Обнаружен первый вредоносный UEFI-буткит для Linux

Обнаружен первый вредоносный UEFI-буткит для Linux. Фото: из архива Linux

Заявление сделано после обнаружения первого в своем роде буткита Linux UEFI, который, судя по всему, является либо экспериментальной версией, либо версией, находящейся на ранней стадии разработки.

Буткиты UEFI — это сложные вредоносные программы, нацеленные на Unified Extensible Firmware Interface (UEFI), который отвечает за загрузку операционной системы и инициализацию оборудования.

Эти буткиты компрометируют прошивку на низком уровне, что означает, что даже переустановка операционной системы или даже замена жесткого диска не устраняет присутствие вредоносной программы. Даже антивирусные программы испытывают трудности с их обнаружением.

Буткиты позволяют злоумышленникам контролировать систему с самых ранних стадий загрузки, часто используются для шпионажа, наблюдения или запуска других вредоносных полезных нагрузок. Благодаря тому, что они так глубоко проникают в систему, буткиты UEFI часто очень трудно обнаружить или удалить.

Вариант, обнаруженный исследователями ESET, называется «Bootkitty». Его состояние, особенности и уровень эксплуатации позволяет предположить, что он все еще находится на ранней стадии разработки.

Bootkitty использует самоподписанный сертификат, а это значит, что он не будет работать в системах с безопасной загрузкой, поэтому он может функционировать только с некоторыми дистрибутивами Ubuntu.

Кроме того, использование жестко закодированных шаблонов байтов и тот факт, что лучшие шаблоны для покрытия нескольких версий ядра или GRUB не были использованы, означает, что буткит не может быть широко распространен. Наконец, Bootkitty поставляется со многими неиспользуемыми функциями и не имеет проверок версии ядра, что часто приводит к сбоям системы.

В любом случае, это открытие знаменует собой важный момент в развитии и разрушительном потенциале буткитов UEFI, утверждают исследователи безопасности.

Хотя все доказательства указывают на вредоносное ПО, которое вряд ли может нанести какой-либо существенный ущерб, факт остается фактом: буткиты проникли в Linux. По словам специалистов, с таким количеством устройств, работающих на этой ОС, поверхность атаки становится «колоссальной».