{"id":120801,"date":"2024-12-01T03:46:13","date_gmt":"2024-12-01T01:46:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux"},"modified":"2024-12-01T03:46:13","modified_gmt":"2024-12-01T01:46:16","slug":"vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","title":{"rendered":"Zidentyfikowano UEFI bootkit Bootkitty, kt\u00f3ry wstrzykuje z\u0142o\u015bliwy kod do \u0142adowanego j\u0105dra Linux","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Badacze z firmy ESET odkryli nowy bootkit \u201eBootkitty\u201d, instalowany po zhackowaniu systemu w miejsce bootloadera GRUB, wykorzystywany do wstawiania szkodliwych komponent\u00f3w do j\u0105dra Linux, co umo\u017cliwia atakuj\u0105cemu ukryte kontrolowanie systemu oraz realizacj\u0119 swoich dzia\u0142a\u0144. Twierdzi si\u0119, \u017ce to pierwszy bootkit UEFI, kt\u00f3ry jest skierowany na atak system\u00f3w Linux. <\/p>\n

Bootkitty jest umieszczany w pliku grubx64.efi w systemowej partycji EFI (EFI system partition, \/boot\/efi\/EFI\/ubuntu) zamiast standardowego bootloadera GRUB. Po aktywacji przez firmware UEFI, bootkit \u0142aduje do pami\u0119ci faktyczny bootloader GRUB2 i wprowadza w pami\u0119ci kod GRUB2 zmiany, kt\u00f3re wy\u0142\u0105czaj\u0105 sprawdzanie integralno\u015bci komponent\u00f3w \u0142adowanych p\u00f3\u017aniej, a tak\u017ce dodaje obs\u0142ug\u0119, kt\u00f3ra jest wywo\u0142ywana po rozpakowaniu wizerunku j\u0105dra Linux w pami\u0119ci. Wspomniana obs\u0142uga wprowadza zmiany w za\u0142adowanych do pami\u0119ci funkcjach j\u0105dra (wy\u0142\u0105cza sprawdzanie modu\u0142\u00f3w pod k\u0105tem podpisu cyfrowego) oraz zmienia lini\u0119 uruchomienia procesu inicjalizacji z \u201e\/init\u201d na \u201eLD_PRELOAD=\/opt\/injector.so \/init\u201d. <\/p>\n

Biblioteka injector.so przechwytuje niekt\u00f3re operacje SELinux oraz funkcj\u0119 init_module, kt\u00f3ra jest nast\u0119pnie u\u017cywana do za\u0142adowania modu\u0142u j\u0105dra \/opt\/dropper.ko. Modu\u0142 j\u0105dra dropper.ko tworzy i uruchamia plik wykonywalny \/opt\/observer, a nast\u0119pnie ukrywa si\u0119 na li\u015bcie modu\u0142\u00f3w j\u0105dra oraz ustawia wywo\u0142ania systemowe, takie jak getdents i tcp4_seq_show, w celu ukrycia pliku \/opt\/observer i okre\u015blonego ruchu sieciowego. Plik wykonywalny \/opt\/observer \u0142aduje modu\u0142 j\u0105dra \/opt\/rootkit_loader.ko, kt\u00f3ry jest bootloaderem rootkita \/opt\/rootkit.

\"Zidentyfikowano<\/center> <\/p>\n

Aby zainstalowa\u0107 bootkit, wymagany jest dost\u0119p uprzywilejowany do systemu, a tego rodzaju z\u0142o\u015bliwe oprogramowanie jest zazwyczaj wykorzystywane przez atakuj\u0105cych po udanym z\u0142amaniu lub kompromitacji systemu, aby utrwali\u0107 swoje dalsze obecno\u015bci i ukry\u0107 swoj\u0105 z\u0142o\u015bliw\u0105 aktywno\u015b\u0107. Biblioteka injector.so oraz z\u0142o\u015bliwe modu\u0142y j\u0105dra s\u0105 umieszczane w obrazie pocz\u0105tkowego dysku RAM lub systemie plik\u00f3w przez atakuj\u0105cego. Bootloader grubx64.efi jest umieszczany w partycji z plikami dla UEFI. <\/p>\n

W wersji Bootkitty, kt\u00f3ra trafi\u0142a w r\u0119ce badaczy, modyfikacja funkcji w pami\u0119ci j\u0105dra by\u0142a przeprowadzana na podstawie wcze\u015bniej ustalonych przesuni\u0119\u0107, bez weryfikacji ich poprawno\u015bci dla za\u0142adowanej wersji j\u0105dra. U\u017cywane w Bootkitty przesuni\u0119cia by\u0142y zastosowane jedynie do wersji j\u0105dra i GRUB, dostarczanych w okre\u015blonych wydaniach Ubuntu, a w innych systemach prowadzi\u0142y do awarii podczas rozruchu. Do weryfikacji bootloadera Bootkitty (grubx64.efi) u\u017cyto samopodpisanego certyfikatu, co uniemo\u017cliwia\u0142o zastosowanie bootkita w systemach z w\u0142\u0105czonym trybem UEFI Secure Boot bez dodania certyfikatu atakuj\u0105cego do listy zaufanych certyfikat\u00f3w w UEFI. Takie cechy sk\u0142oni\u0142y badaczy do my\u015bli, \u017ce Bootkitty jest jedynie prototypem bootkita, dotychczas nieu\u017cywanym do rzeczywistych atak\u00f3w. <\/p>\n

