добрый вечер всем (наконец то не ночь, huh)
тестирую свой эксплоит для UEFI и GRUB, который в теории может отрубать SecureBoot на версиях GRUB 2.04
надеюсь, что быстро докручу до RCE (сейчас по крайней мере удалось вызвать краш)
в случае успеха, выложу видос, как это все работает
тестирую свой эксплоит для UEFI и GRUB, который в теории может отрубать SecureBoot на версиях GRUB 2.04
надеюсь, что быстро докручу до RCE (сейчас по крайней мере удалось вызвать краш)
в случае успеха, выложу видос, как это все работает
❤4
2008_09_22_SMM_Rootkits_A_New_Breed_of_OS_Independent_Malware.pdf
334.6 KB
всем привет, крч пока не удалось докрутить
откатился назад, изучаю базу по SMM Callout руткитам, а также читаю кучу литературы по буткитам и UEFI
также на данный момент изучаю статью в Black Mass III про EBC frnknstn
в этой статье автор рассказывает про EBC UEFI вирусы (также он утверждает, что это первый в истории подобный вирус)
эта малварь - самореплицируемое приложение UEFI, написанное на байт-коде EFI - EBC
EBC - промежуточный язык, работающий в вм байт-кода EFI (EBCVM)
и что самое интересное, автор отмечает, что официальной поддержки EBC нет на данный момент
однако, EBC остается поддерживаемой функцией прошивки UEFI
грубо говоря, двоичный файл EBCVM - драйвер DXE
в общем, я постараюсь разобраться сначала в EBC, потом переходить уже к следующим этапам
P.S. я словил лютую дизмораль, поскольку у меня не получилось написать PoC за всю неделю, хотя я перелопатил кучу литературы
но я думаю попозже я вернусь к этому
также прикрепляю статью про SMM руткиты, чтобы не забыть ее прочитать и изучить
а Black Mass III я репостил с их официального канала
постов в ближайшее время не ждите, я ушел в изучение UEFI, DXE и SMM
откатился назад, изучаю базу по SMM Callout руткитам, а также читаю кучу литературы по буткитам и UEFI
также на данный момент изучаю статью в Black Mass III про EBC frnknstn
в этой статье автор рассказывает про EBC UEFI вирусы (также он утверждает, что это первый в истории подобный вирус)
эта малварь - самореплицируемое приложение UEFI, написанное на байт-коде EFI - EBC
EBC - промежуточный язык, работающий в вм байт-кода EFI (EBCVM)
и что самое интересное, автор отмечает, что официальной поддержки EBC нет на данный момент
однако, EBC остается поддерживаемой функцией прошивки UEFI
грубо говоря, двоичный файл EBCVM - драйвер DXE
в общем, я постараюсь разобраться сначала в EBC, потом переходить уже к следующим этапам
P.S. я словил лютую дизмораль, поскольку у меня не получилось написать PoC за всю неделю, хотя я перелопатил кучу литературы
но я думаю попозже я вернусь к этому
также прикрепляю статью про SMM руткиты, чтобы не забыть ее прочитать и изучить
а Black Mass III я репостил с их официального канала
постов в ближайшее время не ждите, я ушел в изучение UEFI, DXE и SMM
🤡1
encrypted.
привет, подписечники мои :) я не пропал, если что с релизом придется подождать, так как получить прошивку только через bus pirate не удалось но я не унываю, через неделю куплю специальный вид SOIC-8 клипс, которые можно подключать к микрухе попробую связку…
всем привет, моя депрессия в 0 лет закончилась и я теперь снова могу радовать вас постами
как всегда спасает в первую очередь музыка и родные люди/друзья, а уже во вторую - какие то любимые дела
в ближайшее время начну выкладывать серию ликбез постов по UEFI
как говорится, чтобы ещё лучше понять информацию попробуй объяснить её сам)
из новостей: перевёл книгу по недокументированным функциям/регистрам BIOS и перевёл больше половины книги по UEFI (завтра думаю закончу перевод)
также хочу вернуться к разработке релиза Reanimation, чтобы отвлечься, пока изучаю внутряк UEFI и курю огромные маны по теории; да и вдобавок я забыл про этот релиз, честно говоря
в оправдание скажу, что к сожалению, я не шива и не цезарь, чтобы успевать прям все
и у меня к вам просьба или даже можно сказать предложение: если у вас есть какие то свои статьи или ликбезы на тематику инфобеза или про vx и системное программирование, embedded, reverse, то готов запостить вашу статью (если вдруг никто не хочет постить ваше творение у себя)
только лучше чтобы статьи были хоть как-то похожи на тематику канала, но это не обязательное требование, я готов развиваться во всех направлениях инфобеза (vx, embedded reverse, RE, etc)
так сказать, и вам плюс (ваши статьи будет читать чуть больше людей) и мне плюс (прирост подписчиков на канале)
также хочу создать irc канал на случай резервного источника моих мыслей :)
только надо придумать дисклеймерную статью про OPSEC в irc каналах, но это так, мысли...
