TALKINGEBN

|-------------------|

***피해자 시스템에서 권한 상승을 먼저 수행하는 BootKit 악성코드입니다. ***NtTraceEvent와 AMSI(메모리 버퍼 스캐너) 패치를 사용하여 Windows Defender를 우회하고, 탐지되지 않은 채 페이로드를 로드합니다. ***그런 다음 간접 시스템 콜(indirect syscalls)을 사용하여 페이로드를 메모리에 쓰고 EDR과 AV를 회피하면서 실행한 후 권한 상승을 획득합니다(대부분 토큰 조작으로 구현될 예정). ***권한 상승을 획득한 후 서명된 CVE-2025-3052 애플리케이션(아직 파일 누락)을 로드하고, 해당 취약점을 메모리 쓰기에 활용하여 gSecurity2를 0으로 설정함으로써 Secure Boot를 사실상 비활성화합니다. 이를 통해 자체 제작한 UEFI 애플리케이션(hooker.c + findsBOOTER.c, 현재 개발 중)을 로드할 수 있게 되며, 이 애플리케이션은 부트로더를 찾아 후크 트램펄린(hook trampoline)을 설정하여 모든 보안 조치가 활성화되기 전에 부팅 중 임의의 셸코드를 실행할 수 있게 하고, 시스템 재부팅/재시작을 우회할 수 있게 합니다(참고로 hooker.c와 findsBOOTER.c는 codex가 컴파일을 시도하다가 망가뜨려서 다시 돌아가서 코드를 수정해야 합니다). 이 부분은 Black Lotus에서 영감을 받았습니다. ***독특한 구현은 CVE-2025-3052에서 비롯됩니다. 이 취약점은 불과 5개월 전에 dbx 목록에 추가되었으며, 이는 전 세계 컴퓨터의 약 75% — 학교 컴퓨터, 공공 컴퓨터, 그리고 Windows 시스템을 자주 업데이트하지 않는 노인이나 영향받기 쉬운 사람들의 컴퓨터 — 에 대해 이 악성코드가 OS와 마더보드를 영구적으로 장악할 수 있음을 의미합니다. ***먼 미래에는 C2 서버를 구현할 계획입니다.