Bootkit UEFI em Rust 'RedLotus' expõe vulnerabilidades no Windows

O RedLotus, um bootkit UEFI desenvolvido em Rust, expõe de forma didática vulnerabilidades críticas na segurança do Windows. Ele atua na fase de pré-inicialização do sistema, antes mesmo que o ntoskrnl.exe seja carregado, permitindo a injeção de um payload de kernel sem a assinatura digital exigida pelo Driver Signature Enforcement (DSE). A técnica explora o processo de boot para carregar um driver não assinado na memória, burlando as proteções do sistema.

Para comunicação entre o espaço de usuário e o kernel, o RedLotus utiliza um hook no ponteiro .data da HalDispatchTable. Isso permite que o bootkit interaja com o sistema operacional sem disparar o PatchGuard, um mecanismo de proteção do kernel. Contudo, o projeto foi intencionalmente desenvolvido para fins educacionais e não possui furtividade. Suas alocações de memória com permissões RWX (leitura, escrita e execução) são identificadas facilmente por soluções EDR (Endpoint Detection and Response), e o bootkit não funciona contra sistemas com HVCI (Hypervisor-Protected Code Integrity) ativo, uma camada de segurança robusta do Windows.

A grande novidade que o RedLotus traz é o uso de Rust para o desenvolvimento de um bootkit UEFI. Embora as táticas de bypass de Driver Signature Enforcement (DSE) e a manipulação do boot do Windows sejam conhecidas e empregadas há anos, principalmente na comunidade de game hacking, a implementação em Rust mostra uma evolução nas ferramentas de baixo nível. Isso reflete um movimento de adoção de linguagens modernas que oferecem maior segurança de memória, como Rust, para projetos ofensivos e de pesquisa em segurança, atualizando a forma como esses exploits são construídos e demonstrados.

Enquanto vulnerabilidades críticas de Secure Boot, como as abordadas pelo CEVIU News em julho de 2026, mostram brechas no próprio sistema de proteção, o RedLotus demonstra o passo seguinte: como um atacante pode operar uma vez que o Secure Boot está desabilitado ou contornado, evidenciando a persistência dessas ameaças. O projeto ilustra a adaptação de métodos antigos a novos contextos de desenvolvimento e pesquisa.

O RedLotus é um lembrete crítico de que a segurança na camada de firmware e bootloader do sistema operacional continua sendo um vetor de ataque relevante. Mesmo não sendo uma ameaça furtiva, ele serve como uma prova de conceito valiosa para pesquisadores e profissionais de segurança. A capacidade de um bootkit de carregar drivers não assinados antes mesmo do sistema operacional iniciar oferece controle total sobre a máquina, podendo desabilitar proteções e estabelecer persistência, como alertado pelo CEVIU News sobre rootkits de kernel em fevereiro de 2026.

Para empresas e governos, este tipo de pesquisa reforça a necessidade de implementar proteções avançadas como o HVCI e manter o Secure Boot ativado e atualizado. A demonstração de RedLotus ressalta que ataques de baixo nível, embora complexos, não são coisa do passado. A compreensão dessas técnicas é fundamental para desenvolver defesas eficazes contra ameaças que buscam evadir as camadas de segurança tradicionais do sistema operacional.