P. S. ту статью с Black Mass 3 я изучил, но пока траблы с драйвером EbcDxe.efi, который почему-то не поддерживается в текущей версии edk2 и ovmf;
с сборкой uefi дров для платы Intel galileo gen 2 немного другая проблема, заключается в том, что не могу собрать пакеты разрабоки Intel Quark для моей платы (вроде бы CodeRush предупреждал в статье, что нужно ставить все на вм Ubuntu 14.04, но я не послушал, потому что не охота возится со старым gcc и устаревшими пакетами, но я хз, может и придется)
сейчас решаю вот эти два вопроса, думаю мб придумать решение и объединить эти две статьи, так сказать впихнуть невпихуемое...
к слову, пакеты Intel Quark я нашёл порыскав по web archive, поскольку у сайта Intel нет больше старой страницы с пакетом BSP - это во-первых, а во-вторых - стоит геоблок по России (благо, есть впн)
как всегда спасает в первую очередь музыка и родные люди/друзья, а уже во вторую - какие то любимые дела
в ближайшее время начну выкладывать серию ликбез постов по UEFI
как говорится, чтобы ещё лучше понять информацию попробуй объяснить её сам)
из новостей: перевёл книгу по недокументированным функциям/регистрам BIOS и перевёл больше половины книги по UEFI (завтра думаю закончу перевод)
также хочу вернуться к разработке релиза Reanimation, чтобы отвлечься, пока изучаю внутряк UEFI и курю огромные маны по теории; да и вдобавок я забыл про этот релиз, честно говоря
в оправдание скажу, что к сожалению, я не шива и не цезарь, чтобы успевать прям все
и у меня к вам просьба или даже можно сказать предложение: если у вас есть какие то свои статьи или ликбезы на тематику инфобеза или про vx и системное программирование, embedded, reverse, то готов запостить вашу статью (если вдруг никто не хочет постить ваше творение у себя)
только лучше чтобы статьи были хоть как-то похожи на тематику канала, но это не обязательное требование, я готов развиваться во всех направлениях инфобеза (vx, embedded reverse, RE, etc)
так сказать, и вам плюс (ваши статьи будет читать чуть больше людей) и мне плюс (прирост подписчиков на канале)
также хочу создать irc канал на случай резервного источника моих мыслей :)
только надо придумать дисклеймерную статью про OPSEC в irc каналах, но это так, мысли...
P. S. ту статью с Black Mass 3 я изучил, но пока траблы с драйвером EbcDxe.efi, который почему-то не поддерживается в текущей версии edk2 и ovmf;
с сборкой uefi дров для платы Intel galileo gen 2 немного другая проблема, заключается в том, что не могу собрать пакеты разрабоки Intel Quark для моей платы (вроде бы CodeRush предупреждал в статье, что нужно ставить все на вм Ubuntu 14.04, но я не послушал, потому что не охота возится со старым gcc и устаревшими пакетами, но я хз, может и придется)
сейчас решаю вот эти два вопроса, думаю мб придумать решение и объединить эти две статьи, так сказать впихнуть невпихуемое...
