UEFI-bootkit BlackX обходить Secure Boot на повністю оновлених Windows
Kaspersky виявила зараження новим UEFI-bootkit’ом BlackX на комп’ютерах з усіма встановленими оновленнями Windows. Схема працює через затяжний перехід Microsoft на нову політику довіри для Secure Boot.
Kaspersky зафіксувала зараження UEFI-bootkit’ом BlackX на системах Windows з повним комплектом оновлень. Загроза змогла обійти Secure Boot завдяки проміжному стану міграції сертифікатів, який триває з 2023 року.
Що сталося
Постраждалі організації мали встановлені всі патчі, однак BlackX все одно обійшов захист завантаження. Це продовження історії BlackLotus — першого в польових умовах UEFI-bootkit’а, що у 2023 році демонстрував обхід Secure Boot на повністю оновлених Windows 11.
Як працюють BlackLotus і BlackX
Обидві загрози використовують Baton Drop — логічну ваду в Windows Boot Manager (CVE-2022-21894), що дозволяє обійти Secure Boot і за певних умов дістати ключі шифрування BitLocker. Виконуючись на ранньому етапі завантаження, bootkit може підвантажити шкідливий драйвер у ядро до старту більшості захисних механізмів, зберігає прихованість і здатен пережити перевстановлення ОС, якщо заражений завантажувальний розділ лишається недоторканим.
Що робила Microsoft
У 2022 році Microsoft виправила саму уразливість. У травні 2023-го компанія додала новий сертифікат Windows UEFI CA 2023 до бази довіри Secure Boot, щоб блокувати старі вразливі Boot Manager’и. У 2024-му з’явився механізм для внесення старого сертифіката Windows Production PCA 2011 до списку заборонених підписів, що мало б остаточно зупинити виконання застарілих компонентів.
Чому ризик зберігся
Як повідомляє Ars Technica з посиланням на дослідників, ці кроки не були жорстко примусовими: Microsoft не відкликала довіру до старих підписів автоматично через ризик зробити незавантажуваними мільйони пристроїв без проміжних оновлень. Тож встановлення патчів саме по собі не гарантувало повного захисту — були потрібні додаткові дії адміністраторів для активації блокувань. За даними Kaspersky, інструкції для цього заховані глибоко в документації Microsoft і є складними для впровадження, тому їх часто ігнорують.
Наслідки для безпеки
BlackX став ще одним підтвердженням: поки ланцюжок довіри Secure Boot не посилено примусовим відкликанням застарілих підписів, зловмисники можуть завантажувати уразливі компоненти і виконувати код до старту захистів ОС. Це поєднання раннього виконання, прихованості та стійкості робить UEFI-bootkit’и особливо привабливими для атакувальників.
