בוטקיט BlackX עקף את Secure Boot במערכות Windows מעודכנות

בוטקיט UEFI שזכה למעקב חדש בשם BlackX הדביק ארגונים שהתקינו את העדכונים של Microsoft עבור פגיעות Baton Drop, והראה שהעדכונים הזמינים לא מנעו בעצמם הפעלה של מנהלי אתחול ישנים ופגיעים ב-Windows. התוכנה הזדונית פעלה בשלב מוקדם בתהליך האתחול ועקפה את Secure Boot, בדומה לבוטקיט BlackLotus הקודם. התקרית מעלה שאלות לגבי מידת הבהירות שבה Microsoft הסבירה את הצעדים הנוספים הנדרשים לאחר התקנת העדכונים.

מה ניצל BlackX

גם BlackLotus וגם BlackX ניצלו את Baton Drop, פגם לוגי במנהל האתחול של Windows המזוהה כ-CVE-2022-21894. הפגם יכול לאפשר לתוקפים לעקוף את Secure Boot, ובתנאים מסוימים לחלץ מפתחות הצפנה של BitLocker. Microsoft תיקנה את הפגיעות הבסיסית ב-2022, אך לא ביטלה את האמון בתעודה ששימשה לחתימה על מנהלי אתחול ישנים ופגיעים. BlackLotus ניצל את הפרצה הזו והטעין מנהל התקן זדוני במצב kernel, בעוד BlackX השיג את אותו הישג מאוחר יותר.

מדוע העדכונים לא עצרו אותו

במאי 2023 החלה Microsoft בתהליך רב-שנים לסגור את הפגיעות. העבודה הוסיפה את התעודה Windows UEFI CA 2023 לתעודות המהימנות של Secure Boot, ובשנת 2024 סיפקה דרך להוסיף את התעודה הישנה יותר Windows Production PCA 2011 למסד הנתונים של חתימות אסורות ב-Secure Boot. אך הצעד השני לא ביטל את האמון במנהלי אתחול ישנים ופגיעים, והעדכונים לבדם לא סיפקו הגנה מלאה. Kaspersky, שגילתה את ההדבקות ב-BlackX, אמרה שמנהלי מערכות בדרך כלל לא נוקטים צעדים נוספים לאחר התקנת עדכונים, בעוד שההוראות להפעלת ההקלה היו קשות להבחנה.

האיזון העדין של Microsoft

Microsoft אמרה שחששה להפוך מיליוני התקנים פוטנציאליים לבלתי ניתנים לאתחול אם הביטולים היו נאכפים לפני שהעדכונים הנדרשים הגיעו אליהם. Kaspersky אמרה ששחקן האיום מאחורי BlackX כנראה לקח בחשבון שרק מעט ארגונים הבינו את החשיבות של הפעלה ידנית של הטלאי של Baton Drop. Microsoft המליצה ללקוחות לפעול לפי ההנחיות בפוסט ב-Knowledge Base שפורסם לפני שבועיים, אך Kaspersky ציינה שהפוסט אינו מזהיר שהעדכונים שפורסמו עד כה אינם עושים דבר כדי להגן על לקוחות מפני התקפות Baton Drop. כמו כן לא ברור מהפוסט של Microsoft מה המצב עבור משתמשי Windows בבית. המקרה מראה את הקושי לאזן בין הגנה מיידית לבין הסיכון להשבית מכונות שלא עודכנו.

מקורות: Ars Technica