Для внедрения Bootkitty в Linux уже создан UEFI-эксплойт

Для внедрения Bootkitty в Linux уже создан UEFI-эксплойт

Для внедрения Bootkitty в Linux уже создан UEFI-эксплойт

В Сети обнаружен сервер с образцом Bootkitty и эксплойтом для беспрепятственного развертывания этого Linux-буткита. Источник вредоносных файлов уже заблокирован, однако эксперты Binarly успели скачать содержимое для анализа.

Как оказалось, найденный эксплойт нацелен на одну из уязвимостей LogoFAIL, позволяющих внедрить в систему буткит в обход стандартной защиты — аппаратного механизма безопасной загрузки, предотвращающего запуск файлов без доверенной цифровой подписи.

Подвергнутый анализу файл logofail.bmp весом 16 Мбайт содержит шелл-код, который через эксплойт устанавливает в систему самозаверенный сертификат, используемый для подписи Bootkitty.

 

Взятая на вооружение уязвимость была определена как CVE-2023-40238 в модуле BmpDecoderDxe прошивок UEFI, поставляемых Insyde Software. Проблема актуальна для некоторых устройств Acer, HP, Fujitsu, Lenovo, работающих под управлением Linux.

Патч доступен с конца прошлого года и на поверку оказался крепким, однако у исследователей нет уверенности, что все пользователи обновили прошивки.

В результате эксплойта изменяется также логотип, отображаемый на экране в ходе загрузки системы. На устройствах Lenovo он становится таким: 

«Все это, на мой взгляд, выглядит как демоверсия для показа потенциальным покупателям, — отметил основатель и CEO Binarly Алекс Матросов, комментируя находку для Ars Technica. — Свидетельств иного назначения, кроме образца, найденного ESET на VirusTotal, нет, однако эксплойт LogoFAIL выглядит добротно».

Мошенники предлагают таксистам прогу поиска мест с высоким спросом

Питерская киберполиция предупреждает таксистов и курьеров о новой уловке мошенников. Злоумышленники предлагают опробовать платное приложение, якобы отслеживающее спрос в разных районах, а затем крадут деньги со счета и оформляют займы.

Фейковый «радар коэффициентов» продвигают в мессенджерах. Заинтересовавшимся собеседникам предоставляют ссылку на левый сайт; установка мобильного приложения осуществляется вручную.

Активация проги требует ввода данных банковской карты — для оплаты «пробной подписки». Заполучив реквизиты, мошенники снимают деньги с карты жертвы и от ее имени оформляют микрозаймы и кредиты.

Во избежание неприятностей полиция советует придерживаться следующих правил:

  • устанавливать приложения не по ссылкам в чатах, а лишь из официальных источников (App Store, Google Play);
  • не вводить реквизиты карт в сомнительных приложениях, проводить платежи только через мобильный банк либо с помощью Apple Pay / Google Pay;
  • обращать внимание на запрашиваемые разрешения, они не должны выходить за рамки заявленной функциональности;
  • использовать антивирус, регулярно обновлять ОС и установленные программы;
  • новинки нужно обязательно обсуждать в сообществе, проверять отзывы, сайт и репутацию разработчика.

При обнаружении несанкционированных списаний со счета следует сразу уведомить об этом банк и заблокировать карту. Свидетельства мошенничества (скриншоты, ссылки, переписку) рекомендуется сохранить; также стоит предупредить коллег об угрозе.

RSS: Новости на портале Anti-Malware.ru