Ein als BlackX bekanntes UEFI-Bootkit infizierte laut dem wiederhergestellten Bericht Organisationen, auf denen vollständig gepatchte Windows-Systeme liefen. Der Vorfall wirft Fragen zum Umgang von Microsoft mit den Secure-Boot-Schutzmaßnahmen auf, da die betroffenen Organisationen die 2022, 2023 und 2024 veröffentlichten Updates installiert hatten.

BlackX folgt auf BlackLotus, das 2023 zum ersten öffentlich dokumentierten UEFI-Bootkit wurde, das in freier Wildbahn beobachtet wurde und Secure Boot auf vollständig aktualisierten Windows-11-Systemen umgehen konnte. Durch die Kompromittierung der Vertrauenskette kann solche Schadsoftware ausgeführt werden, bevor Windows vollständig geladen ist und viele seiner Sicherheitsmaßnahmen aktiv sind.

Die Bootkits nutzen eine Schwachstelle im Windows-Bootmanager namens „Baton Drop“ aus, die als CVE-2022-21894 geführt wird. Die Sicherheitslücke ermöglicht es Angreifern, Secure Boot zu umgehen und unter bestimmten Umständen BitLocker-Verschlüsselungsschlüssel auszulesen. Microsoft behob die Schwachstelle 2022, doch durch die Korrektur wurde das Vertrauen in das Zertifikat, mit dem ältere, verwundbare Bootmanager signiert wurden, nicht widerrufen.

Microsoft veröffentlichte später zwei weitere Updates. Mit einem wurde ein Zertifikat eingeführt, das den verwundbaren Bootmanagern nicht mehr vertraute; das andere bot eine Möglichkeit, das Vertrauen in das digitale Zertifikat zu widerrufen, mit dem diese signiert wurden. Dennoch hatten die von BlackX betroffenen Organisationen diese Updates installiert, heißt es in dem Bericht.

Die UEFI-Firmware wird beim Start eines Computers ausgeführt, initialisiert die Hardware und bereitet das System darauf vor, sein Betriebssystem zu laden. Secure Boot soll die digitalen Signaturen der Bootsoftware, einschließlich des Bootmanagers, überprüfen, bevor diese ausgeführt werden darf. Laut dem Bericht ermöglichte die Lücke zwischen der Behebung der Schwachstelle und dem Entzug des Vertrauens in ältere, signierte Bootmanager BlackLotus, das Problem auszunutzen und einen bösartigen Kernelmodustreiber zu laden.

Quellen: Ars Technica.