ตรวจพบ bootkit อันตรายบนเว็บมืด ซึ่งสามารถเลี่ยงผ่านโซลูชันความปลอดภัยทางไซเบอร์และติดตั้งมัลแวร์ทุกชนิดบนเทอร์มินัลที่มีช่องโหว่
รายงานใหม่จากผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ ESET อ้างว่า bootkit น่าจะเป็น BlackLotus ซึ่งเป็นมัลแวร์ที่น่าอับอายที่ขายบนเว็บมืดในราคาประมาณ 5,000 ยูโร
BlackLotus ไม่เพียงแต่สามารถเลี่ยงผ่านโปรแกรมป้องกันไวรัสเท่านั้น แต่ยังสามารถทำงานบนอุปกรณ์ Windows 11 ที่อัปเดตอย่างสมบูรณ์โดยเปิดใช้งาน UEFI Secure Boot
ไว้ชีวิตรัสเซียและเพื่อนบ้าน
เพื่อให้ bootkit ทำงานได้ ผู้สร้างได้ใช้ประโยชน์จาก CVE-2022-21894 ซึ่งเป็นช่องโหว่ที่ Microsoft ได้ทำการแพตช์เมื่อ XNUMX ปีที่แล้ว อย่างไรก็ตาม การใช้ประโยชน์ยังคงเป็นไปได้เนื่องจากไบนารีที่ได้รับผลกระทบและลงนามอย่างถูกต้องยังไม่ได้ถูกเพิ่มลงในรายการเพิกถอน UEFI ESET อธิบาย (เปิดในแท็บใหม่) ซึ่งหมายความว่า BlackLotus สามารถสนับสนุนสำเนาไบนารีที่ถูกต้องตามกฎหมายและมีช่องโหว่ของตนเอง จากนั้นใช้ประโยชน์จากข้อบกพร่อง
หลังจากปิดใช้งานโปรแกรมป้องกันไวรัสของคุณ (ซึ่งรวมถึง Windows Defender ด้วย) ชุดบูทสามารถปรับใช้โปรแกรมดาวน์โหลดที่สามารถติดตั้งเพย์โหลดที่เป็นอันตรายอื่นๆ ได้ นักวิจัยยังตั้งข้อสังเกตด้วยว่าตัวติดตั้งแทนที่อุปกรณ์ที่อยู่ในอาร์เมเนีย เบลารุส คาซัคสถาน มอลโดวา รัสเซีย และยูเครน
BlackLotus ออกรอบบนดาร์กเว็บและขายในราคาประมาณ 5,000 ยูโร อย่างไรก็ตาม นักวิจัยหลายคนเชื่อว่าโฆษณาเป็นของปลอมและมัลแวร์ไม่มีอยู่จริง
"ตอนนี้เราสามารถแสดงหลักฐานว่า bootkit เป็นของจริงและโฆษณานั้นไม่ได้เป็นเพียงการหลอกลวง" Martin Smolár นักวิจัยของ ESET กล่าว “ตัวอย่าง BlackLotus จำนวนน้อยที่เราสามารถหาได้ ทั้งจากแหล่งข้อมูลสาธารณะและจากการวัดและส่งข้อมูลทางไกลของเรา ทำให้เราเชื่อว่าผู้ไม่ประสงค์ดีไม่กี่รายเริ่มใช้มันอย่างรวดเร็ว หาก bootkit นี้ตกไปอยู่ในมือของกลุ่มอาชญากร เนื่องจากความสะดวกในการติดตั้ง bootkit และความสามารถของกลุ่ม Crimeware ในการแพร่กระจายมัลแวร์ผ่านบ็อตเน็ต
ความสามารถในการควบคุมกระบวนการบูตระบบปฏิบัติการทั้งหมดทำให้ชุดบูต UEFI เป็นอาวุธที่ทรงพลังอย่างยิ่ง ESET สรุป แฮ็กเกอร์ที่ดำเนินการได้สำเร็จสามารถดำเนินการกับปลายทางเป้าหมายได้อย่างลับๆ และด้วยสิทธิ์ระดับสูง จนถึงขณะนี้ มีการพบบูทคิท UEFI จำนวนหนึ่งอยู่ในป่า
"คำแนะนำที่ดีที่สุดคือการทำให้ระบบและผลิตภัณฑ์รักษาความปลอดภัยของคุณทันสมัยอยู่เสมอ เพื่อเพิ่มโอกาสที่ภัยคุกคามจะถูกหยุดก่อนที่จะสามารถคงอยู่ได้ก่อนระบบปฏิบัติการ" Smolar กล่าวสรุป