Буткит BlackX обошёл Secure Boot на полностью обновлённых Windows — Ars Technica
Буткит BlackX заразил компьютеры с установленными обновлениями Windows и смог обойти механизм Secure Boot. Как сообщает Ars Technica, заражённые организации установили выпущенные Microsoft исправления, однако для полного применения защиты администраторам требовалось выполнить дополнительное ручное действие — отозвать доверие к старому цифровому сертификату.
Использование старой уязвимости
BlackX использует Baton Drop — логическую ошибку в диспетчере загрузки Windows, отслеживаемую как CVE-2022-21894. Уязвимость позволяет обойти Secure Boot, а при определённых условиях — получить ключи шифрования BitLocker. Microsoft исправила ошибку в 2022 году, но не отозвала доверие к сертификату, которым были подписаны старые уязвимые диспетчеры загрузки.
Буткит запускается на раннем этапе загрузки компьютера — до полного запуска Windows и многих механизмов защиты. Это позволяет злоумышленникам загружать вредоносные драйверы в ядро Windows. Такие программы сложно обнаружить без специализированных средств безопасности. Они также могут сохраниться после переустановки операционной системы, если заражённый загрузочный раздел диска остаётся без изменений.
Больше актуальных новостей — в Telegram-канале UA.News Telegram.
Обновления требовали ручной активации
В мае 2023 года Microsoft добавила в базу доверенных сертификатов Secure Boot новый сертификат Windows UEFI CA 2023. В следующем году компания предоставила механизм для внесения старого сертификата Windows Production PCA 2011 в список отозванных. Это должно было заблокировать запуск старых диспетчеров загрузки, подписанных сертификатом 2011 года.
В то же время обновления сами по себе не обеспечивали полной защиты: для блокировки старых загрузчиков большинству администраторов требовалось вручную активировать соответствующий механизм. Исследователь Kaspersky, компании, обнаружившей заражения BlackX, отметил, что системные администраторы обычно не выполняют дополнительных действий после установки обновлений, а инструкции по активации размещены глубоко на сайте Microsoft.
По мнению Kaspersky, операторы кампании могли учитывать, что немногие организации осознавали важность ручной активации защиты от Baton Drop. Исследователи считают, что злоумышленники изучили принцип работы BlackLotus — буткита, обнаруженного в 2023 году, — и создали его аналог.
