BlackLotus

BlackLotus 是一款专为 Windows 设计的创新 UEFI 开机工具包,其中集成了内置的安全启动绕过和 Ring0/Kernel 保护,可防止任何删除尝试。该软件的作用是作为 HTTP 加载器。由于其强大的持久性,无需频繁更新代理程序中的新加密方法。一旦部署,传统的防病毒软件将无法扫描和消除该软件。该软件包括两个主要组件:安装在目标设备上的代理程序和管理者使用的 Web 界面。在本文中,一个机器人指的是安装了代理程序的设备。

FYI：此版本的 BlackLotus（v2）已删除传递棒，并用 bootlicker 替换了原始版本的 SHIM 加载程序。UEFI 加载、感染和后续持续行为均相同。

特性

• HVCI 绕过
• UAC 绕过
• 安全引导绕过
• BitLocker 引导序列绕过
• Windows Defender 绕过（在内存中修补 Windows Defender 驱动程序，并防止 Windows Defender 用户模式引擎扫描/上传文件）
• 动态哈希 API 调用（地狱之门）
• x86<=>x64 进程注入
• API 钩子引擎
• 防钩子引擎（用于禁用、绕过和控制 EDR）
• 模块化插件系统

安装 EDK2 后,您就可以编译 EFI 驱动程序了。编辑 config.c 文件,添加您的 C2s 主机名或 IP 地址。之后,编译应该很容易,只需保留 Visual Studio 解决方案中的默认设置即可。