即使已安装 Windows 补丁，BlackX 仍能绕过 Secure Boot

据 Ars Technica 报道，安装相关 Windows 补丁并未能保护遭 BlackX 感染的组织。这款恶意软件能够绕过 Secure Boot，该机制负责验证启动时运行的组件的签名。这起事件凸显了安全措施可供使用与其在设备上实际生效之间的差距。

BlackX 和 BlackLotus 利用了 Windows 启动管理器中编号为 CVE-2022-21894 的漏洞。Microsoft 已于 2022 年修复这一漏洞。然而，该修复并未撤销对旧版易受攻击的启动管理器所用签名证书的信任。因此，即便设备上已有修复后的软件版本，旧版启动管理器的签名仍可能被接受。

Microsoft 随后开始分阶段实施保护措施。2023 年的一次更新添加了新的签名证书。2024 年的另一项措施则提供了将旧证书加入 Secure Boot 禁止签名数据库的方法。据 Ars Technica 报道，遭 BlackX 感染的组织已安装这些更新，但证书吊销并未被自动强制执行。

这种渐进式部署是为了应对一个具体风险：过早吊销旧证书，可能导致尚未安装必要更新的设备无法启动。因此，这一折中方案保障了运行的连续性，同时也要求管理员采取额外操作，才能完成安全防护。在这种情况下，仅检查补丁是否已安装，无法确定保护措施是否已经生效。

发现 BlackX 感染的 Kaspersky 批评了启用说明不够醒目的问题。Ars Technica 援引该公司一名研究人员的观点称，这些说明很难在 Microsoft 的文档中找到。Microsoft 在回应询问时，引导客户查阅其技术指南。不过，该报道并未明确家庭 Windows 用户所处的情况。

潜在后果与这些恶意软件介入的时机有关。它们可以在系统的许多防御措施启动之前加载恶意驱动程序。如果受感染的启动分区保持不变，它们也可能在操作系统重装后继续存在。不过，安装这类恶意软件仍需先攻陷设备。

因此，这起事件在运维方面的启示是，需要核验实际生效的保护措施。当一项更新只是为吊销证书做好准备，却未启用吊销时，安装更新和完成防护就是两个不同的步骤。难点在于，既要向管理员足够明确地说明这一区别，也要兼顾设备可能无法启动的风险。