BlackX обошёл Secure Boot на обновлённых компьютерах Windows
UEFI-буткит BlackX заразил организации, установившие исправления Microsoft. Проблема возникла из-за того, что обновления не отзывали доверие к старым уязвимым загрузчикам автоматически
Один основной источник · Как мы проверяем новости
Что произошло
Организации, установившие исправления Microsoft, подверглись заражению UEFI-буткитом BlackX. Он обходит Secure Boot — механизм, который должен проверять цифровые подписи компонентов загрузки до их запуска.
BlackX использует уязвимость Baton Drop в загрузчике Windows. При определённых условиях эта уязвимость также позволяет извлекать ключи шифрования BitLocker.
Как работает атака
UEFI запускается сразу после включения компьютера, инициализирует оборудование и подготавливает систему к загрузке операционной системы. Загрузчик Windows хранится на отдельном небольшом разделе диска и отвечает за первоначальную загрузку ОС.
BlackX и BlackLotus работают на раннем этапе запуска, поэтому могут загрузить вредоносные драйверы в ядро Windows до активации многих системных и защитных функций. Такие буткиты трудно обнаружить без специализированных инструментов, а заражение может сохраниться после переустановки ОС, если загрузочный раздел не был очищен.
Почему это важно
Microsoft исправила саму уязвимость в 2022 году, но тогда не отозвала доверие к сертификату, которым были подписаны старые уязвимые загрузчики. BlackLotus воспользовался этим пробелом, а BlackX продемонстрировал, что проблема сохранялась и после последующих обновлений.
В 2023 году Microsoft добавила сертификат Windows UEFI CA 2023, а в 2024 году выпустила механизм добавления сертификата Windows Production PCA 2011 в список запрещённых подписей. Однако обновления сами по себе не завершали процедуру отзыва доверия: для активации защиты требовались дополнительные действия администратора.
Источники
Один основной источник. Как мы проверяем новости
