BlackX bootkit-i yamalanmış Windows sistemlərində Secure Boot-u bypass etdi
BlackX UEFI bootkit-i ilə yoluxan təşkilatlar Baton Drop boşluğuna Microsoft yamaqlarını quraşdırmışdı, lakin yenilənmələr köhnə zəif Windows yükləyicilərini təkbaşına bloklamadı.
Yeni izlənən BlackX adlı UEFI bootkit-i Microsoft-un Baton Drop boşluğuna yamaqlarını quraşdırmış təşkilatları yoluxdurdu və mövcud yenilənmələrin köhnə, zəif Windows yükləyicilərinin işləməsinin qarşısını təkbaşına almadığını göstərdi. Zərərli proqram yükləmə prosesinin əvvəlində işə düşdü və Secure Boot-u keçdi; bu, əvvəlki BlackLotus bootkit-inə bənzəyir. Hadisə Microsoft-un yamalama sonrası əlavə addımları nə qədər aydın kommunikasiya etdiyi barədə suallar yaradır.
BlackX nədən istifadə etdi
Həm BlackLotus, həm də BlackX Windows yükləyicisində CVE-2022-21894 kimi qeydə alınan Baton Drop adlı məntiq boşluğundan istifadə edir. Bu boşluq hücumçulara Secure Boot-u keçməyə və müəyyən şərtlər altında BitLocker şifrələmə açarlarını çıxarmağa imkan verə bilər. Microsoft əsas boşluğu 2022-ci ildə düzəltdi, lakin köhnə, zəif yükləyiciləri imzalamaq üçün istifadə olunan sertifikata etibarı ləğv etmədi. BlackLotus bu boşluqdan istifadə etdi və zərərli nüvə rejimi sürücüsü yüklədi; BlackX isə daha sonra eyni nəticəyə nail oldu.
Yamaqlar niyə onu dayandırmadı
2023-cü ilin may ayında Microsoft boşluğu bağlamaq üçün çoxillik prosesə başladı. Bu iş Secure Boot-un etibarlı sertifikatlarına Windows UEFI CA 2023 sertifikatını əlavə etdi və 2024-cü ildə köhnə Windows Production PCA 2011 sertifikatını Secure Boot-un qadağan edilmiş imzalar bazasına əlavə etmək üsulu təqdim etdi. Lakin ikinci addım köhnə, zəif yükləyicilərə etibarı ləğv etmədi və yenilənmələr təkbaşına tam qorunma təmin etmədi. BlackX yoluxmalarını aşkar edən Kaspersky bildirdi ki, administratorlar adətən yamaqları quraşdırandan sonra əlavə heç bir addım atmırlar, halbuki yumşaltmanı aktivləşdirmək üçün təlimatları görmək çətin idi.
Microsoft-un tarazlıq cəhdi
Microsoft bildirdi ki, zəruri yenilənmələr çatmamışdan əvvəl ləğvlər tətbiq edilərsə, milyonlarla cihazın işə düşməyəcəyi riskindən çəkindi. Kaspersky bildirdi ki, BlackX-in arxasındakı təhdid aktyoru az sayda təşkilatın Baton Drop yamasını əl ilə aktivləşdirməyin vacibliyini anladığını nəzərə almış ola bilər. Microsoft müştərilərə iki həftə əvvəl dərc edilmiş Knowledge Base yazısındakı təlimata əməl etməyi tövsiyə etdi, lakin Kaspersky qeyd etdi ki, həmin yazı indiyədək buraxılmış yamaqların müştəriləri Baton Drop hücumlarından qorumadığını xəbərdar etmir. Microsoft-un yazısından ev Windows istifadəçiləri üçün vəziyyətin nə olduğu da aydın deyil. Bu hal dərhal qorunma ilə yenilənməmiş maşınların sıradan çıxması riski arasında tarazlığı saxlamağın çətinliyini göstərir.
Mənbələr: Ars Technica
SiTech — AI ilə gücləndirilmiş veb hazırlanması
Sürətli və müasir saytlar qurur, AI-ı real biznes proseslərinə gətiririk. Layihəniz və ya sualınız var? Kömək etməyə hazırıq.