Буткіт BlackX обійшов Secure Boot на повністю оновлених Windows — Ars Technica
Буткіт BlackX заразив комп’ютери з установленими оновленнями Windows і зміг обійти механізм Secure Boot. Як повідомляє Ars Technica, інфіковані організації встановили випущені Microsoft виправлення, однак для повного застосування захисту адміністраторам потрібно було виконати додаткову ручну дію — відкликати довіру до старого цифрового сертифіката.
Використання старої вразливості
BlackX використовує Baton Drop — логічну помилку в диспетчері завантаження Windows, відстежувану як CVE-2022-21894. Вразливість дає змогу обійти Secure Boot, а за певних умов — отримати ключі шифрування BitLocker. Microsoft виправила помилку 2022 року, але не відкликала довіру до сертифіката, яким були підписані старі вразливі диспетчери завантаження.
Буткіт запускається на ранній стадії завантаження комп’ютера — до повного старту Windows і багатьох механізмів захисту. Це дає зловмисникам змогу завантажувати шкідливі драйвери в ядро Windows. Такі програми важко виявити без спеціалізованих засобів безпеки. Вони також можуть зберегтися після перевстановлення операційної системи, якщо інфікований завантажувальний розділ диска залишається без змін.
Більше актуальних новин читайте у Telegram-каналі UA.News.
Оновлення потребували ручної активації
У травні 2023 року Microsoft додала до бази довірених сертифікатів Secure Boot новий сертифікат Windows UEFI CA 2023. Наступного року компанія надала механізм для внесення старого сертифіката Windows Production PCA 2011 до переліку заборонених. Це мало заблокувати запуск старих диспетчерів завантаження, підписаних сертифікатом 2011 року.
Водночас оновлення самі по собі не забезпечували повного захисту: для блокування старих завантажувачів більшості адміністраторів потрібно було вручну активувати відповідний механізм. Дослідник Kaspersky, компанії, що виявила зараження BlackX, зазначив, що системні адміністратори зазвичай не виконують додаткових дій після встановлення оновлень, а інструкції з активації розміщені глибоко на сайті Microsoft.
На думку Kaspersky, оператори кампанії могли врахувати, що небагато організацій усвідомлювали важливість ручної активації захисту від Baton Drop. Дослідники вважають, що зловмисники вивчили принцип роботи BlackLotus — буткіта, виявленого 2023 року, — і створили його аналог.
