Zahlreiche Organisationen wurden Opfer von Sicherheitsverletzungen durch eine neue Malware namens BlackX. Hierbei handelt es sich um ein UEFI-Bootkit, das die Funktion „Sicherer Start“ (Secure Boot) in vollständig aktualisierten Windows 11-Systemen umgehen konnte. Dieser Vorfall wirft grundlegende Fragen zur Strategie von Microsoft bei der Verwaltung komplexer Sicherheitsupdates auf.
Welche Art von Bedrohung liegt vor?
BlackX funktioniert nach derselben Methode wie das 2023 aufgetauchte BlackLotus-Programm, indem es eine logische Schwachstelle im Windows-Bootloader ausnutzt, die als „Baton Drop“ bekannt ist (registriert unter CVE-2022-21894). Die Gefahr dieser Programme besteht darin, dass sie in einer sehr frühen Phase des Startvorgangs des Geräts ausgeführt werden. Dies ermöglicht es ihnen, schädliche Treiber in den Betriebssystemkernel zu laden, bevor die meisten Sicherheitsvorkehrungen greifen. Zudem zeichnen sie sich durch Beständigkeit und Erkennungsschwierigkeiten aus.
Warum boten die Updates keinen Schutz?
Obwohl Microsoft bereits 2022 Updates zur Behebung dieser Schwachstelle veröffentlicht hatte, war der Schutz nicht vollständig automatisiert. Forscher von Kaspersky erklärten, dass die von Microsoft in den Jahren 2023 und 2024 veröffentlichten Updates das Vertrauen in alte digitale Zertifikate nicht automatisch widerrufen haben, aus Angst, dass Millionen von Geräten nicht mehr starten könnten.
Stattdessen überließ Microsoft es den Systemadministratoren, zusätzliche manuelle Schritte zur Aktivierung des vollständigen Schutzes durchzuführen. Forscher beschrieben diese Anweisungen als in der technischen Dokumentation „versteckt“, weshalb sie für normale IT-Administratoren nur schwer zu bemerken oder umzusetzen sind.
Was bedeutet das für die Nutzer?
Dieser Vorfall verdeutlicht die Lücke zwischen der Veröffentlichung eines Sicherheitspatches und seiner tatsächlichen Anwendung. Während Organisationen glauben, durch die Installation regelmäßiger Updates geschützt zu sein, erfordert der Schutz vor UEFI-Schwachstellen zusätzliche manuelle Maßnahmen, die nicht klar kommuniziert werden. Experten sind der Ansicht, dass Angreifer diese Unklarheit ausnutzten, da ihnen bewusst war, dass nur wenige Organisationen die erforderlichen manuellen Schutzmaßnahmen aktivieren, was die Nachahmung von BlackLotus-Techniken und die Entwicklung von BlackX zu einer lohnenden Investition für Hacker machte.
Bislang hat Microsoft keine ausdrückliche Warnung an die Nutzer herausgegeben, dass die aktuellen Updates allein keinen vollständigen Schutz vor „Baton Drop“-Angriffen bieten. Dies lässt Systemadministratoren in Ungewissheit darüber, wie sie ihre Geräte endgültig absichern können.