Un bootkit UEFI noto come BlackX ha infettato organizzazioni che utilizzavano sistemi Windows completamente aggiornati, secondo il rapporto recuperato. L’incidente solleva interrogativi su come Microsoft abbia gestito le protezioni di Secure Boot, dato che le organizzazioni colpite avevano installato gli aggiornamenti rilasciati nel 2022, 2023 e 2024.

BlackX segue BlackLotus, che nel 2023 è diventato il primo bootkit UEFI documentato pubblicamente e osservato in circolazione a eludere Secure Boot su sistemi Windows 11 completamente aggiornati. Compromettendo la catena di fiducia, malware di questo tipo può essere eseguito prima che Windows abbia completato il caricamento e prima che molte delle sue difese di sicurezza siano attive.

I bootkit sfruttano una vulnerabilità del gestore di avvio di Windows chiamata “Baton Drop”, identificata con il codice CVE-2022-21894. La vulnerabilità consente agli aggressori di aggirare Secure Boot e, in determinate circostanze, di estrarre le chiavi di crittografia di BitLocker. Microsoft ha corretto la vulnerabilità nel 2022, ma la correzione non ha revocato la fiducia nel certificato utilizzato per firmare i gestori di avvio più vecchi e vulnerabili.

In seguito, Microsoft ha rilasciato altri due aggiornamenti. Il primo ha introdotto un certificato che non considerava più attendibili i gestori di avvio vulnerabili; il secondo ha fornito un modo per revocare la fiducia nel certificato digitale utilizzato per firmarli. Eppure, secondo il rapporto, le organizzazioni colpite da BlackX avevano installato questi aggiornamenti.

Il firmware UEFI si avvia quando si accende un computer, inizializza l’hardware e prepara il sistema a caricare il sistema operativo. Secure Boot è progettato per verificare le firme digitali dei software di avvio, compreso il gestore di avvio, prima di consentirne l’esecuzione. Secondo il rapporto, la lacuna tra la correzione della vulnerabilità e la rimozione della fiducia nei gestori di avvio firmati più vecchi ha consentito a BlackLotus di sfruttare il problema e caricare un driver dannoso in modalità kernel.

Fonti: Ars Technica.