生活广角

Ring 0级固件威胁：新型UEFI rootkit恶意软件BlackLotus曝光_我的网站

A |     最近引发广泛讨论的“BlackLotus”，属于一款相当全能的固件级 rootkit 恶意软件。

B |      8 月 26 日消息，据央视新闻今天（26 日）下午报道，作为上海首条跨越长江的轨道交通，22 号线（市域崇明线）正式进入车辆交付、全线同步调试验证的关键阶段。

C | 同时，全线接触网一次性送电成功、热滑试验顺利收官，线路已具备列车上线调试条件，为全线联调联试迈出关键一步。特点是能够躲过各种删除操作，以及绕过先进的 Windows 防护措施。22 号线（市域崇明线）共采购 40 列 3 编组全自动列车，目前已交付 14 列，其中 10 列车在完成车辆调试后已经交付信号，通号静态调试已全部完成，其中 6 列车正开展 ATO（列车自动运行）动态测试，同时，信号全线 ATO 也在同步动车测试中。

D | 此前这类高级攻击能力，仅被拥有深厚背景的机构所拥有，比如情报威胁组织。据介绍，轨道交通 22 号线（市域崇明线）列车采用全 3 节动车布局，搭载行业最高等级 GoA4 全自动无人驾驶系统，最高运行时速 120 公里。

E | 车辆采用软硬件双重冗余设计，出现小故障可无感持续运行；客室布局重新优化，提升乘车舒适度；配套车地智能联动设备，能快速定位、排查车辆故障，大幅提升检修效率。然而据报道，一款更新、更强大的 UEFT rootkit，正被人挂到暗网论坛上叫卖。

F | 据了解，该线路也是国内穿越长江距离最长的轨道交通线路。“防护环”示意（图自：Wikipedia / Hertzsprung）卖家宣称 BlackLotus 是一款固件级 rootkit 恶意软件，能够绕过 Windows 防护措施、并在 x86 架构的最底层运行恶意代码。上海轨道交通 22 号线（崇明线）作为快速联系崇明区与上海中心城区的轨道交通线路，途经浦东新区、长兴岛和崇明岛，南起浦东金桥地区，全长 42.232 公里，全线共设 8 座车站 6 个工作井 2 座停车场，8 座车站分别为：金吉路站（换乘 9 号线）、申江路站（换乘 12 号线）、高宝路站、凌空北路站、长兴岛站、陈家镇站、东滩站、裕安站，全部为地下车站。

G | 相关阅读：。

H | 率先曝光此事的安全研究人员指出，单个 rootkit 的许可证费用高达 5000 美元，而后续代码重建则只需 200 美元。不过考虑到卖家罗列出来的功能，即使需要耗费重资，世界各地的网络犯罪分子和黑帽黑客也会趋之若鹜。Scott Scheferman 总结道：BlackLotus 采用了汇编与 C 语言编写，体量仅 80KB（约 81920 字节）。通过在内核级别（ring 0）提供‘代理防护’（agent protection），该 rootkit 能够在 UEFI 固件中长期驻留。

I | 此外 BlackLotus 具有反虚拟机、反调试和代码混淆功能，以阻碍研究人员对其展开分析尝试，且附带功能齐备的安装指南 / 常见问题解答。黑市叫卖帖与同类 rootkit 一样，BlackLotus 能够在 Windows 启动前的第一阶段被加载，因而能够绕过 Windows / x86 平台上的诸多安全防护措施。

J | 除了无视 Secure Boot、UAC、BitLocker、HVCI 和 Windows Defender，该恶意软件还提供了加载未签名驱动程序的能力。其它高级功能包括功能齐备的文件传输模式、以及易攻破的签名引导加载程序 —— 除非影响当今仍在使用的数百个引导加载程序，否则很难将它斩草除根。Scott Scheferman 还强调了 BlackLotus 可能对基于固件的现代安全防护机制构成威胁。

K | 而且新 UEFI rootkit 在易用性、扩展性、可访问性、持久性、规避和破坏潜力方面，都实现了相当大的跨越。此前人们一度认为这类威胁相当罕见，但过去几天不断被打脸的攻击报告，已经指向了截然不同的未来趋势。

L | 最后，安全社区将对 BlackLotus 恶意软件的实际样本展开更加细致、深入的分析，以确定传闻的真实性、还是说它只是某人精心编造的一个骗局。

Current article:http://lindunfokangliucishirun.shop/hhv/pg4.html

Published on:19:41:07