O código fonte do malware BlackLotus UEFI acaba de ser revelado online, o que permite analisar melhor o funcionamento de uma das mais recentes ameaças, sobretudo para grandes empresas e entidades governamentais.
O BlackLotus é um malware focado para sistemas Windows, que consegue ultrapassar as medidas de proteção do Secure Boot para se instalar como um malware UEFI – um dos mais difíceis de identificar e remover. Este género de malware tende a ser bastante difícil de identificar, porque oculta as suas atividades na BIOS, e não é detetado nem mesmo por software de segurança dedicado.
Entre as funcionalidades conhecidas do mesmo encontra-se a capacidade de contornar a proteção BitLocker, de desativar ferramentas de antivírus e até de contornar proteções como a Hypervisor-protected Code Integrity (HVCI).
O Secure Boot do Windows é uma funcionalidade que, em teoria, deveria prevenir que este género de malware se instalasse na UEFI, conjugado com o Trusted Platform Module (TPM). O mesmo previne que rootkits se instalem no arranque do sistema.
O BlackLotus foi uma das primeiras ameaças capazes de contornar esta proteção, e de se instalar no sistema para roubar dados dos utilizadores.
A Microsoft tentou corrigir a situação em futuras atualizações do Windows, mas sem sucesso, tendo entretanto fornecido um guia para ajudar os utilizadores a corrigirem a falha – embora consideravelmente longo e difícil de aplicar para a maioria dos utilizadores.
Felizmente, o BlackLotus foca-se mais em empresas de grande destaque no mercado e entidades governamentais, tendo como alvo o roubo de dados sensíveis ou que podem ser usados para espionagem. No entanto, é uma ameaça grave que pode acabar por surgir em qualquer sistema.
O código fonte agora revelado, mesmo que esteja incompleto, permite que os investigadores de segurança possam analisar melhor como o malware funciona e quais as suas atividades. Isto também pode ajudar a criar mecanismos de defesa contra o malware.
Nenhum comentário
Seja o primeiro!