برنامج BlackX الخبيث تجاوز Secure Boot على أنظمة Windows محدثة

أُصيبت منظمات ببرنامج BlackX UEFI الخبيث، وهو برنامج رُصد مؤخراً، رغم تثبيت تصحيحات Microsoft لثغرة Baton Drop، مما يوضح أن التحديثات المتاحة لم تمنع بحد ذاتها تشغيل محملات Windows boot manager الضعيفة الأقدم. عمل البرنامج الخبيث في وقت مبكر من عملية الإقلاع وتجاوز Secure Boot، كما فعل برنامج BlackLotus الخبيث الأقدم. يثير الحادث أسئلة حول مدى وضوح تواصل Microsoft للخطوات الإضافية المطلوبة بعد التصحيح.

ما استغله BlackX

يستغل كل من BlackLotus وBlackX ثغرة Baton Drop، وهو خلل منطقي في Windows boot manager مُتتبَّع كـ CVE-2022-21894. يمكن أن تسمح الثغرة للمهاجمين بتجاوز Secure Boot، وتحت ظروف معينة، باستخراج مفاتيح تشفير BitLocker. أصلحت Microsoft الثغرة الأساسية في 2022، لكنها لم تُلغِ الثقة في الشهادة المستخدمة لتوقيع محملات Windows boot manager الضعيفة الأقدم. استغل BlackLotus تلك الفجوة وحمّل برنامجاً خبيثاً في وضع النواة، بينما حقق BlackX الإنجاز نفسه لاحقاً.

لماذا لم توقفه التصحيحات

في مايو 2023، بدأت Microsoft عملية متعددة السنوات لإغلاق الثغرة. أضاف هذا العمل شهادة Windows UEFI CA 2023 إلى شهادات Secure Boot الموثوقة، وفي 2024 وفّر طريقة لإضافة شهادة Windows Production PCA 2011 الأقدم إلى قاعدة بيانات التوقيعات المحظورة في Secure Boot. لكن الخطوة الثانية لم تُلغِ الثقة في محملات Windows boot manager الضعيفة الأقدم، ولم توفر التحديثات وحدها حماية كاملة. قالت Kaspersky، التي اكتشفت إصابات BlackX، إن المسؤولين عادة لا يتخذون إجراءات إضافية بعد تثبيت التصحيحات، بينما كانت تعليمات تفعيل التخفيف صعبة الملاحظة.

موازنة Microsoft

قالت Microsoft إنها خشيت أن تجعل ملايين الأجهزة غير قابلة للإقلاع إذا فُرضت الإلغاءات قبل وصول التحديثات الضرورية إليها. قالت Kaspersky إن فاعل التهديد خلف BlackX أخذ على الأرجح في الحسبان أن قلة من المنظمات أدركت أهمية تفعيل تصحيح Baton Drop يدوياً. نصحت Microsoft العملاء باتباع إرشادات في منشور Knowledge Base نُشر قبل أسبوعين، لكن Kaspersky أشارت إلى أن المنشور لا يحذر من أن التصحيحات المنشورة حتى الآن لا تفعل شيئاً لحماية العملاء من هجمات Baton Drop. كما أن وضع مستخدمي Windows المنزليين غير واضح من منشور Microsoft. يوضح الحادث صعوبة موازنة الحماية الفورية مع خطر تعطيل الأجهزة غير المحدثة.

المصادر: Ars Technica