Un kit de arranque UEFI conocido como BlackX infectó organizaciones que utilizaban sistemas Windows con todos los parches instalados, según el informe recuperado. El incidente plantea dudas sobre la gestión de las protecciones de Secure Boot por parte de Microsoft, ya que las organizaciones afectadas habían instalado las actualizaciones publicadas en 2022, 2023 y 2024.
BlackX sigue los pasos de BlackLotus, que en 2023 se convirtió en el primer kit de arranque UEFI documentado públicamente que se observó en circulación y que eludía Secure Boot en sistemas Windows 11 totalmente actualizados. Al comprometer la cadena de confianza, este tipo de malware puede ejecutarse antes de que Windows se haya cargado por completo y antes de que muchas de sus defensas de seguridad estén activas.
Los kits de arranque explotan un fallo del gestor de arranque de Windows denominado «Baton Drop», identificado como CVE-2022-21894. La vulnerabilidad permite a los atacantes eludir Secure Boot y, en algunas circunstancias, extraer las claves de cifrado de BitLocker. Microsoft corrigió el fallo en 2022, pero la solución no revocó la confianza en el certificado utilizado para firmar los gestores de arranque vulnerables más antiguos.
Más adelante, Microsoft publicó otras dos actualizaciones. Una introdujo un certificado que dejó de confiar en los gestores de arranque vulnerables; otra ofreció una forma de revocar la confianza en el certificado digital utilizado para firmarlos. Sin embargo, según el informe, las organizaciones afectadas por BlackX habían instalado estas actualizaciones.
El firmware UEFI se ejecuta cuando se inicia una computadora, inicializa el hardware y prepara el sistema para cargar el sistema operativo. Secure Boot está diseñado para verificar las firmas digitales del software de arranque, incluido el gestor de arranque, antes de permitir su ejecución. El informe señala que la brecha entre corregir el fallo y eliminar la confianza en los antiguos gestores de arranque firmados permitió a BlackLotus explotar el problema y cargar un controlador malicioso en modo kernel.
Fuentes: Ars Technica.