Буткит () е високотехнологична и изключително опасна форма на злонамерен софтуер (малуер), която представлява еволюция на традиционния руткит. Основната разлика и предимство на буткита е способността му да инфектира главния зареждащ запис (Master Boot Record – MBR), зареждащия запис на дисковия том (Volume Boot Record – VBR) или съвременния системен фърмуер (UEFI). По този начин зловредният код се изпълнява още преди зареждането на самата операционна система (ОС).
Механизъм на действие Буткитовете са проектирани да поемат контрола над компютъра в най-ранния възможен етап от стартирането си. Процесът преминава през следните фази: Инфектиране: буткитът заменя оригиналния код в MBR/VBR или се вгражда в UEFI фърмуера. Ранно стартиране: при включване на компютъра хардуера предава управлението на инфектирания зареждащ сектор. Модификация на ядрото (Kernel): преди операционната система да зареди своите защитни механизми и драйвери, буткитът вече е активен в оперативната памет. Той модифицира ядрото на ОС (напр. на Windows) в движение, за да скрие своето присъствие. Защитен режим: Зловредният софтуер остава резидентен в паметта в защитен режим, като контролира комуникацията между хардуера и операционната система.
Проблеми при откриване и отстраняване Ключов елемент на буткита е неговата почти пълна невидимост за стандартните инструменти за сигурност. Тъй като се зарежда преди антивирусния софтуер, буткитът може да манипулира отговорите на системните функции. Когато антивирусната програма поиска достъп до MBR, буткитът ѝ показва фалшиво, чисто копие на записа.
Основните предизвикателства при този малуер са: Извън файловата система: компонентите на буткита често се съхраняват в сектори от диска, които се намират извън пределите на стандартната файлова система (например в неизползвани или скрити сектори на твърдия диск). Риск от повреда: повечето конвенционални анти-малуер инструменти работят на ниво файлова система и не могат безопасно да почистят MBR. Опитът за директно изтриване или пренаписване на зареждащия сектор без специализиран инструмент може да повреди таблицата с дяловете и да направи компютъра напълно неспособен да стартира.
Еволюция С навлизането на съвременния интерфейс UEFI (който заменя стария BIOS), сигурността при стартиране е подобрена чрез технологията Secure Boot. Тя изисква дигитален подпис за всеки компонент, който се зарежда при старт.
Въпреки това, създателите на малуер развиват т.нар. „UEFI буткитове“ (напр. LoJax или MosaicRegressor). Тези заплахи директно инфектират фърмуера на дънната платка (съхраняван в SPI флаш паметта). UEFI буткитовете са още по-опасни, тъй като те остават в системата дори ако твърдият диск бъде напълно форматиран или заменен с нов.
Защита и противодействие За борба с буткитовете се използват специализирани методи: Хардуерни технологии за сигурност: активиране на Secure Boot опцията и използването на Trusted Platform Module (TPM) чипове, които проверяват целостта на системата при стартиране. Специализирани скенери (Anti-Rootkit): използване на инструменти, които сканират системата в офлайн режим (преди зареждане на ОС) чрез стартиране от сигурен външен носител (USB/CD) – т.нар. Rescue Disks. Хардуерна защита на фърмуера: активиране на функции в BIOS/UEFI, които предотвратяват неоторизиран запис върху SPI флаш паметта на дънната платка.
Вижте също Руткит Злонамерен софтуер Компютърен вирус UEFI
Източници
Категория:Злонамерени програми Категория:Киберсигурност