BlackLotus UEFI bootkit 相关样本

显示全部楼层 · 发表于 2023-3-2 13:56:42

https://www.welivesecurity.com/2 ... kit-myth-confirmed/

https://jirehlov.lanzouo.com/i2mYF0p0pybg

显示全部楼层 · 发表于 2023-3-2 14:06:25

本帖最后由 tdsskiller 于 2023-3-2 18:25 编辑

看到执行链居然很熟悉，开源的白利用链的过secureboot方法
【全系统UEFIBootkit深夜福利二连发】SecureBoot被BCD的truncatememory按在地上摩擦
https://bbs.kafan.cn/thread-2241627-1-1.html

baton drop (CVE-2022-21894): Secure Boot Security Feature Bypass Vulnerability

也太过份了，拿个开源项目改改就转手卖美元

@wowocock

显示全部楼层 · 发表于 2023-3-2 14:09:32

提示: 该帖被管理员或版主屏蔽

显示全部楼层 · 发表于 2023-3-2 14:12:27

闹顿杀了6个，赦了1个。。

显示全部楼层 · 发表于 2023-3-2 14:16:28

显示全部楼层 · 发表于 2023-3-2 14:24:09

本帖最后由 dght432 于 2023-3-2 15:40 编辑

显示全部楼层 · 发表于 2023-3-2 14:46:28

MD kill all

显示全部楼层 · 发表于 2023-3-2 15:29:25

火绒：0

显示全部楼层 · 发表于 2023-3-2 15:58:02

EMSI 4x

显示全部楼层 · 发表于 2023-3-2 16:47:19

本帖最后由 tdsskiller 于 2023-3-2 16:51 编辑

初步测试：需要bypass检测虚拟机，需要用大黄狗(hzqst)的vmloader反检测，可以成功运行文件1f43703d2171ab90e98357b6dfdf824417baa191a59419c27fce42cbafdb7ecf
但是虚拟机仍然过不了secureboot，提示：

在系统里面查找不到对应的0day文件（

https://msdl.microsoft.com/download/symbols/bootmG{过}F{滤}W.efi/7144BCD31C0000/bootmG{过}F{滤}W.efi
https://msdl.microsoft.com/download/symbols/bootmgr.efi/98B063A61BC000/bootmgr.efi
https://msdl.microsoft.com/download/symbols/hvloader.efi/559F396411D000/hvloader.efi

）

不知道是否是虚拟机自动更新打了对应的补丁，还是虚拟机UEFI启动的问题@wowocock

tdsskiller 头像被屏蔽	发表于 2023-3-2 14:09:32 \| 显示全部楼层提示: 该帖被管理员或版主屏蔽
tdsskiller 头像被屏蔽
	回复举报

[病毒样本] BlackLotus UEFI bootkit 相关样本

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

评分

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源