بلاك لوتس

BlackLotus هو بوت‌كيت UEFI مبتكر مصمم خصيصًا لنظام ويندوز. يتضمن تجاوزًا مدمجًا للإقلاع الآمن (Secure Boot) وحماية على مستوى Ring0/Nucleus للحماية من أي محاولات إزالة. يخدم هذا البرنامج غرض العمل كمُحمّل HTTP. بفضل استمراريته القوية، لا حاجة لتحديث الوكيل (Agent) بشكل متكرر بطرق تشفير جديدة. بمجرد نشره، لن تتمكن برامج مكافحة الفيروسات التقليدية من مسحه وإزالته. يتكون البرنامج من مكونين رئيسيين: الوكيل (Agent) المثبت على الجهاز المستهدف، والواجهة الإلكترونية (Web Interface) التي يستخدمها المسؤولون لإدارة البوتات. في هذا السياق، يشير البوت إلى جهاز مجهز بالوكيل المثبت.

ملاحظة: هذا الإصدار من BlackLotus (v2) أزال ميزة "baton drop"، واستبدل المُحمّلات SHIM الأصلية بـ bootlicker. تحميل UEFI والإصابة والاستمرارية بعد الاستغلال كلها كما هي.

عام

• مكتوب بلغة C و x86asm
• يستخدم واجهات برمجة تطبيقات ويندوز (Windows API, NTAPI, EFIAPI) (لا توجد مكتبات طرف ثالث مستخدمة)
• لا يوجد CRT (مكتبة زمن التشغيل C).
• الحجم الثنائي المُجمّع بما في ذلك مُحمّل وضع المستخدم هو 80 كيلوبايت فقط
• يستخدم اتصال C2 آمن عبر HTTPS باستخدام تشفير RSA و AES
• تكوين ديناميكي

الميزات

• تجاوز HVCI
• تجاوز UAC
• تجاوز الإقلاع الآمن (Secure Boot)
• تجاوز تسلسل إقلاع BitLocker
• تجاوز Windows Defender (تصحيح برامج تشغيل Windows Defender في الذاكرة، ومنع محرك وضع المستخدم لـ Windows Defender من فحص/رفع الملفات)
• استدعاءات API مشفرة ديناميكيًا (hell's gate)
• حقن عمليات x86<=>x64
• محرك ربط API (API Hooking)
• محرك مكافحة الربط (لتعطيل وتجاوز والتحكم في EDRs)
• نظام إضافات معياري

التثبيت

قم بتنزيل وتثبيت EDK2 من https://github.com/tianocore/edk2
يمكن الحصول على التعليمات من هنا

بعد تثبيت EDK2، أنت مستعد لتجميع برامج تشغيل EFI. قم بتعديل ملف config.c ليشمل اسم المضيف أو عنوان IP الخاص بـ C2 الخاص بك. بعد ذلك، يجب أن تكون عملية التجميع سهلة، فقط احتفظ بالإعدادات المضمنة في حل Visual Studio.

بيانات اعتماد اللوحة الافتراضية:

• user: yukari
• password: default

المراجع

• Welivesecurity: https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirmed

• Binarly: https://www.binarly.io/posts/The_Untold_Story_of_the_BlackLotus_UEFI_Bootkit/index.html

• دليل التخفيف من NSA: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3435305/nsa-releases-guide-to-mitigate-blacklotus-threat

• TheHackerNews: https://thehackernews.com/2023/03/blacklotus-becomes-first-uefi-bootkit.html

• Bootlicker: https://github.com/realoriginal/bootlicker