Erstmals umgeht Bootkit das UEFI Secure Boot von Windows

Selbst ein vollständig aktuelles Windows 11-System mit aktiviertem Secure Boot stellt für das Schadprogramm kein Problem dar. Aufgrund der Funktionalität des Bootkits und seiner einzelnen Merkmale gehen die Experten des europäischen IT-Sicherheitsherstellers davon aus, dass es sich um eine als BlackLotus bekannte Bedrohung handelt. Das UEFI-Bootkit wird seit Oktober 2022 in Hackerforen für 5.000 US-Dollar verkauft.

„Erste Hinweise erhielten wir durch Treffer in unserer Telemetrie Ende 2022. Diese stellten sich als eine Komponente von BlackLotus – einem HTTP-Downloader – heraus. Nach einer ersten Analyse entdeckten wir in den Proben der gefunden Codemuster von sechs BlackLotus-Installationsprogrammen. Dadurch konnten wir die gesamte Ausführungskette untersuchen und erkennen, dass wir es hier nicht nur mit normaler Malware zu tun haben“, sagt ESET-Forscher Martin Smolár.

Blackouts nutzt Sicherheitslücke aus

BlackLotus nutzt eine mehr als ein Jahr alte Sicherheitslücke (CVE-2022-21894) aus, um UEFI Secure Boot zu umgehen und sich dauerhaft im Rechner einzunisten. Dies ist die erste bekannte Ausnutzung dieser Sicherheitslücke in freier Wildbahn. Obwohl die Schwachstelle mit dem Microsoft-Update vom Januar 2022 behoben wurde, ist ihr Missbrauch immer noch möglich. Grund dafür ist, dass die betroffenen, gültig signierten Binärdateien immer noch nicht zur UEFI-Sperrliste hinzugefügt wurden. BlackLotus nutzt dies aus, indem es seine eigenen Kopien legitimer – aber anfälliger – Binärdateien auf das System bringt.

BlackLotus ist in der Lage, Sicherheitsmechanismen des Betriebssystems wie BitLocker, HVCI und Windows Defender zu deaktivieren. Nach der Installation besteht das Hauptziel des Schädlings darin, einen Kernel-Treiber (den es unter anderem vor der Entfernung schützt) und einen HTTP-Downloader zu installieren. Letzterer ist für die Kommunikation mit dem Command-and-Control-Server zuständig und kann zusätzliche Nutzdaten für den Benutzermodus oder den Kernel-Modus laden. Interessanterweise fahren einige der BlackLotus-Installationsprogramme nicht mit der Bootkit-Installation fort, wenn der kompromittierte Rechner Gebietsschemata aus Armenien, Belarus, Kasachstan, Moldawien, Russland oder der Ukraine verwendet.

BlackLotus wurde mindestens seit Anfang Oktober 2022 in Untergrundforen beworben und verkauft. „Wir haben Beweise, dass das Bootkit echt und die Werbung dafür kein Betrug ist“, sagt Smolár. „Die geringe Anzahl von BlackLotus-Samples, die wir sowohl aus öffentlichen Quellen als auch aus unserer Telemetrie erhalten haben, lässt uns vermuten, dass noch nicht viele Hacker damit begonnen haben, es einzusetzen. Wir befürchten, dass sich dies schnell ändern wird, sollte dieses Bootkit in die Hände von Crimeware-Gruppen gelangen. Denn er ist leicht zu verteilen und kann von diesen Gruppen beispielsweise über Botnetze verbreitet werden.“

Was ist ein Bootkit?

UEFI-Bootkits sind sehr mächtige Bedrohungen für jeden Rechner. Haben sie erst einmal die volle Kontrolle über den Bootvorgang des Betriebssystems erlangt, können sie verschiedene Sicherheitsmechanismen des Betriebssystems deaktivieren und ihre eigenen Schadprogramme im Kernel- oder Benutzermodus in den frühen Bootphasen einbringen. Dadurch operieren sie heimlich und mit hohen Privilegien. Bislang wurden nur einige wenige Bootkits in freier Wildbahn entdeckt und öffentlich beschrieben. Im Vergleich zu Firmware-Implantaten – wie LoJax, dem ersten UEFI-Firmware-Implantat in freier Wildbahn, das 2018 von ESET entdeckt wurde – können UEFI-Bootkits ihre Tarnung einbüßen, da sich Bootkits auf einer leicht zugänglichen FAT32-Festplattenpartition befinden. Wenn sie jedoch als Bootloader ausgeführt werden, haben sie fast die gleichen Möglichkeiten, ohne dass sie mehrere Sicherheitsebenen überwinden müssen, die vor Firmware-Implantaten schützen. „Der beste Tipp ist, das System und seine Sicherheitslösung auf dem neuesten Stand zu halten. So erhöht man die Chance, dass eine potentielle Bedrohung bereits zu Beginn gestoppt wird, bevor sie das Betriebssystem unterwandert“, schließt Smolár.

Was ist UEFI?

UEFI steht für „Unified Extensible Firmware Interface“ und beschreibt die Firmware des Mainboards. Diese wiederum bildet die Schnittstelle zwischen Hardware und Software während des Bootvorgangs. Eine wesentliche Funktion des UEFI ist, dass der Computer im Secure Boot hochfahren kann. Dies soll verhindern, dass Schadsoftware auf das Gerät gelangt. Daher ist eine Umgehung dieser Sicherheitsfunktion auch so gefährlich.