Windows 11 zagrożony mimo aktualizacji. Bootkit BlackX omija Secure Boot

Windows 11 choć regularnie otrzymuje aktualizacje bezpieczeństwa to w systemie odkrywane są kolejne luki. Tym razem jest to bookit BlackX, który potrafi ominąć Secure Boot nawet na komputerach z zainstalowanymi aktualizacjami bezpieczeństwa.

W 2023 roku BlackLotus stał się pierwszym publicznie udokumentowanym bootkitem UEFI, który rzeczywiście wykorzystywano do omijania Secure Boot na w pełni zaktualizowanych komputerach z Windows 11.

BlackX wykorzystuje tę samą lukę co BlackLotus

Secure Boot sprawdza podpisy cyfrowe oprogramowania uruchamianego przed systemem operacyjnym. Ma zapobiegać wykonywaniu nieautoryzowanego kodu podczas startu komputera.

W 2023 roku BlackLotus stał się pierwszym publicznie udokumentowanym bootkitem UEFI, który rzeczywiście wykorzystywano do omijania Secure Boot na w pełni zaktualizowanych komputerach z Windows 11.

Zarówno BlackLotus, jak i BlackX wykorzystują podatność Baton Drop, oznaczoną CVE-2022-21894. Jest to błąd logiczny menedżera rozruchu Windows, który pozwala ominąć Secure Boot, a w określonych warunkach również uzyskać klucze szyfrowania BitLocker. Złośliwy kod może zostać uruchomiony przed załadowaniem zabezpieczeń Windows, a następnie wprowadzić niebezpieczne sterowniki do jądra systemu.

Takie zagrożenia są trudne do wykrycia i mogą przetrwać ponowną instalację Windows, jeżeli zainfekowana partycja rozruchowa pozostanie nienaruszona. Atak wymaga jednak wcześniejszego uzyskania dostępu do urządzenia.

Aktualizacje Microsoftu nie wystarczyły

Microsoft naprawił podatność w 2022 roku, ale początkowo nie unieważnił certyfikatu pozwalającego uruchamiać starsze, podatne menedżery rozruchu. W maju 2023 roku rozpoczęto kolejne działania, wprowadzając certyfikat Windows UEFI CA 2023. Następnie w 2024 roku udostępniono mechanizm umożliwiający unieważnienie zaufania do starszego certyfikatu Windows Production PCA 2011.

Problem polega na tym, że samo zainstalowanie aktualizacji nie wymuszało wszystkich zabezpieczeń. Administratorzy musieli dodatkowo aktywować odpowiednie mechanizmy unieważniania certyfikatów. Microsoft obawiał się, że automatyczne zablokowanie starszych menedżerów rozruchu może uniemożliwić uruchomienie milionów nieprzygotowanych komputerów.

Według Kaspersky właśnie tę sytuację wykorzystali twórcy BlackX. Zainfekowane organizacje miały zainstalowane wszystkie aktualizacje, ale nadal pozostawały podatne na atak.