BlackXの脆弱性：完全にアップデートされたWindowsデバイスがマルウェアに侵害された理由
多くの組織が、BlackXとして知られる新しいUEFIブートキット型のマルウェアによるセキュリティ侵害を受けました。このマルウェアは、完全にアップデートされたWindows 11システムにおいて「セキュアブート（Secure Boot）」機能を回避することに成功しました。この事件は、複雑なセキュリティアップデートを管理するマイクロソフトの戦略に根本的な疑問を投げかけています。
脅威の性質とは？
BlackXは、2023年に出現したBlackLotusと同様の手法で動作します。これは「Baton Drop」（CVE-2022-21894として登録）と呼ばれるWindowsブートマネージャーの論理的な脆弱性を悪用するものです。これらのマルウェアの危険性は、デバイスの起動プロセスの非常に早い段階で実行される点にあります。これにより、ほとんどのセキュリティ防御が機能し始める前に、オペレーティングシステムのカーネルに悪意のあるドライバーを読み込むことが可能となり、持続性と検出の困難さを特徴としています。
なぜアップデートは保護に失敗したのか？
マイクロソフトは2022年からこの脆弱性に対処するためのアップデートをリリースしてきましたが、保護は完全には自動化されていませんでした。カスペルスキーの研究者は、マイクロソフトが2023年および2024年にリリースしたアップデートでは、何百万台ものデバイスが起動しなくなることを懸念し、古いデジタル証明書の信頼を自動的に取り消さなかったと説明しています。
その代わり、マイクロソフトは完全な保護を有効にするための追加の手動手順をシステム管理者の責任に委ねました。研究者らは、これらの指示は技術サポートドキュメントの「奥深く」に埋もれており、一般的なIT管理者が気づいたり実行したりすることは困難であると指摘しています。
これがユーザーにとって意味すること
この事件は、セキュリティパッチのリリースと実際の適用の間に存在するギャップを浮き彫りにしています。組織は定期的なアップデートをインストールすれば保護されていると考えがちですが、UEFIの脆弱性からの保護には、明確に周知されていない追加の手動手順が必要です。専門家は、攻撃者がこの曖昧さを悪用していると見ています。攻撃者は、必要な手動保護措置を講じている組織がほとんどないことを理解しており、BlackLotusの技術を複製してBlackXを開発することが、ハッカーにとって成功する投資となっているのです。
現時点まで、マイクロソフトは現在のアップデートだけでは「Baton Drop」攻撃に対する完全な保護を提供できないという明確な警告をユーザーに発していません。これにより、システム管理者はデバイスを最終的にどのように保護すべきかという不確実な状況に置かれています。