UEFI bootkit BlackX смог заразить компьютеры с полностью обновлённой Windows, хотя Microsoft выпускала исправления для использованной уязвимости ещё в 2022 году. Проблема оказалась не в отсутствии патчей, а в том, что критически важную часть защиты администраторам нужно включать отдельно — и об этом легко не узнать. Для российских ИБ-команд это неприятное напоминание: отчёт об успешной установке обновлений не всегда означает, что риск действительно закрыт.
Как сообщает Ars Technica, BlackX использует ошибку Baton Drop в Windows Boot Manager, известную как CVE-2022-21894. Атака позволяет обойти Secure Boot — механизм, который при старте ПК проверяет цифровые подписи загрузочных компонентов и не должен допускать запуск чужого кода. Если цепочка доверия скомпрометирована ещё до старта ОС, злоумышленник получает преимущество над многими средствами защиты Windows: вредоносный драйвер может быть загружен в ядро раньше, чем успеют заработать привычные защитные инструменты.
Предшественником BlackX был BlackLotus — первый публично задокументированный UEFI-руткит, который в 2023 году применялся против полностью обновлённых систем Windows 11 с включённым Secure Boot. Тогда стало ясно, что исправить собственно ошибку в новом загрузчике недостаточно. Старые, уязвимые версии Windows Boot Manager всё ещё имели действительную подпись Microsoft. Атакующий мог подложить такую версию и использовать её как легитимный пропуск через Secure Boot.
Microsoft закрыла исходную уязвимость в 2022 году. В мае 2023-го компания начала долгую миграцию на новый сертификат Windows UEFI CA 2023, который не доверяет старым проблемным загрузчикам. В 2024 году появился механизм, позволяющий добавить прежний сертификат Windows Production PCA 2011 в список запрещённых подписей Secure Boot. Именно его отзыв должен окончательно лишить старые уязвимые загрузчики права на запуск.
Но автоматического отзыва по умолчанию не произошло. Причина вполне приземлённая: если запретить старый сертификат до того, как устройство получило совместимые обновления, оно может перестать загружаться. Для корпоративного парка из тысяч машин такой сценарий быстро превращается в дорогой и очень шумный инцидент. Поэтому Microsoft оставила администраторам возможность активировать защиту самостоятельно. По оценке исследователей «Лаборатории Касперского», обнаруживших заражения BlackX, именно на это и рассчитывали авторы вредоноса: немногие организации понимали, что после установки обновлений нужен ещё один шаг.
Инструкции по активации находятся в документации Microsoft, но новая статья базы знаний, на которую компания направляет клиентов, прямо не предупреждает: установленные обновления сами по себе не защищают от Baton Drop. Это важная деталь не только для Windows-администраторов. Патч-менеджмент часто измеряют процентом установок и отсутствием ошибок развёртывания. В истории с BlackX оба показателя могут выглядеть образцово, а доверие к старому сертификату всё равно остаётся включённым.
UEFI bootkit BlackX особенно опасен своей живучестью. Он работает на раннем этапе загрузки, скрытнее обычного вредоносного ПО и способен пережить переустановку ОС, если заражённый загрузочный раздел не был очищен. При этом для атаки злоумышленнику сначала нужно скомпрометировать устройство — это не удалённый эксплойт, который заражает парк одним кликом. Но после первичного доступа такой инструмент даёт атакующим устойчивость, контроль и шанс обойти часть привычной телеметрии.
Практический вывод для IT-директоров и ИБ-команд прост: проверить надо не только наличие обновлений Windows, но и фактический статус отзыва старого сертификата Secure Boot в парке. Развёртывать такую меру разумно поэтапно, предварительно инвентаризировав загрузочные компоненты и подготовив сценарий восстановления для несовместимых машин. История BlackLotus уже показала цену затянувшегося перехода, а UEFI bootkit BlackX подтвердил, что трёхлетняя зона неопределённости достаточно велика, чтобы в ней выросла рабочая копия известной атаки.
