Bootkit BlackX ominął Secure Boot na w pełni zaktualizowanych Windows — Ars Technica

Bootkit BlackX zainfekował komputery z zainstalowanymi aktualizacjami Windows i zdołał ominąć mechanizm Secure Boot. Jak podaje Ars Technica, zainfekowane organizacje zainstalowały poprawki wydane przez Microsoft, jednak aby ochrona została w pełni zastosowana, administratorzy musieli wykonać dodatkową ręczną czynność — cofnąć zaufanie do starego certyfikatu cyfrowego.

Wykorzystanie starej podatności

BlackX wykorzystuje Baton Drop — błąd logiczny w menedżerze rozruchu Windows, śledzony jako CVE-2022-21894. Podatność umożliwia ominięcie Secure Boot, a w określonych warunkach — uzyskanie kluczy szyfrowania BitLocker. Microsoft naprawił błąd w 2022 roku, ale nie cofnął zaufania do certyfikatu, którym podpisano stare podatne menedżery rozruchu.

Bootkit uruchamia się na wczesnym etapie rozruchu komputera — przed pełnym uruchomieniem Windows i wielu mechanizmów ochrony. Umożliwia to atakującym załadowanie złośliwych sterowników do jądra Windows. Takie programy trudno wykryć bez wyspecjalizowanych narzędzi bezpieczeństwa. Mogą one również przetrwać po ponownej instalacji systemu operacyjnego, jeśli zainfekowana partycja rozruchowa dysku pozostaje niezmieniona.

Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.

Aktualizacje wymagały ręcznej aktywacji

W maju 2023 roku Microsoft dodał nowy certyfikat Windows UEFI CA 2023 do bazy zaufanych certyfikatów Secure Boot. W następnym roku firma udostępniła mechanizm dodania starego certyfikatu Windows Production PCA 2011 do listy unieważnionych. Miało to zablokować uruchamianie starych menedżerów rozruchu podpisanych certyfikatem z 2011 roku.

Jednocześnie same aktualizacje nie zapewniały pełnej ochrony: aby zablokować stare programy rozruchowe, większość administratorów musiała ręcznie aktywować odpowiedni mechanizm. Badacz z Kaspersky, firmy, która wykryła infekcje BlackX, zaznaczył, że administratorzy systemów zwykle nie wykonują dodatkowych działań po zainstalowaniu aktualizacji, a instrukcje aktywacji są umieszczone głęboko na stronie Microsoftu.

Zdaniem Kaspersky operatorzy kampanii mogli uwzględnić fakt, że niewiele organizacji zdawało sobie sprawę z wagi ręcznej aktywacji ochrony przed Baton Drop. Badacze uważają, że atakujący zbadali zasadę działania BlackLotus — bootkitu wykrytego w 2023 roku — i stworzyli jego odpowiednik.