Ontdekking van de Eerste UEFI Bootkit voor Linux: Bootkitty

Op 27 november 2024 hebben cybersecurity-onderzoekers een belangrijke doorbraak aangekondigd: de ontdekking van wat wordt beschouwd als de eerste Unified Extensible Firmware Interface (UEFI) bootkit die specifiek is ontworpen voor Linux-systemen. Deze bootkit, door zijn ontwikkelaars bekend als BlackCat, heeft de naam Bootkitty gekregen en wordt momenteel geclassificeerd als een proof-of-concept (PoC). Tot nu toe zijn er geen aanwijzingen dat het in de praktijk is gebruikt voor aanvallen.

Bootkitty, dat ook bekend staat onder de naam IranuKit, werd op 5 november 2024 geüpload naar het VirusTotal-platform. De belangrijkste doelstelling van deze bootkit is het uitschakelen van de handtekeningverificatie van de kernel en het vooraf laden van twee onbekende ELF-binaries via het Linux init-proces, het eerste proces dat door de Linux-kernel wordt uitgevoerd tijdens de opstart van het systeem. Dit werd bevestigd door ESET-onderzoekers Martin Smolár en Peter Strýček.

 Een Veranderend Cyberdreigingslandschap

De ontwikkeling van Bootkitty is van groot belang, omdat het een verschuiving in het cyberdreigingslandschap aanduidt. Tot nu toe waren UEFI bootkits voornamelijk beperkt tot Windows-systemen, maar met de komst van Bootkitty wordt duidelijk dat deze dreigingen zich ook naar Linux-systemen uitbreiden. Dit benadrukt de noodzaak voor organisaties en individuen om hun beveiligingsmaatregelen te herzien en zich voor te bereiden op nieuwe potentiële bedreigingen.

Technische Details van Bootkitty

Bootkitty is ondertekend met een zelfondertekende certificaat, wat betekent dat het niet kan worden uitgevoerd op systemen met UEFI Secure Boot ingeschakeld, tenzij er al een door de aanvaller beheerd certificaat is geïnstalleerd. Ongeacht de status van UEFI Secure Boot is de bootkit voornamelijk ontworpen om de Linux-kernel op te starten en in het geheugen de respons van de functie voor integriteitsverificatie te patchen voordat de GNU GRand Unified Bootloader (GRUB) wordt uitgevoerd.

Specifiek gaat Bootkitty verder door twee functies van de UEFI-authenticatieprotocollen te 'hooken' wanneer Secure Boot is ingeschakeld, zodat de integriteitscontroles van UEFI worden omzeild. Daarnaast patcht het drie verschillende functies in de legitieme GRUB-bootloader om andere integriteitsverificaties te omzeilen. De bootkit is ook ontworpen om de normale werking van het decompressieproces van de Linux-kernel te verstoren, zodat de malware kwaadaardige modules kan laden.

Een ander belangrijk aspect van Bootkitty is dat het de LD_PRELOAD-omgevingsvariabele wijzigt, zodat twee onbekende ELF-gedeelde objecten ("/opt/injector.so" en "/init") worden geladen wanneer het init-proces wordt gestart. Dit stelt de bootkit in staat om zijn kwaadaardige code effectief te injecteren in het opstartproces van het systeem.

Verbonden Bedreigingen: BCDropper en BCObserver

Tijdens hun onderzoek naar Bootkitty ontdekten de ESET-onderzoekers ook een vermoedelijk gerelateerde niet-ondertekende kernelmodule met de codenaam BCDropper. Deze module kan een ELF-binary genaamd BCObserver implementeren, die een andere, nog onbekende kernelmodule laadt na de opstart van het systeem. De kernelmodule, die ook de naam BlackCat als auteur vermeldt, biedt verschillende rootkit-gerelateerde functionaliteiten, zoals het verbergen van bestanden, processen en het openen van poorten.

Tot op heden zijn er geen aanwijzingen die een verband tussen Bootkitty en de ALPHV/BlackCat ransomwaregroep aantonen. Dit benadrukt de noodzaak voor verder onderzoek naar de oorsprong en het potentieel van deze nieuwe dreigingen.

Vooruitblik op de Toekomst

"Of het nu een proof-of-concept is of niet, Bootkitty vertegenwoordigt een interessante vooruitgang in het UEFI-dreigingslandschap, en doorbreekt de overtuiging dat moderne UEFI bootkits alleen een bedreiging voor Windows zijn," aldus de onderzoekers. Ze benadrukken de noodzaak om voorbereid te zijn op mogelijke toekomstige bedreigingen, aangezien cybercriminelen hun technieken blijven verfijnen en uitbreiden naar diverse platformen.

Conclusie

De ontdekking van Bootkitty markeert een cruciaal moment in de evolutie van cyberdreigingen, waarbij de focus verschuift van Windows naar Linux-systemen. Dit benadrukt de noodzaak voor voortdurende waakzaamheid en de implementatie van robuuste beveiligingsmaatregelen om de integriteit van systemen te waarborgen. Organisaties en individuen moeten zich bewust zijn van deze opkomende dreigingen en hun verdedigingstrategieën aanpassen om zich te beschermen tegen potentiële aanvallen in de toekomst.