Буткіт BlackX обійшов Secure Boot на оновлених системах Windows

Новий UEFI-буткіт під назвою BlackX заразив організації, які встановили латки Microsoft для вразливості Baton Drop. Це показало, що доступні оновлення самі по собі не зупиняли запуск старіших вразливих завантажувачів Windows. Шкідливе ПЗ виконувалося на ранньому етапі процесу завантаження й обходило Secure Boot, як і раніше буткіт BlackLotus. Інцидент викликає питання щодо того, наскільки чітко Microsoft повідомила про додаткові кроки, потрібні після встановлення латок.

Що експлуатував BlackX

І BlackLotus, і BlackX експлуатують Baton Drop, логічну вразливість у завантажувачі Windows, яку відстежують як CVE-2022-21894. Ця вразливість може дозволити зловмисникам обійти Secure Boot і за певних умов отримати ключі шифрування BitLocker. Microsoft усунула базову вразливість у 2022 році, але не відкликала довіру до сертифіката, яким підписували старіші вразливі завантажувачі. BlackLotus використав цю прогалину та завантажив шкідливий драйвер режиму ядра, а BlackX досяг того самого результату пізніше.

Чому латки не зупинили його

У травні 2023 року Microsoft почала багаторічний процес закриття вразливості. Ця робота додала сертифікат Windows UEFI CA 2023 до довірених сертифікатів Secure Boot, а у 2024 році надала спосіб додати старіший сертифікат Windows Production PCA 2011 до бази заборонених підписів Secure Boot. Але другий крок не відкликав довіру до старіших вразливих завантажувачів, і самі оновлення не забезпечували повного захисту. Kaspersky, яка виявила зараження BlackX, заявила, що адміністратори зазвичай не вживають подальших дій після встановлення латок, тоді як інструкції з активації захисного заходу було важко помітити.

Компроміс Microsoft

Microsoft заявила, що побоювалася зробити потенційно мільйони пристроїв нездатними до завантаження, якби відкликання примусово застосовували до того, як необхідні оновлення дійшли до них. Kaspersky заявила, що зловмисник, який стоїть за BlackX, ймовірно, врахував те, що мало організацій усвідомлювали важливість ручної активації латки Baton Drop. Microsoft порадила клієнтам дотримуватися настанов у дописі бази знань, опублікованому два тижні тому, але Kaspersky зазначила, що цей допис не попереджає: латки, випущені на сьогодні, не захищають клієнтів від атак Baton Drop. Також із допису Microsoft неясно, яка ситуація для домашніх користувачів Windows. Цей випадок показує складність балансування між негайним захистом і ризиком зламати неоновлені машини.

Джерела: Ars Technica