Un kit de d\u00e9marrage furtif Unified Extensible Firmware Interface (UEFI) appel\u00e9 BlackLotus est devenu le premier malware publiquement connu capable de contourner les d\u00e9fenses Secure Boot, ce qui en fait une menace puissante dans le cyber-paysage.<\/p>\n
“Ce bootkit peut fonctionner m\u00eame sur des syst\u00e8mes Windows 11 enti\u00e8rement \u00e0 jour avec UEFI Secure Boot activ\u00e9”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 slovaque de cybers\u00e9curit\u00e9 ESET. a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News.<\/p>\n Les bootkits UEFI sont d\u00e9ploy\u00e9s dans le micrologiciel du syst\u00e8me et permettent un contr\u00f4le total sur le processus de d\u00e9marrage du syst\u00e8me d’exploitation (OS), permettant ainsi de d\u00e9sactiver les m\u00e9canismes de s\u00e9curit\u00e9 au niveau du syst\u00e8me d’exploitation et de d\u00e9ployer des charges utiles arbitraires lors du d\u00e9marrage avec des privil\u00e8ges \u00e9lev\u00e9s.<\/p>\n Propos\u00e9 \u00e0 la vente \u00e0 5 000 $ (et 200 $ par nouvelle version ult\u00e9rieure), la bo\u00eete \u00e0 outils puissante et persistante est programm\u00e9e en assembleur et C et a une taille de 80 kilo-octets. Il dispose \u00e9galement de capacit\u00e9s de g\u00e9orep\u00e9rage pour \u00e9viter d’infecter des ordinateurs en Arm\u00e9nie, en Bi\u00e9lorussie, au Kazakhstan, en Moldavie, en Roumanie, en Russie et en Ukraine.<\/p>\n D\u00e9tails sur BlackLotus apparu pour la premi\u00e8re fois<\/a> en octobre 2022, le chercheur en s\u00e9curit\u00e9 de Kaspersky, Sergey Lozhkin, le d\u00e9crivant comme une solution sophistiqu\u00e9e de logiciel criminel.<\/p>\n “Cela repr\u00e9sente un peu un” bond en avant “en termes de facilit\u00e9 d’utilisation, d’\u00e9volutivit\u00e9, d’accessibilit\u00e9 et, plus important encore, le potentiel d’un impact beaucoup plus important sous forme de persistance, d’\u00e9vasion et \/ ou de destruction”, a d\u00e9clar\u00e9 Scott Scheferman d’Eclypsium. indiqu\u00e9<\/a>.<\/p>\n BlackLotus, en un mot, exploite une faille de s\u00e9curit\u00e9 identifi\u00e9e comme CVE-2022-21894<\/a> (alias Chute de matraque<\/a>) pour contourner les protections UEFI Secure Boot et configurer la persistance. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e par Microsoft dans le cadre de sa mise \u00e0 jour Patch Tuesday de janvier 2022.<\/p>\n Une exploitation r\u00e9ussie de la faille permet l’ex\u00e9cution de code arbitraire pendant les premi\u00e8res phases de d\u00e9marrage, permettant \u00e0 un acteur malveillant d’effectuer des actions malveillantes sur un syst\u00e8me avec UEFI Secure Boot activ\u00e9 sans y avoir physiquement acc\u00e8s, a d\u00e9clar\u00e9 ESET.<\/p>\n “Il s’agit du premier abus public et sauvage de cette vuln\u00e9rabilit\u00e9”, a d\u00e9clar\u00e9 Martin Smol\u00e1r, chercheur \u00e0 ESET. “Son exploitation est toujours possible car les binaires concern\u00e9s et valablement sign\u00e9s n’ont toujours pas \u00e9t\u00e9 ajout\u00e9s au Liste de r\u00e9vocation UEFI<\/a>.”<\/p>\n “BlackLotus en profite pour apporter ses propres copies de fichiers binaires l\u00e9gitimes – mais vuln\u00e9rables – au syst\u00e8me afin d’exploiter la vuln\u00e9rabilit\u00e9”, ouvrant ainsi la voie aux attaques BYOVD (Bring Your Own Vulnerable Driver).<\/p>\n En plus d’\u00eatre \u00e9quip\u00e9 pour d\u00e9sactiver les m\u00e9canismes de s\u00e9curit\u00e9 comme BitLocker, l’int\u00e9grit\u00e9 du code prot\u00e9g\u00e9e par l’hyperviseur (HVCI<\/a>) et Windows Defender, il est \u00e9galement con\u00e7u pour d\u00e9poser un pilote de noyau et un t\u00e9l\u00e9chargeur HTTP qui communique avec un serveur de commande et de contr\u00f4le (C2) pour r\u00e9cup\u00e9rer des logiciels malveillants suppl\u00e9mentaires en mode utilisateur ou en mode noyau.<\/p>\n Le mode op\u00e9ratoire exact utilis\u00e9 pour d\u00e9ployer le bootkit est encore inconnu, mais il commence par un composant d’installation qui est responsable de l’\u00e9criture des fichiers sur le Partition syst\u00e8me EFI<\/a>en d\u00e9sactivant HVCI et BitLocker, puis en red\u00e9marrant l’h\u00f4te.<\/p>\n Le red\u00e9marrage est suivi de la militarisation de CVE-2022-21894 pour obtenir la persistance et installer le bootkit, apr\u00e8s quoi il est automatiquement ex\u00e9cut\u00e9 \u00e0 chaque d\u00e9marrage du syst\u00e8me pour d\u00e9ployer le pilote du noyau.<\/p>\n Alors que le pilote est charg\u00e9 de lancer le t\u00e9l\u00e9chargeur HTTP en mode utilisateur et d’ex\u00e9cuter les charges utiles en mode noyau de l’\u00e9tape suivante, ce dernier est capable d’ex\u00e9cuter les commandes re\u00e7ues du serveur C2 via HTTPS.<\/p>\n Cela inclut le t\u00e9l\u00e9chargement et l’ex\u00e9cution d’un pilote de noyau, d’une DLL ou d’un ex\u00e9cutable standard\u00a0; r\u00e9cup\u00e9rer les mises \u00e0 jour du bootkit et m\u00eame d\u00e9sinstaller le bootkit du syst\u00e8me infect\u00e9.<\/p>\n “De nombreuses vuln\u00e9rabilit\u00e9s critiques affectant la s\u00e9curit\u00e9 des syst\u00e8mes UEFI ont \u00e9t\u00e9 d\u00e9couvertes au cours des derni\u00e8res ann\u00e9es”, a d\u00e9clar\u00e9 Smol\u00e1r. “Malheureusement, en raison de la complexit\u00e9 de l’ensemble de l’\u00e9cosyst\u00e8me UEFI et des probl\u00e8mes de cha\u00eene d’approvisionnement associ\u00e9s, bon nombre de ces vuln\u00e9rabilit\u00e9s ont rendu de nombreux syst\u00e8mes vuln\u00e9rables m\u00eame longtemps apr\u00e8s que les vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 corrig\u00e9es – ou du moins apr\u00e8s qu’on nous a dit qu’elles \u00e9taient corrig\u00e9es.”<\/p>\n “Ce n’\u00e9tait qu’une question de temps avant que quelqu’un profite de ces \u00e9checs et cr\u00e9e un bootkit UEFI capable de fonctionner sur des syst\u00e8mes avec UEFI Secure Boot activ\u00e9.”<\/p>\n <\/p>\n![\"Logiciels](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/03\/1677673062_220_BlackLotus-devient-le-premier-logiciel-malveillant-UEFI-Bootkit-a-contourner.png\" "\\"Logiciels")
<\/div>\n