VirusTotal で発見: 世界初の Linux 用 UEFI ブートキット

更新: 11 月 28 日、カリフォルニア時間午後 3 時 20 分。 この投稿の見出しが変更されました。このアップデートでは、次の詳細が追加されています。この脅威は UEFI ファームウェア インプラントやルートキットではなく、ブートローダーを攻撃する UEFI ブートキットです。 ESET によって分析された Bootkitty サンプルは、強制終了できないものではありませんでした。以下は、不正確な詳細を削除した記事です。

セキュリティ企業ESETの研究者らは水曜日、Linux用の初のUEFIブートキットを発見したと発表した。この発見は、近年 Windows システムをターゲットにしていた UEFI ブートキットが近いうちに Linux もターゲットにする可能性があることを予感させるかもしれません。

Bootkitty (未知の攻撃者が Linux ブートキットに付けた名前) は、今月初めに VirusTotal にアップロードされました。多くの Windows UEFI ブートキットと比較すると、Bootkitty はまだ比較的初歩的であり、主要な内部機能に不完全さがあり、Ubuntu 以外のすべての Linux ディストリビューションに感染する手段がありません。このため、同社の研究者らは、新しいブートキットが概念実証リリースである可能性が高いのではないかと疑っている。現在までに、ESET は実際に実際に感染したという証拠を発見していません。

準備をしてください

それでも、Bootkitty は、以前は Windows マシンのみをターゲットとして発見されていたものと同じ種類のブートキットの Linux バージョンを、脅威アクターが積極的に開発している可能性があることを示唆しています。

「概念実証であるかどうかにかかわらず、Bootkitty は UEFI 脅威の状況における興味深い前進を示し、最新の UEFI ブートキットが Windows 専用の脅威であるという考えを打ち破りました」と ESET の研究者は書いています。 「VirusTotal の現在のバージョンは、現時点では大部分の Linux システムにとって実際の脅威ではありませんが、将来の潜在的な脅威に備える必要性を強調しています。」

ESETが発見したBootkittyサンプルは、起動時にロードされる各ソフトウェアがコンピュータの製造元によって信頼されることを保証する暗号署名を使用する、UEFIセキュアブートとして知られる防御を無効にすることができません。セキュア ブートは、攻撃者が意図したブートアップ ファームウェアを悪意のあるファームウェアに置き換えることを防ぐ信頼のチェーンを作成するように設計されています。セキュア ブートが有効になっている場合、そのチェーン内の単一のファームウェア リンクが認識されない場合、デバイスは起動しません。