{"id":120801,"date":"2024-12-01T03:46:13","date_gmt":"2024-12-01T01:46:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux"},"modified":"2024-12-01T03:46:13","modified_gmt":"2024-12-01T01:46:16","slug":"vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","title":{"rendered":"Rilevato un bootkit UEFI chiamato Bootkitty, che inserisce codice dannoso nel kernel Linux in fase di avvio","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I ricercatori della societ\u00e0 ESET hanno scoperto un nuovo bootkit chiamato \u00abBootkitty\u00bb, che viene installato dopo che il sistema \u00e8 stato compromesso al posto del bootloader GRUB e utilizzato per inserire componenti dannosi nel kernel di Linux, che poi consentono all'attaccante di controllare la sistema in modo furtivo e di eseguire le proprie azioni. Si afferma che sia il primo bootkit UEFI mirato a compromettere i sistemi Linux. <\/p>\n

Bootkitty \u00e8 posizionato nel file grubx64.efi nella partizione EFI di sistema (EFI system partition, \/boot\/efi\/EFI\/ubuntu) al posto del bootloader GRUB standard. Dopo essere attivato dal firmware UEFI, il bootkit carica in memoria il vero bootloader GRUB2 e apporta modifiche al codice GRUB2 caricato in memoria, disabilitando il controllo dell'integrit\u00e0 dei componenti che verranno caricati successivamente, e aggiunge un gestore che viene attivato dopo il decompattamento dell'immagine del kernel di Linux in memoria. Il gestore specificato apporta modifiche alle funzioni del kernel caricate in memoria (disattiva il controllo dei moduli basato sulla firma digitale) e modifica la stringa di avvio del processo di inizializzazione da \u00ab\/init\u00bb a \u00abLD_PRELOAD=\/opt\/injector.so \/init\u00bb. <\/p>\n

La libreria injector.so intercetta alcune operazioni di SELinux e la funzione init_module, che viene poi utilizzata per caricare il modulo del kernel \/opt\/dropper.ko. Il modulo del kernel dropper.ko crea e avvia un file eseguibile \/opt\/observer, quindi si nasconde nell'elenco dei moduli del kernel e stabilisce gestori per chiamate di sistema come getdents e tcp4_seq_show, per nascondere il file \/opt\/observer e un certo traffico di rete. Il file eseguibile \/opt\/observer carica il modulo del kernel \/opt\/rootkit_loader.ko, che funge da loader per il rootkit \/opt\/rootkit.

\"Rilevato<\/center> <\/p>\n

Per installare il bootkit \u00e8 necessario un accesso privilegiato al sistema e solitamente questo tipo di malware viene utilizzato dagli attaccanti dopo un'infiltrazione o compromissione riuscita del sistema per consolidare la propria presenza e nascondere le attivit\u00e0 dannose in corso. La libreria injector.so e i moduli dannosi del kernel vengono inseriti nell'immagine del disco RAM iniziale o nel filesystem dall'attaccante. Il bootloader grubx64.efi \u00e8 collocato nella partizione dei file per UEFI. <\/p>\n

Nella variante Bootkitty, giunta nelle mani dei ricercatori, la modifica delle funzioni nella memoria del kernel veniva effettuata secondo spostamenti predeterminati senza controllare la correttezza di questi spostamenti per la versione del kernel caricata. Gli spostamenti utilizzati in Bootkitty erano applicabili solo a versioni specifiche del kernel e di GRUB fornite in versioni particolari di Ubuntu, mentre in altri sistemi provocavano un fallimento all'avvio. Per la verifica del bootloader Bootkitty (grubx64.efi) veniva utilizzato un certificato autofirmato, il che impediva l'applicazione del bootkit su sistemi con la modalit\u00e0 UEFI Secure Boot attivata senza installare il certificato dell'attaccante nella lista dei certificati attendibili in UEFI. Queste peculiarit\u00e0 hanno indotto i ricercatori a pensare che Bootkitty sia solo un prototipo di bootkit non ancora utilizzato per attacchi reali. <\/p>\n

Esaminando le informazioni pubblicate da ESET, i ricercatori dell'azienda Binarly REsearch hanno notato, tra gli artefatti legati a Bootkitty, immagini BMP utilizzate per sfruttare la vulnerabilit\u00e0 LogoFAIL, che consente di eseguire codice a livello di firmware UEFI e di eludere il meccanismo UEFI Secure Boot. Nel contesto di Bootkitty, lo sfruttamento della vulnerabilit\u00e0 LogoFAIL \u00e8 stato utilizzato per aggiungere alla lista dei certificati approvati di UEFI un certificato autofirmato dell'attaccante, che firma il bootloader del bootkit grubx64.efi, permettendo di avviare il bootkit su sistemi con UEFI Secure Boot attivo senza aggiungere manualmente il certificato. <\/p>\n

L'attacco avviene attraverso il posizionamento in una sezione ESP (EFI System Partition) di un'immagine formattata in BMP, affinch\u00e9 venga visualizzata dal firmware UEFI come logo del produttore. A causa dell'uso in firmware UEFI di librerie vulnerabili per la gestione delle immagini, l'elaborazione di un'immagine formattata in modo specifico pu\u00f2 portare a un overflow del buffer e all'esecuzione di codice con privilegi di firmware UEFI. La vulnerabilit\u00e0 LogoFAIL \u00e8 stata scoperta un anno fa e ha interessato i firmware UEFI utilizzati, tra l'altro, su laptop Acer, HP, Fujitsu e Lenovo. Nelle nuove versioni dei firmware UEFI, il problema \u00e8 stato risolto, ma molti dispositivi ancora in uso continuano a funzionare con versioni vulnerabili dei firmware.

\"Rilevato<\/center>
\n
Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 «Bootkitty», \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443 \u0441\u043a\u0440\u044b\u0442\u043e \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0432 \u043d\u0435\u0439 \u0441\u0432\u043e\u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u044d\u0442\u043e \u043f\u0435\u0440\u0432\u044b\u0439 UEFI-\u0431\u0443\u0442\u043a\u0438\u0442, \u043d\u0430\u0446\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430 \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c Linux. Bootkitty \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 grubx64.efi \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":120802,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-120801","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Identificato il bootkit UEFI Bootkitty, che inietta codice dannoso nel kernel Linux in fase di avvio | ProHoster","description":"I ricercatori dell'azienda ESET hanno identificato un nuovo bootkit \"Bootkitty\", installato dopo l'hacking del sistema al posto del bootloader GRUB e utilizzato per iniettare componenti dannosi nel kernel Linux, che consentono poi l'accesso.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u044f\u0432\u043b\u0435\u043d UEFI-\u0431\u0443\u0442\u043a\u0438\u0442 Bootkitty, \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u043e\u0435 \u044f\u0434\u0440\u043e Linux | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 "Bootkitty", \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442.","og:url":"https:\/\/prohoster.info\/it\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-12-01T01:46:16+00:00","article:modified_time":"2024-12-01T01:46:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"120801","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 08:28:23","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 08:28:23","updated":"2026-01-23 08:28:23","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/120801","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=120801"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/120801\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/120802"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=120801"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=120801"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=120801"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}