Um bootkit UEFI conhecido como BlackX infectou organizações que executavam sistemas Windows totalmente corrigidos, de acordo com o relatório recuperado. O incidente levanta questões sobre a forma como a Microsoft lidou com as proteções do Secure Boot, uma vez que as organizações afetadas haviam instalado as atualizações lançadas em 2022, 2023 e 2024.
O BlackX vem na sequência do BlackLotus, que, em 2023, se tornou o primeiro bootkit UEFI documentado publicamente e observado em circulação a contornar o Secure Boot em sistemas Windows 11 totalmente atualizados. Ao comprometer a cadeia de confiança, esse tipo de malware pode ser executado antes de o Windows terminar de carregar e antes de muitas de suas defesas de segurança serem ativadas.
Os bootkits exploram uma falha no gerenciador de inicialização do Windows chamada “Baton Drop”, rastreada como CVE-2022-21894. A vulnerabilidade permite que invasores contornem o Secure Boot e, em algumas circunstâncias, extraiam chaves de criptografia do BitLocker. A Microsoft corrigiu a falha em 2022, mas a correção não revogou a confiança no certificado usado para assinar gerenciadores de inicialização antigos e vulneráveis.
Posteriormente, a Microsoft lançou mais duas atualizações. Uma introduziu um certificado que deixou de confiar nos gerenciadores de inicialização vulneráveis; outra ofereceu uma forma de revogar a confiança no certificado digital usado para assiná-los. Ainda assim, segundo o relatório, as organizações afetadas pelo BlackX haviam instalado essas atualizações.
O firmware UEFI é executado quando um computador é iniciado, inicializando o hardware e preparando o sistema para carregar o sistema operacional. O Secure Boot foi concebido para verificar as assinaturas digitais dos programas de inicialização, incluindo o gerenciador de inicialização, antes de permitir que sejam executados. Segundo o relatório, a lacuna entre corrigir a falha e remover a confiança em gerenciadores de inicialização antigos assinados permitiu que o BlackLotus explorasse o problema e carregasse um driver malicioso em modo kernel.
Fontes: Ars Technica.