点金网新型勒索软件HybridPetya可绕过UEFI安全启动植入EFI分区恶意程序

近期发现的一款名为" HybridPetya "的勒索软件变种，能够绕过 UEFI 安全启动（UEFI Secure Boot）功能点金网，在 EFI 系统分区中安装恶意程序。

HybridPetya 的设计明显受 2016 至 2017 年间活跃的破坏性恶意软件 Petya/NotPetya 的启发——后者曾通过加密计算机数据阻止 Windows 启动，且未提供任何数据恢复途径。

网络安全公司 ESET 的研究人员在 VirusTotal 平台上发现了 HybridPetya 的样本，并指出该样本可能是一个研究项目、概念验证代码（proof-of-concept），或是仍处于有限测试阶段的网络犯罪工具早期版本。

即便如此，ESET 强调，HybridPetya 的出现与 BlackLotus、BootKitty、Hyper-V 后门等案例一样，再次证明具备"安全启动绕过"功能的 UEFI 引导工具包（bootkit）已构成真实威胁。

HybridPetya 的技术特征与攻击流程

HybridPetya 融合了 Petya 与 NotPetya 的特性，包括这两款早期恶意软件的界面风格与攻击链；此外，开发者还新增了两项关键功能：可植入 EFI 系统分区，以及能利用 CVE-2024-7344 漏洞绕过安全启动。

CVE-2024-7344 漏洞由 ESET 于今年 1 月发现，该漏洞存在于微软签名的应用程序中——即便目标设备开启了安全启动保护，攻击者仍可利用该漏洞部署引导工具包。

HybridPetya 的攻击流程如下：点金网

执行逻辑

1. 环境检测与文件投放：启动后，首先判断主机是否采用" UEFI+GPT 分区"架构，随后在 EFI 系统分区中植入包含多个文件的恶意引导工具包，包括配置文件、验证文件、修改后的引导程序、备用 UEFI 引导程序、漏洞利用载荷容器，以及用于跟踪加密进度的状态文件。

2. 关键文件替换与备份：ESET 列出了已分析的 HybridPetya 变种所使用的核心文件：

1. EFIMicrosoftBootconfig：存储加密标识、密钥、随机数（nonce）及受害者 ID；

2.EFIMicrosoftBootverify：用于验证解密密钥是否正确；

3.EFIMicrosoftBootcounter：记录已加密簇（cluster）的进度；点金网

4.EFIMicrosoftBootbootmgfw.efi.old：原始引导程序的备份文件；

5.EFIMicrosoftBootcloak.dat：在"安全启动绕过"变种中存储经 XOR 加密的引导工具包。

同时，恶意软件会将 EFIMicrosoftBootbootmgfw.efi 替换为存在漏洞的" reloader.efi "，并删除 EFIBootbootx64.efi；原始 Windows 引导程序会被保留，以便受害者支付赎金后恢复系统时激活。

3. 系统中断与加密执行：部署完成后，HybridPetya 会触发蓝屏（BSOD）并显示伪造错误信息（与 Petya 的手法一致），强制系统重启；重启后，恶意引导工具包随之执行，随后勒索软件会从 config 文件中提取 Salsa20 密钥与随机数，对所有主文件表（MFT）簇进行加密，同时显示伪造的磁盘检查（CHKDSK）消息（模仿 NotPetya 的特征）。