Eerste Linux-bootkit genaamd Bootkitty ontdekt door ESET
Bootkits zijn erop gericht het bootproces van een computer te infecteren. Tot nu toe waren de ontdekte bootkits uitsluitend gericht op Windows-pc’s. Linux-gebruikers waanden zich veilig voor de moeilijk te verwijderen infecties van het UEFI-bootsysteem. Onderzoekers van beveiligingsbedrijf ESET melden echter dat Bootkitty ook het bootproces van Linux-pc’s kan besmetten.
Significante revolutie
De ontdekking van Bootkitty betekent volgens de onderzoekers een “significante revolutie” in de gevaren van UEFI-bootkit-aanvallen. Hoewel Bootkitty op zichzelf nog geen groot risico vormt, benadrukken de onderzoekers dat het hier om een ‘proof-of-concept’ gaat, die slechts werkt op enkele versies van Ubuntu. Hierdoor is de kans klein dat aanvallers deze bootkit op grote schaal inzetten tegen Linux-systemen.
Bovendien functioneert Bootkitty alleen op systemen waarop Secure Boot is uitgeschakeld. Tenzij je deze beveiligingsmaatregel handmatig hebt uitgeschakeld in het BIOS, is je computer al beschermd tegen deze UEFI-bootkit. Daarnaast moet je een specifieke GRUB- en kernelversie gebruiken om een potentieel doelwit te zijn. Kortom, de reikwijdte van Bootkitty is in zijn huidige vorm vrij beperkt.
De onderzoekers vermoeden dat de ontwikkeling van Bootkitty pas recent is gestart. Dit wordt ondersteund door het feit dat ESET geen geïnfecteerde systemen heeft kunnen achterhalen. Uiteindelijk is het doel van Bootkitty om vóór GRUB te worden opgestart, zodat de malware de functies van GRUB kan overnemen en het systeem kan manipuleren.
Wat is de impact van een bootkit?
Bootkit-malware wordt doorgaans ingezet om beveiligingssystemen te omzeilen. Omdat een bootkit wordt geactiveerd voordat het besturingssysteem wordt geladen, kan het besturingssysteem en antivirussoftware zich hier niet tegen verdedigen. Via een bootkit kunnen aanvallers systeemcomponenten aanpassen en schadelijke drivers of applicaties installeren, buiten het zicht van antivirussoftware. Een bootkit valt te vergelijken met een rootkit, maar dan voor tijdens het bootproces.
Met deze aanpak proberen aanvallers stilletjes toegang te krijgen tot gevoelige gegevens. In sommige gevallen eisen zij losgeld (ransom) om de bootkit te verwijderen. Tot nu toe waren dergelijke aanvallen vooral gericht op Windows-pc’s. De opkomst van Bootkitty, de eerste Linux-bootkit, toont echter aan dat deze trend langzaam verandert.