к слову, пакеты Intel Quark я нашёл порыскав по web archive, поскольку у сайта Intel нет больше старой страницы с пакетом BSP - это во-первых, а во-вторых - стоит геоблок по России (благо, есть впн)
кстати, хочу сказать, что мне наконец-то удалось собрать файлы прошивки для платы (CapsuleApp.efi и grub.efi)
это на самом деле было не так-то и сложно, решилось все использованием docker
сейчас нахожусь на стадии сборки Yopta (шутка, Yocto😱 ) Linux для платы
это самый сложный и самый бесячий шаг, поскольку стандартный скрипт очень долго выполняется и зависает
скорее всего из-за того, что опять же геоблок, но основная страница Yocto Project спокойно открывается
я думаю решу этот вопрос, если не в ближайшее время, то в ближайшую неделю (osint через документацию ещё никто не отменял, хы)
далее надо будет применить патчи и собрать полный образ прошивки из всего что собрал (CapsuleApp.efi, grub.efi и образ Yocto Linux)
и самое главное, прошить через SPI файл прошивки в плату, либо есть вариант загрузить образ на карту памяти
только нужна 64 Гб в этом случае, а у меня только 8 Гб, так как максимальный размер всего образа - 35 Гб
а для SPI нужен программатор
я хз, может я найду решение (куда я денусь, мне ещё вас радовать постами...)
мне кстати кажется, что есть более новые версии плат (например, Edison, вроде так), поскольку эта версия платы и пакет BSP для неё - устарели (14-ый, 15-ый год)
так что надеюсь, что скоро разберусь со всем этим и смогу написать свой DXE-драйвер для обхода SecureBoot (вы не представляете, как я жду этого момента) и другие приложения для UEFI
все таки верным был комментарий одного чувака про то, что Intel умеют в железо, но не умеют в ПО
нужно реально пройти все круги ада, чтобы собрать все, и не просто собрать, а собрать правильно, чтобы все было заебись
мне кажется, что это самая сложная моя сборка софта из исходников
но это все лирика)
в общем, не буду торопиться и просто скажу, что вас ждёт кое-что интересное, но не буду рассказывать все
так как как показывает практика, если я что-то рассказываю о своих планах - планы терпят полный крах, либо выполняются со скрипом
#uefi #embedded
это на самом деле было не так-то и сложно, решилось все использованием docker
сейчас нахожусь на стадии сборки Yopta (шутка, Yocto
это самый сложный и самый бесячий шаг, поскольку стандартный скрипт очень долго выполняется и зависает
скорее всего из-за того, что опять же геоблок, но основная страница Yocto Project спокойно открывается
я думаю решу этот вопрос, если не в ближайшее время, то в ближайшую неделю (osint через документацию ещё никто не отменял, хы)
далее надо будет применить патчи и собрать полный образ прошивки из всего что собрал (CapsuleApp.efi, grub.efi и образ Yocto Linux)
и самое главное, прошить через SPI файл прошивки в плату, либо есть вариант загрузить образ на карту памяти
только нужна 64 Гб в этом случае, а у меня только 8 Гб, так как максимальный размер всего образа - 35 Гб
а для SPI нужен программатор
я хз, может я найду решение (куда я денусь, мне ещё вас радовать постами...)
мне кстати кажется, что есть более новые версии плат (например, Edison, вроде так), поскольку эта версия платы и пакет BSP для неё - устарели (14-ый, 15-ый год)
так что надеюсь, что скоро разберусь со всем этим и смогу написать свой DXE-драйвер для обхода SecureBoot (вы не представляете, как я жду этого момента) и другие приложения для UEFI
все таки верным был комментарий одного чувака про то, что Intel умеют в железо, но не умеют в ПО
нужно реально пройти все круги ада, чтобы собрать все, и не просто собрать, а собрать правильно, чтобы все было заебись
мне кажется, что это самая сложная моя сборка софта из исходников
но это все лирика)
в общем, не буду торопиться и просто скажу, что вас ждёт кое-что интересное, но не буду рассказывать все
так как как показывает практика, если я что-то рассказываю о своих планах - планы терпят полный крах, либо выполняются со скрипом
#uefi #embedded
Please open Telegram to view this post
VIEW IN TELEGRAM
привет, написал некое подобие smm руткита для чипсета процессора intel q35 (программы для него удобней всего тестировать и отлаживать в qemu)
базу брал с архива журнала phrack, доработал его и в общем-то все работает
ссылка на статью: https://web.archive.org/web/20250627024308/https://phrack.org/issues/65/7
сейчас на данный момент занимаюсь расширением кода для процессоров intel core i5 и intel core i7
