noyau et de GRUB, livr\u00e9es dans des versions sp\u00e9cifiques d'Ubuntu, tandis que dans d'autres syst\u00e8mes, ils entra\u00eenaient un \u00e9chec au d\u00e9marrage. Pour v\u00e9rifier le chargeur Bootkitty (grubx64.efi), un certificat auto-sign\u00e9 \u00e9tait utilis\u00e9, ce qui emp\u00eachait l'application du bootkit sur les syst\u00e8mes avec le mode UEFI Secure Boot activ\u00e9 sans avoir ajout\u00e9 le certificat de l'attaquant \u00e0 la liste des certificats de confiance dans l'UEFI. Ces caract\u00e9ristiques ont conduit les chercheurs \u00e0 penser que Bootkitty n'\u00e9tait qu'un prototype de bootkit, n'\u00e9tant pas encore utilis\u00e9 pour des attaques r\u00e9elles. <\/p>\n

Apr\u00e8s avoir examin\u00e9 les informations publi\u00e9es par ESET, les chercheurs de Binarly REsearch ont remarqu\u00e9 parmi les artefacts li\u00e9s \u00e0 Bootkitty des images BMP utilis\u00e9es pour exploiter la vuln\u00e9rabilit\u00e9 LogoFAIL, permettant d'ex\u00e9cuter du code au niveau du firmware UEFI et de contourner le m\u00e9canisme UEFI Secure Boot. Dans le contexte de Bootkitty, l'exploitation de la vuln\u00e9rabilit\u00e9 LogoFAIL \u00e9tait utilis\u00e9e pour ajouter un certificat auto-sign\u00e9 de l'attaquant \u00e0 la liste des certificats approuv\u00e9s de l'UEFI, certifiant ainsi le chargeur de bootkit grubx64.efi, ce qui permettait de d\u00e9marrer le bootkit sur des syst\u00e8mes avec un UEFI Secure Boot activ\u00e9 sans avoir \u00e0 ajouter le certificat manuellement. <\/p>\n

L'attaque se fait en pla\u00e7ant dans la partition ESP (EFI System Partition) une image sp\u00e9cialement con\u00e7ue au format BMP pour qu'elle soit affich\u00e9e par le firmware UEFI en tant que logo du fabricant. En raison de l'utilisation de biblioth\u00e8ques vuln\u00e9rables dans les firmwares UEFI pour le traitement des images, le traitement de cette image sp\u00e9cialement con\u00e7ue peut entra\u00eener un d\u00e9bordement de tampon et l'ex\u00e9cution de code avec les privil\u00e8ges du firmware UEFI. La vuln\u00e9rabilit\u00e9 LogoFAIL a \u00e9t\u00e9 d\u00e9couverte il y a un an et touchait les firmwares UEFI utilis\u00e9s, entre autres, sur les ordinateurs portables Acer, HP, Fujitsu et Lenovo. Dans les nouvelles versions des firmwares UEFI, le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9, mais de nombreux dispositifs en circulation continuent d'utiliser des versions de firmwares vuln\u00e9rables.

\"Un<\/center>
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 «Bootkitty», \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443 \u0441\u043a\u0440\u044b\u0442\u043e \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0432 \u043d\u0435\u0439 \u0441\u0432\u043e\u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u044d\u0442\u043e \u043f\u0435\u0440\u0432\u044b\u0439 UEFI-\u0431\u0443\u0442\u043a\u0438\u0442, \u043d\u0430\u0446\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430 \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c Linux. Bootkitty \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 grubx64.efi \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":120802,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-120801","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47D\u00e9tection du bootkit UEFI Bootkitty, injectant du code malveillant dans le noyau Linux au d\u00e9marrage | ProHoster","description":"Les chercheurs de l'entreprise ESET ont d\u00e9couvert un nouveau bootkit nomm\u00e9 \"Bootkitty\", install\u00e9 apr\u00e8s le piratage du syst\u00e8me \u00e0 la place du chargeur GRUB et utilis\u00e9 pour injecter des composants malveillants dans le noyau Linux, ce qui permet ensuite.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u044f\u0432\u043b\u0435\u043d UEFI-\u0431\u0443\u0442\u043a\u0438\u0442 Bootkitty, \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u043e\u0435 \u044f\u0434\u0440\u043e Linux | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 "Bootkitty", \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-12-01T01:46:16+00:00","article:modified_time":"2024-12-01T01:46:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"120801","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 08:28:23","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 08:28:23","updated":"2026-01-23 08:28:23","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/120801","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=120801"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/120801\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/120802"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=120801"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=120801"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=120801"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}