La National Security Agency (NSA) des \u00c9tats-Unis a publi\u00e9 jeudi des conseils pour aider les organisations \u00e0 d\u00e9tecter et \u00e0 pr\u00e9venir les infections d’une interface micrologicielle extensible unifi\u00e9e (UEFI<\/a>) bootkit appel\u00e9 Lotus Noir<\/strong>.<\/p>\n \u00c0 cette fin, l’agence est recommander<\/a> que “les propri\u00e9taires d’infrastructure prennent des mesures en renfor\u00e7ant les politiques ex\u00e9cutables des utilisateurs et en surveillant l’int\u00e9grit\u00e9 de la partition de d\u00e9marrage”.<\/p>\n BlackLotus est une solution de crimeware avanc\u00e9e qui a \u00e9t\u00e9 mise en lumi\u00e8re pour la premi\u00e8re fois en octobre 2022 par Kaspersky. Un bootkit UEFI capable de contourner les protections de d\u00e9marrage s\u00e9curis\u00e9 de Windows, des \u00e9chantillons de logiciels malveillants ont depuis \u00e9merg\u00e9 dans la nature.<\/p>\n Ceci est accompli en tirant parti d’une faille connue de Windows appel\u00e9e Baton Drop (CVE-2022-21894<\/a>score CVSS\u00a0: 4,4) d\u00e9couverts dans des chargeurs de d\u00e9marrage<\/a> pas ajout\u00e9 dans le Liste de r\u00e9vocation Secure Boot DBX<\/a>. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e par Microsoft en janvier 2022.<\/p>\n Cette faille pourrait \u00eatre exploit\u00e9e par des pirates pour remplacer des chargeurs de d\u00e9marrage enti\u00e8rement corrig\u00e9s par des versions vuln\u00e9rables et ex\u00e9cuter BlackLotus sur des terminaux compromis.<\/p>\n Kits de d\u00e9marrage UEFI<\/a> comme BlackLotus accorde un acteur mena\u00e7ant contr\u00f4le complet<\/a> sur le syst\u00e8me d’exploitation proc\u00e9dure de d\u00e9marrage<\/a>permettant ainsi d’interf\u00e9rer avec les m\u00e9canismes de s\u00e9curit\u00e9 et de d\u00e9ployer des charges utiles suppl\u00e9mentaires avec des privil\u00e8ges \u00e9lev\u00e9s.<\/p>\n Il convient de noter que BlackLotus n’est pas un menace du micrologiciel<\/a>, et se concentre plut\u00f4t sur la premi\u00e8re \u00e9tape logicielle du processus de d\u00e9marrage pour atteindre la persistance et l’\u00e9vasion. Il n’y a aucune preuve que le logiciel malveillant cible les syst\u00e8mes Linux.<\/p>\n “Les bootkits UEFI peuvent perdre en furtivit\u00e9 par rapport aux implants de firmware […] car les bootkits sont situ\u00e9s sur une partition de disque FAT32 facilement accessible \u00bb, a d\u00e9clar\u00e9 le chercheur d’ESET Martin Smol\u00e1r dans une analyse de BlackLotus en mars 2023.<\/p>\n “Cependant, fonctionner en tant que chargeur de d\u00e9marrage leur donne presque les m\u00eames capacit\u00e9s que les implants de micrologiciels, mais sans avoir \u00e0 surmonter les d\u00e9fenses flash SPI \u00e0 plusieurs niveaux, telles que les bits de protection BWE, BLE et PRx, ou les protections fournies par le mat\u00e9riel (comme Intel Boot Garde).<\/p>\n Outre l’application des mises \u00e0 jour du mardi du correctif de mai 2023 de Microsoft, qui corrigeaient une deuxi\u00e8me faille de contournement du d\u00e9marrage s\u00e9curis\u00e9 (CVE-2023-24932, score CVSS\u00a0: 6,7) exploit\u00e9e par BlackLotus, il est conseill\u00e9 aux organisations de suivre les \u00e9tapes d’att\u00e9nuation suivantes\u00a0:<\/p>\n Microsoft, pour sa part, adopte une approche progressive pour fermer compl\u00e8tement le vecteur d’attaque. Les correctifs devraient \u00eatre g\u00e9n\u00e9ralement disponibles au premier trimestre 2024.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/06\/Les-cybercriminels-bresiliens-utilisent-les-scripts-LOLBaS-et-CMD-pour.png\")
<\/a><\/center><\/div>\n\n