плюс начал писать удаленное взаимодействие через ssh и обход SecureBoot, чтобы моя поделка могла называться буткитом (хотя уже по сути, потому как код триггерит SMI, заставляет тачку перезагрузиться и выполняется до загрузки ОС; осталось написать взаимодействие с кодом из первой части)
надеюсь, до НГ успею все сделать и релизнуть вторую часть White Matter, если не успею, то скорее всего релизну в январе
#white_matter #bootkits
базу брал с архива журнала phrack, доработал его и в общем-то все работает
ссылка на статью: https://web.archive.org/web/20250627024308/https://phrack.org/issues/65/7
сейчас на данный момент занимаюсь расширением кода для процессоров intel core i5 и intel core i7
плюс начал писать удаленное взаимодействие через ssh и обход SecureBoot, чтобы моя поделка могла называться буткитом (хотя уже по сути, потому как код триггерит SMI, заставляет тачку перезагрузиться и выполняется до загрузки ОС; осталось написать взаимодействие с кодом из первой части)
надеюсь, до НГ успею все сделать и релизнуть вторую часть White Matter, если не успею, то скорее всего релизну в январе
#white_matter #bootkits
на всякий случай, я напоминаю, что все что я делаю - это в рамках изучения современной малвари и для того, чтобы понять, как противодействовать этому всему
потому как в первую очередь я больше из синей команды и ресерчер, это все нужно для полного понимания того, как действуют киберпреступники
5-ая часть будет полностью охватывать защиту от этого всего
потому как в первую очередь я больше из синей команды и ресерчер, это все нужно для полного понимания того, как действуют киберпреступники
5-ая часть будет полностью охватывать защиту от этого всего
🔥5
годное чтиво на ночь про зарождение хакинга/фрикинга/кардинга на австралийской BBS, а также про компьютерный червь WANK (Worms Against Nuclear Killers), который атаковал периодически компьютерные системы НАСА
https://bugtraq.ru/library/books/underground/index.html
#books
https://bugtraq.ru/library/books/underground/index.html
#books
bugtraq.ru
BugTraq.Ru: underground
нихао всем.
на данный момент реализую следующие модули буткита:
1) установка smm keylogger (основной модуль реализован, дореализовать модуль сохранения нажатий клавиатуры в файл)
2) атака на NVRAM UEFI переменные (реализовано пока что перечисление переменных, что вы можете видеть на 3-ем скрине)
3) DMA-атака (реализована полностью, но еще буду тестить)
4) хуки syscalls с помощью smm (надо еще потестить и исправить ошибки)
5) установка smm rootkit (полностью готово)
6) удаление руткита (пока segfault, пробую фиксить)
7) полный отчет об уязвимостях системы на уровне ring -1 и ring -2 для последующего анализа и планирования скрытного закрепления в системе (полностью сделано)
нужно также написать обход SecureBoot (есть кое-какие идеи на этот счет) для манипуляции с NVRAM
следующие модули планирую разрабатывать после доработки перечисленных выше:
1) удаленное взаимодействие по ssh
2) evil maid rootkit, только через удаленное взаимодействие, написать на сишке на основе этого: https://github.com/umutcamliyurt/Tails_or_Jails
и модифицировать, чтобы не тащить кучу файлов, как в этом репо
тестирую на qemu, с указанием своего процессора (Intel Core i5, Kaby Lake)
тестовая система: Debian 13
#white_matter
на данный момент реализую следующие модули буткита:
1) установка smm keylogger (основной модуль реализован, дореализовать модуль сохранения нажатий клавиатуры в файл)
2) атака на NVRAM UEFI переменные (реализовано пока что перечисление переменных, что вы можете видеть на 3-ем скрине)
3) DMA-атака (реализована полностью, но еще буду тестить)
4) хуки syscalls с помощью smm (надо еще потестить и исправить ошибки)
5) установка smm rootkit (полностью готово)
6) удаление руткита (пока segfault, пробую фиксить)
7) полный отчет об уязвимостях системы на уровне ring -1 и ring -2 для последующего анализа и планирования скрытного закрепления в системе (полностью сделано)
нужно также написать обход SecureBoot (есть кое-какие идеи на этот счет) для манипуляции с NVRAM
следующие модули планирую разрабатывать после доработки перечисленных выше:
1) удаленное взаимодействие по ssh
2) evil maid rootkit, только через удаленное взаимодействие, написать на сишке на основе этого: https://github.com/umutcamliyurt/Tails_or_Jails
и модифицировать, чтобы не тащить кучу файлов, как в этом репо
тестирую на qemu, с указанием своего процессора (Intel Core i5, Kaby Lake)
тестовая система: Debian 13
#white_matter