Ars Technica：BlackX 启动套件绕过完全更新 Windows 的 Secure Boot

BlackX 启动套件感染了已安装 Windows 更新的计算机，并成功绕过 Secure Boot 机制。正如Ars Technica 报道，受感染的组织安装了微软发布的修复程序，但要使保护措施完全生效，管理员还必须执行额外的手动操作——撤销对旧数字证书的信任。

利用旧漏洞

BlackX 利用 Baton Drop，这是 Windows 启动管理器中的逻辑错误，编号为 CVE-2022-21894。该漏洞可绕过 Secure Boot，并且在特定条件下可获取 BitLocker 加密密钥。微软于 2022 年修复了该错误，但并未撤销对用于签署旧版易受攻击启动管理器的证书的信任。

该启动套件在计算机启动的早期阶段运行——在 Windows 和许多安全机制完全启动之前。这使攻击者能够将恶意驱动程序加载到 Windows 内核中。没有专门的安全工具，这类程序很难被发现。如果受感染的磁盘启动分区保持不变，它们在重新安装操作系统后也可能继续存在。

更多最新消息请关注 UA.News Telegram 频道 Telegram.

更新需要手动激活

2023 年 5 月，微软向 Secure Boot 受信任证书数据库添加了新的 Windows UEFI CA 2023 证书。次年，该公司提供了一种机制，可将旧的 Windows Production PCA 2011 证书加入撤销列表。这本应阻止启动由 2011 年证书签署的旧启动管理器。

与此同时，仅安装更新并不能提供完整保护：要阻止旧启动加载程序，大多数管理员必须手动激活相关机制。发现 BlackX 感染的公司卡巴斯基的一名研究员指出，系统管理员通常不会在安装更新后执行额外操作，而激活说明被放在微软网站较深的位置。

卡巴斯基认为，该活动的运营者可能考虑到，意识到需要手动激活针对 Baton Drop 的保护措施的组织并不多。研究人员认为，攻击者研究了 BlackLotus 的工作原理——这是一种于 2023 年被发现的启动套件——并创建了其类似版本。