Proyecto Barzakh (برزخ)

---

⚠️ PROYECTO DE INVESTIGACIÓN ACADÉMICA — SOLO SEGURIDAD DEFENSIVA

Esta plataforma existe para estudiar las amenazas de firmware y construir defensas contra ellas. Contiene emulaciones ofensivas activas con interruptores de seguridad de raíz de hardware. Al acceder a este repositorio, usted acepta utilizarlo únicamente con fines legítimos de investigación de seguridad y educativos.

---

📋 ¿Qué es Barzakh?

Barzakh es una plataforma de investigación de seguridad de firmware de pila completa que modela TTPs de bootkits del mundo real a través de todos los anillos de privilegio — desde controladores UEFI DXE (Ring 0) hasta SMM, Intel ME, AMD PSP, controladores DMA de plataforma (Ring -3) y amenazas microarquitectónicas de CPU (Ring -4). Empareja cada técnica ofensiva con un motor de detección correspondiente, creando un sistema de bucle cerrado donde cada ataque es tanto reproducible como detectable.

Capacidades clave:

• 21 módulos ofensivos EDK II que abarcan las arquitecturas x86_64, AArch64/Apple Silicon y RISC-V
• 132 detectores especializados con heurísticas específicas de firmware y análisis estructural (que abarcan firmware UEFI, Intel/AMD, ARM, RISC-V, Android, Apple/iOS, inalámbrico, banda base de telecomunicaciones y satelital)
• Integración de inteligencia de amenazas — fuentes de IOC, un motor de reglas de subconjunto de YARA (comodines, saltos, condiciones booleanas), exportación de eventos MISP y mapeo a MITRE ATT&CK
• Análisis de aprendizaje automático — detección de anomalías mediante bosque de aislamiento y un clasificador de regresión logística malicioso/benigno, entrenable con el corpus de adversarios
• Historial de escaneos y base de conocimiento — historial de escaneos respaldado por SQLite con diferenciación/tendencias, y una base de conocimiento de firmware compartible (anonimizable)
• Panel de control y API REST — barzakh-server sirve un panel web y una API JSON (puerto 8420) con escaneos programados y tendencias de puntuación de riesgo
• Monitoreo continuo — barzakh-agent vigila objetivos de firmware, registra el historial y reenvía los hallazgos a SIEMs (Elastic ECS, ArcSight CEF, QRadar LEEF) o webhooks
• 127 generadores de payloads de adversarios para la validación automatizada de verdaderos positivos
• Cobertura completa de Ring -4 — microcódigo de CPU, ejecución especulativa, canales encubiertos térmicos/de energía, glitching de voltaje, interfaces de depuración, rowhammer
• Ruta de pruebas en laboratorio de hardware — progresión documentada desde la simulación hasta el silicio real

Adversarios de Referencia Modelados

Amenaza	Técnica	Cobertura de Barzakh
BlackLotus (CVE-2023-24932)	Omisión de Secure Boot mediante shim vulnerable	Detector blacklotus + payload blacklotus_mok
LogoFAIL (CVE-2023-40238)	Desbordamiento del analizador de imágenes en el firmware UEFI	Detector logofail + payload logofail_image
PixieFail (CVE-2023-45229+)	Desbordamientos de búfer en la pila de red en EDK2	Detector pixiefail + payload pixiefail_dhcp
CosmicStrand	Persistencia DXE en la flash SPI	Integridad de FV + región SPI + detector de persistencia
LoJax	Primer implante SPI visto en la naturaleza	Detector ME/SPI + análisis del descriptor de flash
MoonBounce	DXE central modificado en la flash SPI	Hook de Boot Services + diferenciación de volúmenes de firmware
MosaicRegressor	Framework de persistencia UEFI	Multi-etapa: manipulación de FV + inyección de PE + trampolín
Hacking Team (RCS)	Rootkit UEFI con Option ROM	Detector de Option ROM + análisis de expansión PCI
FinSpy	Modificación del bootloader UEFI	Intercepción de ExitBootServices + escaneo de memoria
Bootkitty (2024)	Primer bootkit UEFI de Linux, omisión de firma de GRUB	Detector linux_bootchain + payload bootkitty_grub_patch
CVE-2024-7344	Recargador firmado carga payloads PE sin firmar	Detector reloader + payload secureboot_reloader
CVE-2023-1017/1018	Desbordamiento de búfer en la implementación de referencia de TPM 2.0	Detector tpm_command + payload tpm_ref_overflow

---

🏗️ Arquitectura

---

🧩 Componentes principales

1. BootkitPkg — Emulación ofensiva (C11, EDK II)

21 módulos EDK II en 3 arquitecturas (x86_64, AArch64, RISC-V) que emulan todas las técnicas de persistencia de firmware conocidas:

Núcleo x86_64 (13 módulos)

Módulo	Anillo	Técnica
DxeInject	0	Inyección de controladores en fase DXE — hooks de LoadImage/StartImage + SetVariable, persistencia en FV, emulador de flash SPI con backends FVB2/Boot Guard, kill-switches
ExitBootHook	0	Intercepción de ExitBootServices + hooking de MSR
SpiChipsetEmulator	-1	Simulación de la interfaz SPI a nivel de chipset
SmmPersistence	-1	Instalación de manejadores SMM y persistencia en SMRAM
CapsuleHijack	-1	Abuso del mecanismo de actualización de cápsulas UEFI
AcpiTableInject	-2	Inyección de tablas ACPI para acceso a memoria del kernel
VirtualAddressMapHook	-2	Hooking de EFI Runtime Services
PciOptionRom	-2	Implantación de Option ROM PCI
MeSpiManipulation	-3	Manipulación de la región de flash SPI de Intel ME
HeciIntercept	-3	Intercepción del canal de comunicación Host-ME
MeDmaAttack	-3	DMA iniciado por ME hacia la memoria del host
AmtSolChannel	-3	Canal encubierto Serial-over-LAN de AMT
FtpmCommandForge	-3	Falsificación de comandos fTPM de AMD mediante el buzón de PSP

AArch64 / Apple Silicon (7 módulos)

Módulo	Técnica
Aarch64DxeInject	Inyección DXE en ARM64 con payloads conscientes de EL
ExceptionVectorHook	Reubicación de la tabla de excepciones VBAR_EL1
El3SecureMonitor	Intercepción de llamadas al Secure Monitor de EL3
TzascManipulation	Omisión del TrustZone Address Space Controller
DeviceTreeInject	Modificación del Device Tree Blob para persistencia
IbootTrustChain	Subversión de la cadena de confianza de iBoot de Apple
SepMailboxIntercept	Intercepción del buzón del SEP (Secure Enclave) de Apple

RISC-V (1 módulo)

Módulo	Técnica
RiscVDxeInject	Inyección de firmware en modo M en plataformas RISC-V