首个针对Linux系统的无法清除的UEFI恶意软件问世 安全公司严阵以待
摘要：
正常情况下 Windows PC 上的安全软件可以在检测到恶意软件后执行查杀，为了避免被查杀部分恶意软件针对 UEFI 展开攻击，这样即便在重启系统后恶意软件依然可以持久化运行。不过大多数针对 UEFI 的恶意软件都是针对 Windows PC 的，至少在此前还没有看到针对 Linux 系统的 UEFI 恶意软件，但这种情况现在发生了变化。
安全软件开发商 ESET 在检查 2024 年 11 月上传到 VirusTotal 扫描网站的可疑文件 bootkit.efi 时发现了 BootKitty，这个 rootkit 仅针对 Linux UEFI。
经过分析 ESET 确认这是 LinuxUEFI 启动工具包首次绕过内核签名验证并在系统启动过程中加载恶意组件的案例，不过开发 BootKitty 的黑客目前也仅在测试。
实际测试安全公司发现 BootKitty 只能在某些特定版本的 Ubuntu 和配置上使用，因此这并不能对大多数 Linux 系统造成威胁，但后续黑客肯定也会继续进行完善。
当然 BootKitty 目前使用的是自签名，因此如果已经启用了安全启动功能则自签名无法通过验证因此 BootKitty 也无法运行，或许还因为测试阶段开发不完善，ESET 在测试过程中发现这个 rootkit 经常导致 Linux 系统崩溃。
尽管就目前来说 BootKitty 不会在现实世界中产生影响，但这也说明已经有黑客瞄准 Linux 系统，对于安全业界来说这需要关注的情况，随着时间的推移这种 rootkit 工具可能就会逐渐成熟，对 Linux 展开广泛攻击。
