Новый UEFI буткит BlackX заражает полностью обновленные ПК с Windows

Исследователи безопасности зафиксировали новую киберугрозу: UEFI-буткит под названием BlackX смог заразить полностью обновленные компьютеры под управлением Windows. В основе атаки лежит эксплуатация уязвимости в защите Secure Boot, которая ранее уже привлекала внимание индустрии после инцидента с BlackLotus в 2023 году.

• BlackX успешно обходит Secure Boot на системах с установленными патчами безопасности от Microsoft.
• В основе атаки лежит логическая ошибка Baton Drop (CVE-2022-21894), позволяющая загружать вредоносный код до старта ОС.
• Главной причиной заражения стал тот факт, что для полной активации защиты администраторам требуется выполнять ручные действия.

Механизм работы и уязвимость Baton Drop

Unified Extensible Firmware Interface или UEFI запускается сразу после включения компьютера, отвечая за инициализацию оборудования и подготовку к загрузке операционной системы. Важным компонентом безопасности здесь выступает Secure Boot, который проверяет цифровые подписи загрузочных файлов для предотвращения запуска неавторизованного ПО.

Обе вредоносные программы — и BlackLotus, и новый BlackX — эксплуатируют ошибку в логике работы диспетчера загрузки Windows под названием Baton Drop. Эта уязвимость, получившая идентификатор CVE-2022-21894 еще в 2022 году, позволяет злоумышленникам обходить проверку Secure Boot и внедрять вредоносные драйверы в ядро системы на самом раннем этапе загрузки.

Роль Microsoft и проблема неполных патчей

Компания Microsoft выпустила исправления для уязвимости еще в 2022 году, а позднее добавила новые сертификаты и механизмы отзыва старых доверенных ключей подписи. Однако процесс полного блокирования старых уязвимых загрузчиков затянулся из-за опасений компании сделать миллионы компьютеров не загружаемыми при преждевременном отзыве сертификатов.

Из-за такой осторожности возникла парадоксальная ситуация: установка официальных обновлений сама по себе не гарантирует защиту. Чтобы полностью закрыть уязвимость, системным администраторам необходимо вручную выполнять сложные дополнительные шаги, инструкции по которым глубоко спрятаны в документации Microsoft.

Последствия для бизнеса и ИТ-администраторов

Эксперты «Лаборатории Касперского», обнаружившие заражения BlackX, отмечают крайнюю сложность ручной активизации защиты. Большинство ИТ-специалистов привыкли считать, что установка патча через стандартный центр обновления полностью решает проблему, и не предполагают необходимости проведения дополнительных ручных процедур.

Данный инцидент подчеркивает сложнейшую задачу, стоящую перед разработчиками ОС: поиск баланса между безопасностью и стабильностью систем. Слишком радикальный отзыв старых ключей грозит превратить миллионы ПК в «кирпичи», а отсутствие жестких мер приводит к появлению новых изощренных буткитов, использующих неосведомленность администраторов.