BlackLotus

BlackLotus — это инновационный UEFI-буткит, разработанный специально для Windows. Он включает встроенный обход Secure Boot и защиту Ring0/Ядра для предотвращения любых попыток удаления. Данное программное обеспечение предназначено для функционирования в качестве HTTP-загрузчика. Благодаря надежной персистентности нет необходимости в частом обновлении Агента новыми методами шифрования. После развертывания традиционные антивирусные программы не смогут сканировать и устранять его. Программа состоит из двух основных компонентов: Агента, устанавливаемого на целевое устройство, и Веб-интерфейса, используемого администраторами для управления ботами. В данном контексте бот — это устройство с установленным Агентом.

К сведению: В этой версии BlackLotus (v2) удален baton drop, а оригинальные загрузчики SHIM заменены на bootlicker. Загрузка UEFI, заражение и постэксплуатационная персистентность остались без изменений.

Общее

• Написан на C и x86asm
• Использует Windows API, NTAPI, EFIAPI (сторонние библиотеки не используются)
• Без CRT (библиотеки времени выполнения C).
• Скомпилированный бинарный файл, включая загрузчик пользовательского режима, имеет размер всего 80 КБ.
• Использует защищенную C2-связь по HTTPS с шифрованием RSA и AES.
• Динамическая конфигурация

Возможности

• Обход HVCI
• Обход UAC
• Обход Secure Boot
• Обход загрузочной последовательности BitLocker
• Обход Windows Defender (исправление драйверов Windows Defender в памяти и предотвращение сканирования/отправки файлов движком пользовательского режима Windows Defender)
• Динамические хэшированные вызовы API (hell's gate)
• Внедрение процессов x86<=>x64
• Механизм перехвата API (API Hooking)
• Механизм защиты от перехвата (для отключения, обхода и контроля EDR)
• Модульная система плагинов

Установка

Скачайте и установите EDK2 с https://github.com/tianocore/edk2 Инструкции можно получить