BlackLotus

黑龙

BlackLotus是专为Windows设计的创新UEFI靴子。它结合了内置的安全启动旁路和RING0/内核保护，以保护任何拆除尝试。该软件的目的是充当HTTP加载器。由于其坚固的持久性，无需使用新的加密方法对代理进行频繁更新。部署后，传统的防病毒软件将无法扫描和消除它。该软件包括两个主要组件：安装在目标设备上的代理，以及由管理员使用的Web界面来管理机器人。在这种情况下，机器人是指配备已安装代理的设备。

仅供参考：此版本的BlackLotus（V2）已删除了接力棒的滴滴，并用Bootlicker代替了原始版本的Shim装载机。 UEFI加载，感染和爆发后持久性都是相同的。

一般的

• 用C和X86 as撰写
• 在Windows API，NTAPI，EFIAPI上使用（未使用第三方库），
• 没有CRT（C运行时库）。
• 包含在内的二进制文件，包括用户模式加载器的大小80kb
• 通过使用RSA和AES加密使用安全的HTTPS C2通信
• 动态配置

特征

• HVCI旁路
• UAC旁路
• 安全启动旁路
• Bitlocker启动序列旁路
• Windows Defender旁路（补丁Windows Defender驱动程序中的驱动程序，并防止Windows Defender Usermode Engine扫描/上传文件）
• 动态的哈希API呼叫（地狱的大门）
• x86 <=> x64过程注入
• API钩引擎
• 防钩发动机（用于禁用，绕过和控制EDR）
• 模块化插件系统

安装

从https://github.com/tianocore/edk2下载并安装EDK2
可以在这里获得说明

安装EDK2后，您准备好编译EFI驱动程序。编辑config.c文件以包含您的C2S主机名或IP地址。之后，补充应该很容易，只需将随附的设置保留在Visual Studio解决方案中即可。

默认面板凭据：

• 用户：Yukari
• 密码：默认

参考

• welivesecurity：https：//www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirded

• binarly：https：//www.binarly.io/posts/the_untold_story_of_the_blacklotus_uefi_uefi_uefi_bootkit/index.html

• NSA缓解指南：https：//www.nsa.gov/press-room/press-releases-statements/press-release-view/article/3435305/nsa-reases-guide-guide-guide-guide-to-mitigate-blacklotus-blacklotus-blacklotus-threat

• thehackernews：https：//thehackernews.com/2023/03/blacklotus-becomes-first-uefi-bootkit.html

• bootlicker：https：//github.com/realoriginal/bootlicker