Буткіт BlackX обходив Secure Boot на повністю оновлених Windows

Буткіт BlackX заразив системи Windows із встановленими оновленнями, оскільки для повного захисту від уразливості Baton Drop адміністраторам потрібно окремо активувати відкликання старого сертифіката. Про це повідомляє Ars Technica з посиланням на дослідників Kaspersky, які виявили зараження.

BlackX використовує логічну помилку у Windows Boot Manager, відому як Baton Drop і зареєстровану під ідентифікатором CVE-2022-21894. Вона дає змогу обійти Secure Boot — механізм UEFI, який перевіряє цифрові підписи компонентів під час запуску комп’ютера. Це дозволяє шкідливому коду виконуватися до повного завантаження Windows і до запуску багатьох засобів захисту операційної системи.

Старий сертифікат залишається довіреним

Microsoft усунула саму вразливість у 2022 році. У травні 2023 року компанія почала розгортати додаткові заходи: до бази довірених сертифікатів Secure Boot додали новий сертифікат Windows UEFI CA 2023. У 2024 році з’явився механізм для внесення старого сертифіката Windows Production PCA 2011 до списку заборонених підписів.

Однак інсталяція оновлень сама по собі не відкликає довіру до старих уразливих завантажувачів, підписаних сертифікатом 2011 року. Такий підхід пов’язаний із ризиком зробити пристрої незавантажуваними, якщо вони не отримали необхідних оновлень. За даними Kaspersky, інструкції щодо ручної активації захисту розміщені глибоко на сайті Microsoft, тому їх можуть не помітити ІТ-адміністратори.

Ранній запуск шкідливого коду

Як BlackLotus, так і BlackX здатні завантажувати шкідливі драйвери на ранньому етапі запуску системи. BlackLotus став першим публічно задокументованим буткітом UEFI, який у 2023 році обходив Secure Boot на повністю оновлених Windows 11. BlackX працює за подібним принципом.

UEFI запускається одразу після ввімкнення комп’ютера, ініціалізує обладнання та готує запуск операційної системи. Буткіти такого рівня важко виявляти без спеціалізованих засобів безпеки; вони також можуть пережити перевстановлення ОС, якщо заражений завантажувальний розділ диска лишається без змін. Представник Microsoft порадив клієнтам дотримуватися рекомендацій компанії, оприлюднених у нещодавній статті бази знань.