Malware Bootkitty

Los investigadores de ciberseguridad han presentado lo que se describe como el primer bootkit de Interfaz de Firmware Extensible Unificada (UEFI) diseñado específicamente para sistemas Linux. Este nuevo desarrollo, llamado Bootkitty, representa un cambio significativo en el panorama de las amenazas cibernéticas, que tradicionalmente ha visto a los bootkits UEFI asociados predominantemente con plataformas Windows.

Bootkitty: ¿Prueba de concepto o amenaza emergente?

Se cree que Bootkitty, descubierto el 5 de noviembre de 2024, es una prueba de concepto (PoC) en lugar de una amenaza implementada activamente. También conocido como IranuKit, actualmente no hay evidencia que sugiera su uso en ataques del mundo real. Creado por un desarrollador que opera bajo el alias BlackCat, el objetivo principal del bootkit es deshabilitar la verificación de la firma del kernel de Linux mientras se precargan dos binarios ELF aún no identificados durante el proceso de inicialización de Linux. Este proceso, que sirve como punto de partida del kernel durante el inicio del sistema, es crucial para la seguridad operativa de Linux.

Explotación de UEFI para Linux: una nueva dimensión de riesgo

La aparición de Bootkitty desafía la percepción que se tenía desde hace tiempo de que los bootkits UEFI son exclusivos de los sistemas Windows. Con este desarrollo, los usuarios de Linux se enfrentan ahora a una nueva vía potencial de explotación. El bootkit aprovecha un certificado autofirmado para ejecutar su carga útil, lo que limita su funcionalidad en sistemas con arranque seguro UEFI habilitado. Sin embargo, podría seguir funcionando si los atacantes logran instalar un certificado fraudulento bajo su control.

Además de eludir el arranque seguro, Bootkitty manipula la memoria del núcleo de Linux durante el proceso de arranque, lo que socava las comprobaciones de integridad. Antes de que se ejecute GNU GRand Unified Bootloader (GRUB), el bootkit intercepta y repara funciones críticas para la verificación de integridad. Esta estrategia de ataque de múltiples capas demuestra un conocimiento sofisticado de los componentes internos del sistema Linux y de la UEFI.

Apuntando a Secure Boot y GRUB: Técnicas avanzadas en juego

Cuando se habilita el arranque seguro, Bootkitty modifica los protocolos de autenticación UEFI para eludir las comprobaciones de integridad. También aplica parches a las funciones legítimas del cargador de arranque GRUB para evitar su detección, lo que garantiza aún más su capacidad para ejecutar cargas útiles no seguras. Estos parches se extienden al proceso de descompresión del núcleo de Linux, lo que permite que Bootkit cargue módulos no autorizados durante el inicio.

Para facilitar su ataque, Bootkitty modifica la variable de entorno LD_PRELOAD. Este ajuste obliga al proceso de inicialización de Linux a cargar dos objetos compartidos ELF desconocidos, identificados como '/opt/injector.so' y '/init', ampliando así el alcance del bootkit en las operaciones del sistema.

BCDropper y BCObserver: ¿Un marco más amplio?

La investigación sobre Bootkitty ha descubierto un módulo de kernel no firmado potencialmente relacionado llamado BCDropper. Este módulo es capaz de implementar un binario ELF llamado BCObserver, que, a su vez, carga otro módulo de kernel no identificado al iniciar el sistema. Este módulo adicional, que opera bajo el mismo seudónimo BlackCat, presenta funcionalidades típicas de los rootkits, como ocultar archivos, procesos y puertos de red. A pesar de estas capacidades avanzadas, los investigadores no han encontrado evidencia que vincule esta actividad con el grupo de ransomware ALPHV/BlackCat.

Implicaciones para la seguridad UEFI y los sistemas Linux

Aunque todavía se lo considera una prueba de concepto, Bootkitty marca un nuevo capítulo en la evolución de los bootkits UEFI, extendiendo su alcance más allá de los entornos Windows. Este desarrollo subraya la importancia de prepararse para posibles amenazas futuras en los sistemas basados en Linux, que durante mucho tiempo se han considerado menos vulnerables a este tipo de ataques.

El auge de Bootkitty también pone de relieve la necesidad de adoptar medidas de seguridad del sistema, como mantener actualizado el firmware, utilizar certificados de confianza y habilitar el arranque seguro siempre que sea posible. Al demostrar la viabilidad de los bootkits UEFI en Linux, Bootkitty sirve como una llamada de atención tanto para los profesionales de la ciberseguridad como para los usuarios de Linux para que fortalezcan sus defensas.