BlackLotus

Blacklotus

BlackLotus ist ein innovativer UEFI -Bootkit, der speziell für Windows entwickelt wurde. Es enthält einen integrierten Sicherheitsbypass und Ring0/Kernel-Schutz, um sich gegen Entfernungsversuche zu schützen. Diese Software dient dem Zweck der Funktionsweise als HTTP -Loader. Dank seiner robusten Ausdauer besteht keine Notwendigkeit für häufige Aktualisierungen des Agenten mit neuen Verschlüsselungsmethoden. Nach der Bereitstellung kann herkömmliche Antivirensoftware nicht in der Lage sein, sie zu scannen und zu beseitigen. Die Software umfasst zwei primäre Komponenten: den Agenten, der auf dem Zielgerät installiert ist, und die Weboberfläche, die von Administratoren zum Verwalten der Bots verwendet wird. In diesem Zusammenhang bezieht sich ein Bot auf ein mit dem installierter Agent ausgestattetes Gerät.

Zu Ihrer Information : Diese Version von BlackLotus (V2) hat Baton Drop entfernt und die Originalversion Shim Loader durch Bootlicker ersetzt. UEFI-Beladung, Infektion und Nachauszugsdauer sind alle gleich.

Allgemein

• Geschrieben in C und x86asm
• Verwendet unter Windows API, NTAPI, EFIAPI (No Dritt Party Libraries verwendet).
• Keine CRT (C -Laufzeitbibliothek).
• Kompilierte Binärdatei einschließlich des User-Mode-Loaders ist nur 80 KB groß
• Verwendet eine sichere HTTPS -C2 -Kommunikation unter Verwendung von RSA- und AES -Verschlüsselung
• Dynamische Konfiguration

Merkmale

• HVCI -Bypass
• UAC -Bypass
• Startbypass
• Bitlocker -Bootsequenz -Bypass
• Windows Defender -Bypass (Patch Windows Defender -Treiber im Speicher und verhindern, dass Windows Defender UsMode Engine Scannen/Hochladen von Dateien).
• Dynamische Hashed -API -Anrufe (Hell's Gate)
• x86 <=> x64 Prozessinjektion
• API -Hakenmotor
• Anti-Hooking-Motor (zum Deaktivieren, Umgehung und Steuerung von EDRs)
• Modulares Plugin -System

Installation

Download und installieren Sie EDK2 von https://github.com/tianocore/edk2
Anweisungen können hier erhalten werden

Nach der Installation von EDK2 sind Sie bereit, die EFI -Treiber zu kompilieren. Bearbeiten Sie die Datei config.c, um Ihren C2S -Hostnamen oder Ihre IP -Adresse einzuschließen. Danach sollte die Einführung einfach sein. Halten Sie einfach die enthaltenen Einstellungen in der Visual Studio -Lösung.

Standard -Panel -Anmeldeinformationen:

• Benutzer : Yukari
• Passwort : Standard

Referenzen

• WeliveSecurity: https://www.welivescurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-conbe bestätigt

• Binarly: https://www.binarly.io/posts/the_untold_story_of_the_blacklotus_uefi_bootkit/index.html

• NSA-MITIGIATION-Handbuch: https://www.nsa.gov/press-room/press-releas-statements/press-release-view/article/3435305/nsa-releases-guide-d-mitiate-blacklotus-threat

• TheHackernews: https://thehackernews.com/2023/03/blacklotus-becomes-first-uefi-bootkit.html

• Bootlicker: https://github.com/realoriginal/bootlicker