BlackLotus

BlackLotus는 Windows용으로 설계된 혁신적인 UEFI 부트킷입니다. 제거 시도를 방지하기 위해 내장된 Secure Boot 우회 및 Ring0/커널 보호 기능을 통합하고 있습니다. 이 소프트웨어는 HTTP 로더 역할을 합니다. 강력한 지속성 덕분에 에이전트를 새로운 암호화 방식으로 자주 업데이트할 필요가 없습니다. 일단 배포되면 기존의 안티바이러스 소프트웨어는 이를 검사하거나 제거할 수 없습니다. 이 소프트웨어는 대상 장치에 설치되는 에이전트와 관리자가 봇을 관리하는 데 사용하는 웹 인터페이스라는 두 가지 주요 구성 요소로 이루어져 있습니다. 여기서 봇은 에이전트가 설치된 장치를 의미합니다.

참고: 이 버전의 BlackLotus(v2)에서는 baton drop이 제거되었으며, 원래 버전의 SHIM 로더가 bootlicker로 대체되었습니다. UEFI 로딩, 감염 및 사후 익스플로잇 지속성은 모두 동일합니다.

일반

• C 및 x86asm으로 작성됨
• Windows API, NTAPI, EFIAPI 사용 (타사 라이브러리 미사용),
• CRT(C 런타임 라이브러리) 미사용
• 사용자 모드 로더를 포함한 컴파일된 바이너리는 크기가 80KB에 불과함
• RSA 및 AES 암호화를 사용한 안전한 HTTPS C2 통신 사용
• 동적 구성

기능

• HVCI 우회
• UAC 우회
• Secure Boot 우회
• BitLocker 부트 시퀀스 우회
• Windows Defender 우회 (메모리 내 Windows Defender 드라이버 패치, Windows Defender 사용자 모드 엔진의 파일 검사/업로드 방지)
• 동적 해시 API 호출 (hell's gate)
• x86<=>x64 프로세스 인젝션
• API 후킹 엔진
• 안티 후킹 엔진 (EDR 비활성화, 우회 및 제어용)
• 모듈식 플러그인 시스템

설치

EDK2를 다운로드하여 설치하세요: https://github.com/tianocore/edk2
설치 방법은 여기에서 확인할 수 있습니다.

EDK2 설치 후 EFI 드라이버를 컴파일할 준비가 됩니다. config.c 파일을 편집하여 C2의 호스트 이름 또는 IP 주소를 포함시키세요. 그 후에는 포함된 Visual Studio 솔루션 설정을 유지하면 컴파일이 쉬워집니다.

기본 패널 자격 증명:

• 사용자: yukari
• 비밀번호: default

참고 자료

• Welivesecurity: https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirmed

• Binarly: https://www.binarly.io/posts/The_Untold_Story_of_the_BlackLotus_UEFI_Bootkit/index.html

• NSA 완화 가이드: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3435305/nsa-releases-guide-to-mitigate-blacklotus-threat

• TheHackerNews: https://thehackernews.com/2023/03/blacklotus-becomes-first-uefi-bootkit.html

• Bootlicker: https://github.com/realoriginal/bootlicker