ВЫПУСК ОТ 3 НОЯБРЯ 2026 Г.
BlackX обходит Secure Boot даже после установки исправлений Windows
По данным Ars Technica, организации были заражены BlackX, хотя установили соответствующие исправления. Проблема связана с защитой, требующей дополнительной активации: старые уязвимые диспетчеры загрузки сохраняли доверие системы.
Правовое уведомление: этот материал создан системой искусственного интеллекта. Редакционная прозрачность
BlackX демонстрирует сложность развёртывания защиты Windows: даже после установки исправления важную меру защиты может требоваться активировать отдельно. По данным Ars Technica, организации столкнулись с обходом Secure Boot, хотя установили соответствующие обновления. В основе проблемы лежит отзыв старых сертификатов.
Установки соответствующих исправлений Windows оказалось недостаточно для защиты организаций, пострадавших от BlackX, сообщает Ars Technica. Эта вредоносная программа обходит Secure Boot — механизм проверки подписей компонентов, выполняемых при запуске системы. Инцидент показывает разрыв между доступностью меры безопасности и её фактическим применением на устройствах.
BlackX и BlackLotus используют уязвимость диспетчера загрузки Windows, обозначенную как CVE-2022-21894. Microsoft исправила эту уязвимость в 2022 году. Однако исправление не отменило доверие к сертификату, которым подписывались старые уязвимые диспетчеры загрузки. Поэтому их подпись могла по-прежнему приниматься, несмотря на наличие исправленной версии программного обеспечения.
Затем Microsoft начала поэтапно внедрять защиту. В 2023 году обновление добавило новый сертификат подписи. В 2024 году другая мера предоставила возможность поместить старый сертификат в базу запрещённых подписей Secure Boot. По данным Ars Technica, организации, заражённые BlackX, установили эти обновления, но отзыв сертификата не применялся автоматически.
Такое поэтапное развёртывание было связано с конкретным риском: слишком ранний отзыв старого сертификата мог помешать запуску устройств, на которых отсутствовали необходимые обновления. Этот компромисс позволял сохранить непрерывность работы, но оставлял администраторам дополнительное действие для завершения настройки защиты. В данном случае одной проверки установки исправлений было недостаточно, чтобы установить, что защита активна.
Kaspersky, обнаружившая заражения BlackX, критикует то, насколько легко найти инструкции по активации. Исследователь компании, которого цитирует Ars Technica, считает, что их трудно обнаружить в документации Microsoft. В ответ на запрос Microsoft направляет клиентов к своим техническим инструкциям. При этом статья не проясняет ситуацию домашних пользователей Windows.
Потенциальные последствия связаны с тем, на каком этапе действуют эти программы. Они могут загружать вредоносные драйверы до запуска многих защитных механизмов системы. Они также могут сохраняться после переустановки операционной системы, если заражённый загрузочный раздел остаётся нетронутым. Однако для их установки требуется предварительная компрометация устройства.
Таким образом, практический урок этого инцидента касается проверки фактически применённых мер защиты. Когда обновление подготавливает отзыв сертификата, но не активирует его, установка обновления и завершение настройки защиты представляют собой разные этапы. Задача состоит в том, чтобы достаточно ясно объяснить это различие администраторам, учитывая при этом риск блокировки запуска устройств.