BlackLotus

BlackLotus एक अभिनव UEFI Bootkit है जिसे विशेष रूप से Windows के लिए डिज़ाइन किया गया है। इसमें एक अंतर्निहित सिक्योर बूट बाइपास और Ring0/कर्नेल सुरक्षा शामिल है ताकि इसे हटाने के किसी भी प्रयास से बचाया जा सके। यह सॉफ्टवेयर HTTP लोडर के रूप में कार्य करने का उद्देश्य पूरा करता है। इसकी मजबूत स्थिरता के कारण, एजेंट को नए एन्क्रिप्शन तरीकों के साथ बार-बार अपडेट करने की कोई आवश्यकता नहीं है। एक बार तैनात होने के बाद, पारंपरिक एंटीवायरस सॉफ्टवेयर इसे स्कैन और समाप्त करने में असमर्थ होगा। सॉफ्टवेयर में दो प्रमुख घटक शामिल हैं: एजेंट, जो लक्षित डिवाइस पर स्थापित होता है, और वेब इंटरफ़ेस, जिसका उपयोग प्रशासकों द्वारा बॉट्स को प्रबंधित करने के लिए किया जाता है। इस संदर्भ में, बॉट एक ऐसे उपकरण को संदर्भित करता है जिसमें एजेंट स्थापित होता है।

आपकी जानकारी के लिए: BlackLotus के इस संस्करण (v2) ने baton drop को हटा दिया है, और मूल संस्करण के SHIM लोडर्स को bootlicker से बदल दिया है। UEFI लोडिंग, इंफेक्शन और पोस्ट-एक्सप्लॉइटेशन स्थिरता सभी समान हैं।

सामान्य

• C और x86asm में लिखा गया
• Windows API, NTAPI, EFIAPI का उपयोग करता है (कोई तीसरे पक्ष की लाइब्रेरी उपयोग नहीं की गई है)
• कोई CRT (C रनटाइम लाइब्रेरी) नहीं
• यूज़र-मोड लोडर सहित संकलित बाइनरी का आकार केवल 80kb है
• RSA और AES एन्क्रिप्शन का उपयोग करके सुरक्षित HTTPS C2 संचार का उपयोग करता है
• गतिशील कॉन्फ़िगरेशन

विशेषताएं

• HVCI बाइपास
• UAC बाइपास
• सिक्योर बूट बाइपास
• BitLocker बूट अनुक्रम बाइपास
• Windows Defender बाइपास (मेमोरी में Windows Defender ड्राइवरों को पैच करें, और Windows Defender यूज़रमोड इंजन को फ़ाइलों को स्कैन/अपलोड करने से रोकें)
• गतिशील हैशेड API कॉल्स (hell's gate)
• x86<=>x64 प्रक्रिया इंजेक्शन
• API हुकिंग इंजन
• एंटी-हुकिंग इंजन (EDRs को अक्षम, बाइपास और नियंत्रित करने के लिए)
• मॉड्यूलर प्लगइन सिस्टम

स्थापना

EDK2 को https://github.com/tianocore/edk2 से डाउनलोड और इंस्टॉल करें।
निर्देश प्राप्त किए जा सकते हैं।