许多机构遭到了名为 BlackX 的新型恶意软件的攻击，这是一种 UEFI bootkit，它成功绕过了 Windows 11 系统中的“安全启动”（Secure Boot）功能，尽管这些系统已完全更新。这一事件引发了关于微软管理复杂安全更新策略的根本性质疑。
威胁的本质是什么？
BlackX 的工作方式与 2023 年出现的 BlackLotus 恶意软件相同，它利用了 Windows 启动管理器中一个被称为“Baton Drop”（编号为 CVE-2022-21894）的逻辑漏洞。此类软件的危险性在于，它们在设备启动过程的极早期阶段执行，允许其在大多数安全防御措施启动之前将恶意驱动程序加载到操作系统内核中，此外，它还具有持久性和难以检测的特点。
为什么更新未能提供保护？
尽管微软自 2022 年以来就发布了针对该漏洞的更新，但保护措施并非完全自动生效。卡巴斯基的研究人员解释称，微软在 2023 年和 2024 年发布的更新并未自动撤销对旧数字证书的信任，这是为了防止导致数百万台设备无法启动。
相反，微软将采取额外手动步骤以激活全面保护的责任留给了系统管理员，研究人员称这些说明“埋藏”在技术支持文档中，普通 IT 管理员很难注意到或执行这些操作。
这对用户意味着什么？
这一事件凸显了安全补丁发布与实际应用之间的差距。虽然机构认为只要安装了定期更新就能受到保护，但针对 UEFI 漏洞的防护需要额外的手动操作，而这些操作并未得到明确的宣传。专家认为，攻击者利用了这种模糊性，因为他们知道很少有机构会执行所需的手动保护措施，这使得克隆 BlackLotus 技术并开发 BlackX 成为黑客的一项成功投资。
截至目前，微软尚未明确警告用户，仅靠当前的更新并不能提供针对“Baton Drop”攻击的全面保护，这使得系统管理员对于如何最终确保其设备安全感到困惑。