Bootkit-ul UEFI care a ocolit Secure Boot pe Windows 11 actualizat

Cum a fost spart lanțul de încredere de BlackLotus?

În 2023, cercetătorii au confirmat primul bootkit UEFI documentat public, numit BlackLotus.

Malware-ul viza sistemele Windows 11 complet actualizate, exploata o slăbiciune în implementarea Secure Boot a Microsoft și se activa înainte ca sistemul de operare să se încarce complet, când majoritatea apărării de securitate erau încă offline.

Malware-ul a subvertit mecanismul de lanț de încredere la nivel de industrie, permițând persistență la nivel de firmware. Deoarece funcționa sub sistemul de operare, instrumentele tradiționale de securitate pe endpoint nu puteau să-l detecteze sau să-l elimine ușor. Incidentul a expus o slăbiciune critică în modul în care Secure Boot validează componentele de pornire.

Secure Boot este conceput să verifice fiecare componentă din procesul de pornire. BlackLotus a ocolit această verificare, profitând de ambiguitățile din specificațiile Microsoft.

Bootkit-ul s-a injectat în firmware-ul UEFI, devenind practic invizibil pentru software-ul antivirus standard. Cercetătorii au notat că vectorul de atac cerea timing precis în secvența de pornire.

Microsoft e vinovat pentru această breș?

Microsoft a primit critici pentru documentația neclară în jurul protecțiilor Secure Boot.

Specificațiile companiei nu defineau clar cum ar trebui validate componentele de pornire. Această ambiguitate a creat o deschidere pentru atacatori. Experții în securitate susțin că standarde mai clare ar fi împiedicat exploatarea.

Microsoft a revizuit de atunci documentația și procesele de actualizare a firmware-ului.

Consecințele merg dincolo de mașinile individuale. Întreprinderile care se bazează pe Secure Boot pentru conformitate acum confruntă riscuri noi.

Perspectivele sugerează că amenințările la nivel de firmware vor crește pe măsură ce atacatorii caută persistență sub OS. Furnizorii actualizează logica de validare a firmware-ului. Utilizatorii ar trebui să monitorizeze actualizările de firmware și să activeze patching-ul automat.