CVE-2022-21894

关于 CVE-2022-21894 的公开仓库

主页面

https://www.microsoft.com/en-us/security/blog/2023/04/11/guidance-for-investigating-attacks-using-cve-2022-21894-the-blacklotus-campaign/

Windows Defender 现在能够移除此威胁“可能易受攻击的 EFI 引导加载程序”

基础检测

挂载指定驱动器的 EFI 系统分区。

$ mountvol /s

搜索存在异常时间戳的 .efi 文件

$ dir E:\EFI\Microsoft\Boot*efi

获取所有引导加载程序文件的文件哈希，查看是否有任何文件产生 ERROR_SHARING_VIOLATION

$ Get-FileHash -Algorithm MD5 -Path (Get-ChildItem "E:\EFI\Microsoft\Boot*.*" -Recurse)

检测暂存目录是否存在

检查自定义目录（如 ESP:\system32\）中是否存在已被删除文件的历史记录 BalckLotus 安装后该目录不会被删除。

检查 HVCI 完整性（如果存在）

$ reg query HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity

检查特定的 Windows Defender 事件（是否存在篡改 Defender 的行为）

$ Get-EventLog -LogName System -InstanceId 3006

$ Get-EventLog -LogName System -InstanceId 7023

检查通过 winlogon.exe 端口 80 与 C2 服务器的连接

$ netstat -ano | findstr ":80"

$ tasklist /V | findstr "winlogon.exe"

使用 sysmon 并向 sysmonconfig.xml 添加新配置

winlogon.exe

Sysmon

https://github.com/olafhartong/sysmon-modular

漏洞

方法

https://github.com/Wack0/CVE-2022-21894