Dic 11, 2024 Marina Londei Hacking, In evidenza, Minacce, News, RSS 0

I ricercatori di ESET hanno scoperto il primo bootkit UEFI per sistemi Linux. Denominato “Bootkitty“, secondo la compagnia di sicurezza si tratta di una PoC iniziale che non è stata ancora distribuita.

La funzionalità principale del malware scoperto da ESET mira a disabilitare la funzione di verifica della firma del kernel e precaricare due binari ELF ancora sconosciuti tramite il processo “init” di Linux, il primo eseguito dal kernel durante l’avvio.

Credits: ESET

L’applicazione UEFI precedentemente sconosciuta, denominata bootkit.efi, è stata caricata su VirusTotal a novembre. Bootkitty è firmato con un certificato auto-generato, il che lo rende incompatibile con sistemi che abbiano UEFI Secure Boot abilitato. Nonostante ciò, è in grado di avviare il kernel Linux a prescindere da Secure Boot, modificando in memoria le funzioni per la verifica dell’integrità prima dell’esecuzione di GRUB.

Nel dettaglio, il bootkit sfrutta la funzione module_sig_check, responsabile del controllo della firma dei moduli. Bootkitty alte

ra la funzione in modo che ritorni sempre “0”, in modo che il kernerl carichi qualsiasi modulo senza verificarne la firma; questo non avviene quando UEFI Secure Boot è abilitato.

Dopo l’esecuzione, Bootkitty consente all’attaccante di ottenere il pieno controllo del sistema, inserendosi nel processo di avvio ed eseguendo malware prima che il sistema operativo venga avviato.

Durante i test sul bootkit, i ricercatori hanno osservato che il kernel risultava marcato come “tainted” (corrotto), cosa che non accadeva in assenza del bootkit. Per capire se il malware è presente sul sistema si può anche provare a caricare un modulo kernel non firmato: se il bootkit è installato, allora il modulo verrà caricato.

L’analisi ha portato anche all’individuazione di un modulo kernel non firmato denominato “BCDropper”, caricato su VirusTotal nello stesso periodo del bootkit Linux. Secondo i ricercatori, è probabile che sia stato sviluppato dagli stessi autori di Bootkitty. Il modulo distribuisce un binario ELF denominato “BCObserver” che si occupa di caricare un altro modulo kernel, al momento non ancora identificato.

“Che sia una PoC o meno, Bootkitty rappresenta un interessante passo avanti nel panorama delle minacce UEFI, spezzando la convinzione che i moderni bootkit siano esclusivamente minacce per Windows” hanno spiegato i ricercatori.

Per proteggere i propri sistemi Linux, ESET consiglia di abilitare UEFI Secure Boot, aggiornare il firmware e l’OS e assicurarsi di aver aggiornato la lista di revoca UEFI.