Microsoft рассказала, как выявить атаку UEFI-буткита BlackLotus

Microsoft рассказала, как выявить атаку UEFI-буткита BlackLotus

Microsoft рассказала, как выявить атаку UEFI-буткита BlackLotus

Специалисты Microsoft изучили зараженные устройства и составили список артефактов, по которым можно определить присутствие стойкого импланта. В помощь жертвам BlackLotus также опубликованы рекомендации по очистке и защите от атак на UEFI-платформу.

Объявившийся в прошлом году зловред BlackLotus относится к классу буткитов. Такие инфекции сложно обнаружить, так как вредоносный код загружается из прошивки BIOS / UEFI или системного раздела EFI (EPS) и исполняется на начальных этапах загрузки ОС, то есть до запуска средств антивирусной защиты.

Новобранец примечателен тем, что для обхода защиты UEFI Secure Boot использует уязвимость CVE-2022-21894 (пропатчена в январе прошлого года). В целях самообороны он умеет отключать Microsoft Defender, защиту целостности кода HVCI и BitLocker.

Свидетельства заражения BlackLotus, согласно блог-записи Microsoft:

  • недавно созданные и заблокированные файлы загрузчика;
  • наличие папки /system32/ в файловой системе EPS;
  • изменения в разделе реестра, ассоциируемом с HVCI;
  • специфические записи в журналах событий Windows;
  • изменение конфигурации загрузки (журналы MeasuredBoot);
  • исходящие подключения winlogon.exe на порту 80 (попытки зловреда связаться с C2).

Файлы загрузчика BlackLotus (фейковые winload.efi, bootmgfw.efi, grubx64.efi) записываются в ESP, доступ к ним блокируется во избежание модификации / удаления. Подмена таких файлов, по словам экспертов, может расцениваться как заражение.

 

Если время изменений не выглядит подозрительным, можно попробовать вычислить хеши с помощью CertUtil. Поскольку BlackLotus блокирует свои файлы, попытка доступа выдаст ошибку ERROR_SHARING_VIOLATION с развернутым объяснением причины, что подтвердит вредоносную активность.

 

Папка /system32/ создается в ESP в процессе установки UEFI-зловреда. В случае успеха она чистится, но удаленные файлы при желании можно отыскать.

 

Отключение HVCI позволяет BlackLotus загрузить неподписанный код ядра. С этой целью он меняет на 0 значение Enabled ключа реестра HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity. Непрошеный останов Microsoft Defender найдет отражение в журналах событий Windows.

 

Изучение логов MeasuredBoot тоже позволит выявить признаки компрометации — подключение загрузочных драйверов grubx64.efi и winload.efi. Прочесть содержимое файлов в данном случае можно с помощью криминалистической копии жесткого диска или специального инструмента декодирования.

Для очистки устройства после заражения следует отключить его от сети и переформатировать разделы диска с OS и EFI. Как вариант для восстановления подойдет также чистая резервная копия с разделом EFI.

Предотвратить подобное заражение, по мнению Microsoft, помогут принцип наименьших привилегий и гигиена учетных данных. Для запуска UEFI-буткита требуется привилегированный доступ к машине (удаленный или физический), поэтому эксперты советуют меньше пользоваться аккаунтами уровня домена и ограничить привилегии локальных админов. Минимизировать риски можно также, построив систему многоуровневой защиты.

Убыток МойОфис вырос почти до 9 млрд рублей после пересдачи отчетности

У «МойОфис» дела идут не очень. Разработчик российского аналога Microsoft Office пересмотрел финансовую отчетность за 2025 год и почти вдвое увеличил размер чистого убытка — с 4 до 8,82 млрд рублей. Исправленная отчётность была опубликована 18 июня.

При этом выручка осталась прежней — 1,02 млрд рублей, что почти на 50% меньше, чем годом ранее.

Причина резкого ухудшения финансового результата — переоценка нематериальных активов. Их стоимость уменьшилась почти на 4,9 млрд рублей, а эта сумма перекочевала в статью «Прочие расходы», из-за чего итоговый убыток фактически удвоился.

В компании уверяют, что это лишь техническая корректировка бухгалтерского учета и она никак не повлияет на дальнейшую работу. По словам представителя НОТ, разработка продуктов продолжается: недавно вышли обновления «Документы настольные» и «МойОфис для дома», а обязательства перед заказчиками выполняются в полном объеме.

Однако независимые юристы и эксперты считают масштаб корректировки весьма необычным. По их мнению, столь серьёзное снижение стоимости нематериальных активов может говорить о пересмотре оценки того, насколько эти разработки способны приносить доход в будущем.

История выглядит особенно показательно на фоне слов Евгения Касперского, который недавно признал, что «МойОфис» остается убыточным активом, а импортозамещение в сегменте офисного ПО не работает. После кратковременного успеха в 2022 году, когда компания вышла в прибыль на фоне ухода Microsoft, финансовые показатели снова начали ухудшаться.

Параллельно в компании идет масштабная реструктуризация. Согласно обновленной отчетности, прекращена разработка Mailion, «МойОфис Почта», Squadus и «Документы Онлайн». Основной фокус теперь сделан на текстовом редакторе, таблицах и презентациях.

По данным профсоюза, с конца марта численность сотрудников сократилась более чем в три раза — примерно с 1073 до 278 человек. В НОТ подтверждают завершение сокращений, но заявляют, что оставшейся команды будет достаточно для дальнейшей разработки ключевых продуктов.

Пока крупнейшими заказчиками «МойОфис» остаются «Росатом» и ВТБ, однако компании явно предстоит доказать рынку, что ставка только на офисный пакет позволит вернуть бизнес к окупаемости.

RSS: Новости на портале Anti-Malware.ru