TALKINGEBN

|-------------------|

***マシン上で特権昇格を最初に実行するBootKitマルウェア。 ***NtTraceEventとAMSI（メモリバッファスキャナ）へのパッチ適用を使用して、Windows Defenderをバイパスし、検出されることなくペイロードを読み込みます。 ***次に、間接システムコールを使用してペイロードをメモリに書き込み、EDRやAVを回避しながら実行し、その後特権昇格を獲得します（おそらくトークン操作を使用して実装される予定です）。 ***特権昇格を獲得した後、署名済みのCVE-2025-3052アプリケーション（ファイルはまだ欠落中）を読み込み、そのメモリ書き込みの脆弱性を利用してgSecurity2を0に設定し、実質的にセキュアブートを無効化します。これにより、自作のUEFIアプリケーション（開発中のhooker.c + findsBOOTER.c）を読み込むことが可能になります。このアプリケーションはブートローダーを特定し、そこにフックトランポリンを設定して、すべてのセキュリティ対策が有効になる前にブート中に任意のシェルコードを実行できるようにし、さらにシステムの再起動やリブートをバイパスすることも可能にします（ちなみにhooker.cとfindsBOOTER.cはcodexがコンパイルを試みて失敗したため、戻ってコードを修正する必要があります）。この部分はBlack Lotusに触発されています。 ***独自の実装はCVE-2025-3052に由来しており、これはわずか5か月前にdbxリストに追加されたものです。つまり、世界の約75%のコンピュータ（学校のコンピュータ、公共のコンピュータ、Windowsマシンを頻繁に更新しない高齢者や影響を受けやすい人々のコンピュータ）に対して、このマルウェアはOSとマザーボードを永久に乗っ取ることができます。 ***遠い将来には、C2サーバーの実装を計画しています。