Analizuj\u0105c opublikowane informacje ESET, badacze z firmy Binarly Research zauwa\u017cyli w\u015br\u00f3d artefakt\u00f3w zwi\u0105zanych z Bootkitty obrazy BMP, u\u017cywane do wykorzystania podatno\u015bci LogoFAIL, kt\u00f3ra pozwala na wykonanie kodu na poziomie UEFI-firmware i obej\u015bcie mechanizmu UEFI Secure Boot. W kontek\u015bcie Bootkitty wykorzystanie podatno\u015bci LogoFAIL zosta\u0142o zastosowane do dodania do listy zatwierdzonych certyfikat\u00f3w UEFI samopodpisanego certyfikatu atakuj\u0105cego, kt\u00f3ry zabezpiecza bootloader bootkita grubx64.efi, co pozwala\u0142o uruchomi\u0107 bootkit na systemach z aktywnym UEFI Secure Boot bez r\u0119cznego dodawania certyfikatu. <\/p>\n

Atak przeprowadzany jest poprzez umieszczenie w sekcji ESP (EFI System Partition) specjalnie przygotowanego obrazu w formacie BMP, kt\u00f3ry jest wy\u015bwietlany przez UEFI-firmware jako logo producenta. Z powodu wykorzystania w UEFI-firmware podatnych bibliotek do obs\u0142ugi obraz\u00f3w, przetwarzanie specjalnie przygotowanego obrazu mo\u017ce prowadzi\u0107 do przepe\u0142nienia bufora i wykonania kodu z przywilejami firmware UEFI. Podatno\u015b\u0107 LogoFAIL zosta\u0142a ujawniona rok temu i dotyczy\u0142a UEFI-firmware, u\u017cywanych mi\u0119dzy innymi w laptopach Acer, HP, Fujitsu i Lenovo. W nowych wersjach UEFI-firmware problem zosta\u0142 rozwi\u0105zany, ale wiele u\u017cywanych urz\u0105dze\u0144 nadal dzia\u0142a na podatnych wersjach firmware.

\"Zidentyfikowano<\/center>
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 «Bootkitty», \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442 \u0430\u0442\u0430\u043a\u0443\u044e\u0449\u0435\u043c\u0443 \u0441\u043a\u0440\u044b\u0442\u043e \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u0443 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0432 \u043d\u0435\u0439 \u0441\u0432\u043e\u0438 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u044f. \u0423\u0442\u0432\u0435\u0440\u0436\u0434\u0430\u0435\u0442\u0441\u044f, \u0447\u0442\u043e \u044d\u0442\u043e \u043f\u0435\u0440\u0432\u044b\u0439 UEFI-\u0431\u0443\u0442\u043a\u0438\u0442, \u043d\u0430\u0446\u0435\u043b\u0435\u043d\u043d\u044b\u0439 \u043d\u0430 \u043f\u043e\u0440\u0430\u0436\u0435\u043d\u0438\u0435 \u0441\u0438\u0441\u0442\u0435\u043c Linux. Bootkitty \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0435\u0442\u0441\u044f \u0432 \u0444\u0430\u0439\u043b\u0435 grubx64.efi \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u043e\u043c \u0440\u0430\u0437\u0434\u0435\u043b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":120802,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-120801","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wykryto UEFI bootkit Bootkitty, kt\u00f3ry wprowadza z\u0142o\u015bliwy kod do \u0142adowanego j\u0105dra Linux | ProHoster","description":"Badacze z firmy ESET zidentyfikowali nowy bootkit \"Bootkitty\", instalowany po kompromitacji systemu zamiast bootloadera GRUB i u\u017cywany do wstrzykiwania z\u0142o\u015bliwych komponent\u00f3w do j\u0105dra Linux, kt\u00f3re nast\u0119pnie pozwalaj\u0105.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u044f\u0432\u043b\u0435\u043d UEFI-\u0431\u0443\u0442\u043a\u0438\u0442 Bootkitty, \u043f\u043e\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u044e\u0449\u0438\u0439 \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432 \u0437\u0430\u0433\u0440\u0443\u0436\u0430\u0435\u043c\u043e\u0435 \u044f\u0434\u0440\u043e Linux | ProHoster","og:description":"\u0418\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u0437 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 ESET \u0432\u044b\u044f\u0432\u0438\u043b\u0438 \u043d\u043e\u0432\u044b\u0439 \u0431\u0443\u0442\u043a\u0438\u0442 "Bootkitty", \u0443\u0441\u0442\u0430\u043d\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u043f\u043e\u0441\u043b\u0435 \u0432\u0437\u043b\u043e\u043c\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u044b \u0432\u043c\u0435\u0441\u0442\u043e \u0437\u0430\u0433\u0440\u0443\u0437\u0447\u0438\u043a\u0430 GRUB \u0438 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0439 \u0434\u043b\u044f \u043f\u043e\u0434\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u0432 \u044f\u0434\u0440\u043e Linux \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0445 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u043e\u0432, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u0430\u0442\u0435\u043c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0442.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/vyyavlen-uefi-butkit-bootkitty-podstavlyayushhij-vredonosnyj-kod-v-zagruzhaemoe-yadro-linux","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2024-12-01T01:46:16+00:00","article:modified_time":"2024-12-01T01:46:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"120801","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-23 08:28:23","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 08:28:23","updated":"2026-01-23 08:28:23","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/120801","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=120801"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/120801\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/120802"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=120801"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=120801"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=120801"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}