BlackLotus

BlackLotus é um Bootkit UEFI inovador projetado especificamente para Windows. Ele incorpora uma bypass integrada do Secure Boot e proteção Ring0/Kernel para se proteger contra qualquer tentativa de remoção. Este software serve como um Loader HTTP. Graças à sua persistência robusta, não há necessidade de atualizações frequentes do Agente com novos métodos de criptografia. Uma vez implantado, o software antivírus tradicional será incapaz de escaneá-lo e eliminá-lo. O software compreende dois componentes principais: o Agente, que é instalado no dispositivo alvo, e a Interface Web, utilizada pelos administradores para gerenciar os bots. Neste contexto, um bot refere-se a um dispositivo equipado com o Agente instalado.

INFORMAÇÃO: Esta versão do BlackLotus (v2) removeu o 'baton drop' e substituiu os loaders SHIM da versão original pelo bootlicker. O carregamento UEFI, a infecção e a persistência pós-exploração permanecem as mesmas.

Geral

• Escrito em C e x86asm
• Utiliza Windows API, NTAPI, EFIAPI (nenhuma biblioteca de terceiros usada),
• Sem CRT (C Runtime Library).
• Binário compilado incluindo o loader em modo de usuário tem apenas 80kb de tamanho
• Usa comunicação HTTPS C2 segura usando criptografia RSA e AES
• Configuração dinâmica

Funcionalidades

• Bypass de HVCI
• Bypass de UAC
• Bypass de Secure Boot
• Bypass da sequência de inicialização do BitLocker
• Bypass do Windows Defender (aplica patch nos drivers do Windows Defender na memória e impede que o mecanismo em modo de usuário do Windows Defender escaneie/faça upload de arquivos)
• Chamadas de API com hash dinâmico (hell's gate)
• Injeção de processo x86<=>x64
• Mecanismo de hooking de API
• Mecanismo anti-hooking (para desabilitar, contornar e controlar EDRs)
• Sistema modular de plugins

Instalação

Baixe e instale o EDK2, de https://github.com/tianocore/edk2
Instruções podem ser obtidas aqui

Após instalar o EDK2, você está pronto para compilar os drivers EFI. Edite o arquivo config.c para incluir o hostname ou endereço IP do seu C2. Depois disso, a compilação deve ser fácil, basta manter as configurações incluídas na solução do Visual Studio.

Credenciais Padrão do Painel:

• usuário: yukari
• senha: default

Referências

• Welivesecurity: https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirmed

• Binarly: https://www.binarly.io/posts/The_Untold_Story_of_the_BlackLotus_UEFI_Bootkit/index.html

• NSA Mitigation Guide: https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/3435305/nsa-releases-guide-to-mitigate-blacklotus-threat

• TheHackerNews: https://thehackernews.com/2023/03/blacklotus-becomes-first-uefi-bootkit.html

• Bootlicker: https://github.com/realoriginal/bootlicker