De recent ontdekte Linux-bootkit 'Bootkitty' is een project van Zuid-Koreaanse informaticastudenten, zo heeft één van de vermeende auteurs aan antivirusbedrijf ESET laten weten. Daarnaast blijkt de bootkit de vorig jaar onthulde LogoFAIL-kwetsbaarheid te gebruiken, zo meldt securitybedrijf Binarly op basis van eigen onderzoek.

ESET publiceerde onlangs een analyse van de bootkit en merkte daarbij op dat het zeer vermoedelijk om een proof-of-concept ging. Het hoofddoel van de bootkit is het uitschakelen van de signature verification feature van de Linux-kernel en het vooraf laden van twee nog onbekende ELF-binaries via het Linux “init”-proces, het eerste proces dat de Linux-kernel uitvoert tijdens het opstarten van het systeem.

"De bootkit is een geavanceerde rootkit die de bootloader kan vervangen en de kernel kan patchen voordat deze wordt uitgevoerd", aldus de onderzoekers. Via de bootkit kunnen aanvallers volledige controle over het getroffen systeem krijgen, omdat het opstartproces wordt overgenomen en het mogelijk is malware uit te voeren nog voordat het besturingssysteem is opgestart. Een aanvaller moet wel eerst toegang tot het systeem krijgen om de bootkit te installeren.

LogoFAIL

UEFI maakt het ook mogelijk om bij het opstarten van computers een logo weer te geven. Voor het weergeven van het logo maken UEFI-leveranciers gebruik van verschillende libraries. Deze libraries blijken meerdere kwetsbaarheden te bevatten die via een malafide logo zijn te misbruiken. Via de beveiligingslekken is het mogelijk voor een aanvaller om een UEFI-bootkit te installeren en zo vergaande controle over het systeem te krijgen.

Het malafide UEFI-logo zou op verschillende manieren kunnen worden geladen. Zo bieden verschillende UEFI-leveranciers gebruikers de mogelijkheid om een eigen logo te gebruiken. Een aanvaller die toegang tot het systeem heeft zou op deze manier zijn malafide logo tijdens het opstarten van de computer kunnen laten uitvoeren. Een andere mogelijke aanvalsvector is het proces om firmware te updaten.

Firmware-updates zijn standaard gesigneerd, maar dat geldt niet voor de gedeeltes die het logo bevatten. Een derde methode is het gebruik van een SPI flash programmer. Dit vereist wel dat de aanvaller fysieke toegang tot de computer heeft. Volgens de onderzoekers is het via LogoFAIL mogelijk om de veiligheid van het gehele systeem te compromitteren. In het geval van de nu ontdekte Linux-bootkit wordt het LogoFAIL-lek gebruikt om Secure Boot te omzeilen, zodat er een malafide bootloader kan worden geïnstalleerd.

De bootkit laat daarnaast tijdens het opstarten van de gecompromitteerde computer een aangepast logo met daarop een kat zien. Een aanvaller die onopgemerkt zou willen blijven zou dit vermoedelijk niet doen. Onderzoekers van ESET stelden al dat er meerdere aanwijzingen waren dat het hier om een proof-of-concept ging. Sinds de publicatie werd ESET benaderd door één van de vermeende auteurs. Die stelt dat het hier om een project van studenten gaat die aan het Zuid-Koreaanse 'Best of the Best' programma deelnemen.

Het Best of the Best trainingsprogramma moet voor nieuwe 'security leaders' zorgen die het land tegen digitale aanvallen beschermen. "Dit ondersteunt ons vermoeden dat het hier om een proof-of-concept gaat dan malware gebruikt door echte aanvallers. Dat neemt niet weg dat de blogpost klopt. Het is een functionele bootkit en de eerste publiek bekende UEFI-bootkit voor Linux", aldus de onderzoekers van ESET.