BlackX bootkit'i yamalı Windows sistemlerinde Secure Boot'u aştı

Yeni izlenen BlackX adlı UEFI bootkit'i, Baton Drop açığı için Microsoft'un yamalarını kurmuş kuruluşları enfekte etti ve mevcut güncellemelerin tek başına eski, savunmasız Windows önyükleyicilerinin çalışmasını durdurmadığını gösterdi. Kötü amaçlı yazılım önyükleme sürecinin erken aşamasında çalıştı ve Secure Boot'u aştı; bu durum daha önceki BlackLotus bootkit'ine oldukça benziyordu. Olay, Microsoft'un yamalama sonrasında gerekli ek adımları ne kadar açık anlattığına dair soruları gündeme getirdi.

BlackX neyi istismar etti

Hem BlackLotus hem BlackX, CVE-2022-21894 numarasıyla izlenen Windows önyükleyicisindeki bir mantık açığı olan Baton Drop'u istismar ediyor. Bu açık, saldırganların Secure Boot'u aşmasına ve belirli koşullar altında BitLocker şifreleme anahtarlarını çıkarmasına izin verebilir. Microsoft temel güvenlik açığını 2022'de düzeltti, ancak eski ve savunmasız önyükleyicileri imzalamak için kullanılan sertifikaya güveni kaldırmadı. BlackLotus bu boşluğu kullandı ve kötü amaçlı bir çekirdek modu sürücüsü yükledi; BlackX aynı başarıyı daha sonra elde etti.

Yamalar neden onu durdurmadı

Mayıs 2023'te Microsoft bu güvenlik açığını kapatmak için yıllar sürecek bir süreç başlattı. Bu çalışma, Windows UEFI CA 2023 sertifikasını Secure Boot'un güvenilen sertifikalarına ekledi ve 2024'te daha eski Windows Production PCA 2011 sertifikasını Secure Boot'un yasaklı imza veritabanına ekleme yolunu sundu. Ancak ikinci adım eski ve savunmasız önyükleyicilere güveni kaldırmadı ve güncellemeler tek başına tam koruma sağlamadı. Enfeksiyonları keşfeden Kaspersky, yöneticilerin genellikle yamaları kurduktan sonra başka bir işlem yapmadığını; azaltma etkinleştirme talimatlarının ise fark edilmesinin zor olduğunu söyledi.

Microsoft'un denge kurma çabası

Microsoft, güncellemeler cihazlara ulaşmadan iptallerin zorunlu hale getirilmesi durumunda potansiyel olarak milyonlarca cihazın önyüklenemez hale gelebileceğinden korktuğunu söyledi. Kaspersky, BlackX'in arkasındaki tehdit aktörünün muhtemelen çoğu kuruluşun Baton Drop yamasını elle etkinleştirmenin önemini fark etmediğini hesaba kattığını söyledi. Microsoft müşterilere iki hafta önce yayımlanan bir Bilgi Bankası gönderisindeki yönergeleri izlemelerini tavsiye etti, ancak Kaspersky bu gönderinin bugüne kadar yayımlanan yamaların Baton Drop saldırılarına karşı müşterileri korumadığını uyarmadığını belirtti. Microsoft'un gönderisinden ev Windows kullanıcıları için durumun ne olduğu da açık değil. Bu olay, anında koruma ile güncellenmemiş makineleri bozma riski arasındaki dengeyi kurmanın zorluğunu gösteriyor.

Kaynaklar: Ars Technica