Многие организации подверглись нарушениям безопасности с использованием новой вредоносной программы, известной как BlackX, которая представляет собой руткит загрузки UEFI (UEFI bootkit), сумевший обойти функцию «Безопасная загрузка» (Secure Boot) в полностью обновленных системах Windows 11. Этот инцидент вызывает фундаментальные вопросы о стратегии Microsoft по управлению сложными обновлениями безопасности.
Какова природа угрозы?
BlackX работает так же, как вредоносное ПО BlackLotus, появившееся в 2023 году, эксплуатируя логическую уязвимость в диспетчере загрузки Windows, известную как «Baton Drop» (зарегистрированную под номером CVE-2022-21894). Опасность таких программ заключается в том, что они выполняются на очень ранней этапе процесса загрузки устройства, что позволяет им загружать вредоносные драйверы в ядро операционной системы до того, как большинство средств защиты начнут работу, а также они характеризуются высокой степенью персистентности и трудностью обнаружения.
Почему обновления не защитили?
Хотя Microsoft выпустила обновления для устранения этой уязвимости еще в 2022 году, защита не стала полностью автоматической. Исследователи из «Лаборатории Касперского» пояснили, что обновления, выпущенные Microsoft в 2023 и 2024 годах, не аннулировали доверие к старым цифровым сертификатам автоматически из-за опасений вызвать сбои при загрузке на миллионах устройств.
Вместо этого Microsoft возложила ответственность за выполнение дополнительных ручных шагов по активации полной защиты на администраторов систем. Эти инструкции исследователи охарактеризовали как «запрятанные» в документации технической поддержки, и их трудно заметить или выполнить обычным ИТ-специалистам.
Что это значит для пользователей?
Этот инцидент подчеркивает разрыв между выпуском патча безопасности и его фактическим применением. Хотя организации считают себя защищенными сразу после установки регулярных обновлений, защита от уязвимостей UEFI требует дополнительных ручных процедур, которые четко не афишируются. Эксперты считают, что злоумышленники воспользовались этой неопределенностью, понимая, что лишь немногие организации активируют необходимые процедуры ручной защиты, что сделало копирование технологий BlackLotus и разработку BlackX успешной инвестицией для хакеров.
До сих пор Microsoft не предоставила пользователям явного предупреждения о том, что текущие обновления сами по себе не обеспечивают полную защиту от атак «Baton Drop», что ставит системных администраторов в состояние неопределенности относительно того, как окончательно обезопасить свои устройства.