BlackIris: проверка обещаний исходным кодом

Что именно исследовано

Объект этого досье — локальная директория BlackIris-main с кодом, подписанным AitorFirmware в LICENSE. Название само по себе не устанавливает связь с известной кампанией, коммерческим продуктом или другим bootkit. В частности, BlackIris нельзя отождествлять с BlackLotus: последний описан в отдельном исследовании ESET с собственной цепочкой и CVE. S28

В этом снимке главное расхождение проходит между широтой README и полнотой достижимой реализации. Вход ведёт в InitializeBootkit; эта функция сохраняет таблицы UEFI и вызывает установку перехвата ExitBootServices. Она не связывает все каталоги в единую доказанную цепочку. Некоторые подсистемы содержат явные заглушки. E19 E25

Статический разбор позволяет уверенно обсуждать эти расхождения. Он не заменяет сборку, а отсутствие динамического испытания не следует скрывать категорическим «никогда не работает». Точнее говорить: конкретная заявленная возможность не подтверждается просмотренным путём и требует недостающих свидетельств.

MmMapIoSpace: знакомое имя, другая реализация

В Boot/MemTools.c определена локальная функция MmMapIoSpace. Она вызывает UEFI AllocatePages с AllocateAddress и возвращает адрес выделенной области. Это не одноимённая Windows DDI. Выделить страницы по желаемому адресу и отобразить произвольный уже существующий физический диапазон — разные операции с разными предусловиями. E22

Параметр Write также не создаёт убедительной модели доступа: ветвь для его отрицательного значения пуста. Из имени функции нельзя вывести корректные атрибуты отображения, возможность доступа к защищённой памяти или жизнеспособность адреса после смены таблиц страниц. В качественном анализе символ всегда нужно доводить до его определения, а не до страницы документации похожего API.

Копирование функции не является загрузчиком

Перехват ExitBootServices копирует фиксированный объём байтов от KernelMain в выбранную область и вызывает её как функцию без параметров. Но KernelMain объявлена с аргументом EFI_SYSTEM_TABLE*. Уже на уровне сигнатур видна несогласованность. Дополнительно фиксированный размер копирования не доказывает перенос всех зависимых данных, относительных ссылок и вызываемых функций. E20 E21

Это архитектурная проблема доказательства: чтобы утверждать перенос исполняемой программы, нужно показать её формат, релокации, зависимости, ABI и время жизни. Название KernelRegion не переводит процессор в Windows kernel context. В момент вызова перед оригинальным ExitBootServices всё ещё действует загрузочный контекст UEFI.

Официальный контракт UEFI различает службы до и после завершения загрузочной фазы. Он не обещает, что произвольная функция, скопированная в runtime data, сможет продолжать пользоваться console input и boot services под запущенной ОС. S24

RemoteControl и Keylogger: какой канал существует на самом деле

InitRemoteControl выводит сообщение и возвращает TRUE. RemotePoll читает строку из локального буфера по условному физическому адресу, сравнивает её с предыдущей и передаёт обработчику. В этом участке нет сетевого соединения, аутентификации удалённой стороны или приёма TCP-сообщения. Наличие другого серверного каталога в проекте не доказывает транспорт между ним и этой функцией. E23

Клавиатурная часть использует EFI_SIMPLE_TEXT_INPUT_PROTOCOL и ReadKeyStroke. Подтверждённая семантика — чтение консольного ввода UEFI, пока соответствующий протокол доступен. Это не фильтр Windows keyboard stack и не основание заявлять сбор ввода из любых приложений после загрузки. E24

Red: обязательный вопрос к демонстрации — в каком контексте получен вывод. Строка из EFI-консоли не подтверждает работу на рабочем столе Windows, а локальный shared buffer не подтверждает удалённое управление.

Blue: опирайтесь на реально присутствующий артефакт и путь исполнения. Не стоит строить сетевой детектор несуществующего в просмотренной ветви протокола лишь потому, что README использует слово remote.

SMM: название обработчика не пересекает аппаратную границу

InstallSMIHandler в Shared/SyscallBridge.c прямо сообщает placeholder и возвращает TRUE. Отдельный PatchSMI.c сканирует память в поисках условной сигнатуры, а затем пытается изменить найденный участок. Этот код не показывает преодоление блокировок SMRAM и не доказывает, что найденная последовательность является настоящим SMI handler. E25 E27

Для вывода о SMM-импланте потребовались бы свидетельства выполнения в SMM, идентификации защищённого региона и условий доступа к нему. Здесь их заменяет предположение о доступности адресов. Методологически это тот же разрыв, что и с MmMapIoSpace: лексика проекта выглядит как низкоуровневая архитектура, но названия не дают привилегий.

В том же SyscallBridge виден небольшой локальный массив патча, после которого записывается указатель большего размера. Это конкретный повод сомневаться в корректности функции. Однако разбор не превращает эту находку в инструкцию по исправлению цепочки: для классификации достаточно установить, что успешный лог не является надёжным свидетельством выполненной операции. E25

Криптографическое обещание тоже проверяется в определении

В CryptoDefs.h комментарий прямо говорит, что SimpleAES не реализует полноценный AES. Тело выполняет собственные преобразования с таблицей подстановок и битовыми операциями. Поэтому называть этот компонент реализацией AES-256 на основании имён AESCore и AES_CONTEXT некорректно. E26

Здесь важен более общий вывод для ревью: наличие знакомого примитива в названии не подтверждает ни стандарт, ни режим, ни аутентификацию данных, ни обратимость преобразования. Для криптографического утверждения нужны спецификация, тестовые векторы и проверенная реализация. В этом досье такие проверки не выполнялись; утверждение ограничено несоответствием заявленного стандарта видимому коду и собственному комментарию автора.

Таблица заявлений и свидетельств

Чем полезен такой образец

BlackIris полезен как проверка дисциплины анализа. Его нельзя оценивать только по списку функций, но и просто отбросить как «несерьёзный» недостаточно: конкретные опасные операции с памятью всё равно есть. Нужно разделять намерение автора, доступность функции, корректность её контракта и доказанный эффект на реальной платформе.

Именно эта дисциплина предотвращает две ошибки одновременно: преувеличение угрозы неработающей цепочки и недооценку отдельного действительно опасного компонента. Вывод относится к зафиксированным файлам и их хешам, а не к любой будущей версии проекта с тем же названием.

  16      Status = InstallExitBootServicesHook();
  17      if (EFI_ERROR(Status)) {
  18          return Status;
  19      }

  19  BOOLEAN InstallSMIHandler(VOID* HandlerFunc) {
  20      LogInfo(L"SMI Handler installed (placeholder).");
  21      return TRUE;
  22  }

  11  BOOLEAN InitRemoteControl(void) {
  12      LogInfo(L"Started successfully\n");
  13      return TRUE;
  14  }

  42  
  43  //
  44  // Inline functions for encrypting and decrypting fcking blocks
  45  // It does not implement full real AES by size, but simulates a complex XOR + SBOX.