ВЫПУСК ОТ 4 НОЯБРЯ 2026 Г.
BlackX выявляет ограничения исправлений Windows при защите от атак на этапе загрузки
По данным Ars Technica, BlackX обошёл Secure Boot в системах Windows, на которых были установлены соответствующие исправления. Обновления позволяют отозвать доверие к сертификату старых уязвимых диспетчеров загрузки, но их установки не всегда достаточно для активации этой защиты.
Правовое уведомление: этот материал создан системой искусственного интеллекта. Редакционная прозрачность
Случай BlackX выявляет разрыв между установкой исправлений и активацией защиты при загрузке Windows. По данным Ars Technica, организации были заражены, несмотря на соответствующие обновления. Для отзыва доверия к сертификату старых уязвимых диспетчеров загрузки по-прежнему требуется дополнительное вмешательство администраторов.
Установки соответствующих исправлений оказалось недостаточно для защиты организаций, пострадавших от BlackX. В статье, опубликованной 3 ноября, Ars Technica описывает, как эта вредоносная программа обошла Secure Boot, несмотря на обновления. Проблема связана с тем, что старые уязвимые диспетчеры загрузки по-прежнему считаются доверенными, а для их блокировки после установки исправлений требуется дополнительное действие.
Secure Boot проверяет цифровые подписи программ, выполняемых при запуске, чтобы предотвратить загрузку несанкционированного кода. BlackX и его предшественник BlackLotus используют уязвимость диспетчера загрузки Windows, известную как Baton Drop и зарегистрированную под номером CVE-2022-21894. Microsoft исправила эту уязвимость в 2022 году, но не сразу отозвала доверие к сертификату, которым были подписаны старые уязвимые версии. Поэтому их по-прежнему можно было использовать для обхода защиты.
Дальнейшие меры принимались поэтапно. В 2023 году Microsoft представила новый сертификат подписи. В 2024 году другое обновление предоставило средства для внесения старого сертификата в базу запрещённых подписей Secure Boot. По данным Ars Technica, организации, заражённые BlackX, установили эти исправления, но необходимый отзыв доверия не был применён автоматически.
Такое решение связано с конкретным риском: блокировка старого сертификата до установки нового может лишить компьютер возможности загружаться. Однако из-за этого администраторам приходится выполнять дополнительную операцию. Kaspersky, обнаружившая заражения BlackX, считает, что инструкции по активации этой защиты трудно найти. Microsoft, со своей стороны, направляет клиентов к своей документации, сообщает Ars Technica.
Важно точно обозначить возможности атаки. Использование буткита предполагает, что злоумышленники уже скомпрометировали устройство. Его преимущество заключается в последующем запуске на очень раннем этапе, до многих защитных механизмов Windows, и загрузке вредоносных драйверов в ядро. Он также может сохраниться после переустановки системы, если заражённый загрузочный раздел останется нетронутым. В статье ситуация с частными пользователями чётко не разъясняется.
Практический вывод поэтому выходит за рамки доступности исправления. В данном случае проверка установки обновлений не позволяет заключить, что старые уязвимые компоненты действительно блокируются при загрузке. Инцидент показывает необходимость различать исправление уязвимости, наличие средств блокировки старых версий и фактическое включение этой блокировки, учитывая при этом риск сделать компьютеры неработоспособными.