BlackX-ის ბუტკიტმა განახლებულ Windows სისტემებზე Secure Boot-ს გვერდი აუარა

ახლად გამოვლენილმა UEFI ბუტკიტმა, სახელად BlackX, დააინფიცირა ორგანიზაციები, რომლებსაც Baton Drop-ის ხარვეზისთვის Microsoft-ის განახლებები უკვე დაყენებული ჰქონდათ. ეს აჩვენებს, რომ მხოლოდ განახლებებმა ვერ შეუშალა ხელი ძველი, დაუცველი Windows-ის ჩამტვირთავების გაშვებას. მავნე პროგრამა ჩატვირთვის პროცესის ადრეულ ეტაპზე გაეშვა და გვერდი აუარა Secure Boot-ს, ისევე როგორც ადრინდელმა BlackLotus-ის ბუტკიტმა. ინციდენტი აჩენს კითხვებს იმაზე, თუ რამდენად გარკვევით ახსნა Microsoft-მა ის დამატებითი ნაბიჯები, რომლებიც პატჩების დაყენების შემდეგაა საჭირო.

რა გამოიყენა BlackX-მა

BlackLotus და BlackX ერთსა და იმავე ხარვეზს იყენებენ. ესაა Baton Drop, ლოგიკური ხარვეზი Windows-ის ჩამტვირთავში, რომელიც CVE-2022-21894-ის სახელითაა ცნობილი. ხარვეზი თავდამსხმელებს საშუალებას აძლევს, გვერდი აუარონ Secure Boot-ს და გარკვეულ პირობებში მოიპოვონ BitLocker-ის დაშიფვრის გასაღებები. Microsoft-მა თავად დაუცველობა 2022 წელს გამოასწორა, მაგრამ არ გააუქმა ნდობა იმ სერტიფიკატის მიმართ, რომლითაც ძველი, დაუცველი ჩამტვირთავებია ხელმოწერილი. BlackLotus-მა სწორედ ეს ხარვეზი გამოიყენა და მავნე დრაივერი ბირთვის რეჟიმში ჩატვირთა, ხოლო BlackX-მა იგივე მოგვიანებით შეძლო.

რატომ ვერ შეუშალა ხელი განახლებებმა

2023 წლის მაისში Microsoft-მა მრავალწლიანი პროცესი დაიწყო ამ დაუცველობის ჩასაკეტად. ამ სამუშაოს ფარგლებში Secure Boot-ის სანდო სერტიფიკატებს დაემატა Windows UEFI CA 2023 სერტიფიკატი, ხოლო 2024 წელს გაჩნდა შესაძლებლობა, ძველი Windows Production PCA 2011 სერტიფიკატი Secure Boot-ის აკრძალული ხელმოწერების მონაცემთა ბაზაში დაემატებინათ. თუმცა მეორე ნაბიჯმა ნდობა ძველი, დაუცველი ჩამტვირთავების მიმართ არ გააუქმა და მხოლოდ განახლებები სრულ დაცვას არ იძლეოდა. Kaspersky-მ, რომელმაც BlackX-ით ინფიცირების შემთხვევები აღმოაჩინა, განაცხადა, რომ ადმინისტრატორები პატჩების დაყენების შემდეგ, როგორც წესი, დამატებით ნაბიჯებს არ დგამენ, ხოლო დაცვის მექანიზმის გააქტიურების ინსტრუქცია ძნელად შესამჩნევი იყო.

Microsoft-ის რთული ბალანსი

Microsoft-მა განაცხადა, რომ ეშინოდა პოტენციურად მილიონობით მოწყობილობის ჩატვირთვის უნარის დაკარგვისა, თუ ნდობის გაუქმება ძალაში შევიდოდა მანამ, სანამ მათამდე საჭირო განახლებები მივიდოდა. Kaspersky-ის თქმით, BlackX-ის უკან მდგომი საფრთხის აქტორი, სავარაუდოდ, ითვალისწინებდა, რომ ცოტა ორგანიზაცია აცნობიერებდა Baton Drop-ის პატჩის ხელით გააქტიურების მნიშვნელობას. Microsoft-მა მომხმარებლებს ურჩია, მიჰყოლოდნენ ორი კვირის წინ გამოქვეყნებულ Knowledge Base-ის პოსტში მოცემულ რეკომენდაციებს, თუმცა Kaspersky-მ აღნიშნა, რომ ეს პოსტი არ აფრთხილებს, რომ დღემდე გამოქვეყნებული პატჩები მომხმარებლებს Baton Drop-ის თავდასხმებისგან არ იცავს. ასევე გაურკვეველია, რა მდგომარეობაა სახლის Windows-ის მომხმარებლებისთვის. ეს შემთხვევა აჩვენებს, რამდენად ძნელია დაუყოვნებელი დაცვისა და გაუნახლებელი მოწყობილობების გაფუჭების რისკის დაბალანსება.

წყაროები: Ars Technica