Un bootkit UEFI connu sous le nom de BlackX a infecté des organisations utilisant des systèmes Windows entièrement à jour, selon le rapport retrouvé. L’incident soulève des questions sur la manière dont Microsoft gère les protections de Secure Boot, puisque les organisations concernées avaient installé les mises à jour publiées en 2022, 2023 et 2024.
BlackX fait suite à BlackLotus, qui est devenu en 2023 le premier bootkit UEFI documenté publiquement et observé dans la nature à contourner Secure Boot sur des systèmes Windows 11 entièrement à jour. En compromettant la chaîne de confiance, ce type de logiciel malveillant peut s’exécuter avant le chargement complet de Windows et avant l’activation de bon nombre de ses défenses de sécurité.
Les bootkits exploitent une faille du gestionnaire de démarrage Windows appelée « Baton Drop », répertoriée sous le numéro CVE-2022-21894. Cette vulnérabilité permet aux attaquants de contourner Secure Boot et, dans certaines circonstances, d’extraire les clés de chiffrement BitLocker. Microsoft a corrigé la faille en 2022, mais le correctif n’a pas révoqué la confiance accordée au certificat utilisé pour signer les anciens gestionnaires de démarrage vulnérables.
Microsoft a ensuite publié deux autres mises à jour. La première a introduit un certificat qui n’accordait plus sa confiance aux gestionnaires de démarrage vulnérables ; l’autre a fourni un moyen de révoquer la confiance accordée au certificat numérique utilisé pour les signer. Pourtant, selon le rapport, les organisations touchées par BlackX avaient installé ces mises à jour.
Le micrologiciel UEFI s’exécute au démarrage de l’ordinateur, initialise le matériel et prépare le système au chargement de son système d’exploitation. Secure Boot est conçu pour vérifier les signatures numériques des logiciels de démarrage, notamment celles du gestionnaire de démarrage, avant d’autoriser leur exécution. Selon le rapport, le délai entre la correction de la faille et la suppression de la confiance accordée aux anciens gestionnaires de démarrage signés a permis à BlackLotus d’exploiter le problème et de charger un pilote malveillant en mode noyau.
Sources: Ars Technica.