本期日期 2026年11月4日
BlackX暴露Windows补丁应对启动阶段攻击的局限
据Ars Technica报道，BlackX在已安装相关补丁的Windows系统上绕过了Secure Boot。这些更新提供了撤销对存在漏洞的旧版启动管理器证书的信任的手段，但仅安装更新并不总能启用这项保护。
法律告知：此内容由人工智能系统生成。 编辑透明度
BlackX案例揭示了Windows补丁安装与启动保护启用之间的差距。据Ars Technica报道，一些组织在安装相关更新后仍遭感染。撤销对存在漏洞的旧版启动管理器证书的信任，仍需要管理员额外采取措施。
安装相关补丁并未能保护遭受BlackX攻击的组织。Ars Technica在十一月3日发表的一篇文章中介绍了这款恶意软件如何在系统安装更新后仍绕过Secure Boot。问题在于，系统仍然信任存在漏洞的旧版启动管理器，而阻止这些组件运行需要在安装补丁后采取额外措施。
Secure Boot会验证启动时运行的软件的数字签名，以防止未经授权的代码加载。BlackX及其前身BlackLotus利用了Windows启动管理器中一个名为Baton Drop、编号为CVE-2022-21894的漏洞。Microsoft于2022年修复了这一漏洞，但没有立即撤销对用于签署存在漏洞的旧版本的证书的信任。因此，这些旧版本仍可被用于绕过保护。
此后的应对措施分阶段推进。2023年，Microsoft引入了新的签名证书。2024年，另一项更新提供了将旧证书加入Secure Boot禁止签名数据库的方法。据Ars Technica报道，感染BlackX的组织已安装这些补丁，但必要的撤销操作并未被自动强制执行。
这一选择是为了应对一个具体风险：在安装新证书之前阻止旧证书，可能导致设备无法启动。但这也意味着管理员还需完成一项额外操作。发现BlackX感染情况的Kaspersky认为，启用这项保护的操作说明不容易找到。据Ars Technica报道，Microsoft则引导客户查阅其文档。
需要准确界定这类攻击的影响范围。植入启动套件的前提是攻击者已先行攻陷设备。此后，它的作用在于能够在Windows的许多防御机制启动之前很早运行，并将恶意驱动程序加载到内核中。如果受感染的启动分区保持不变，它还可能在系统重装后继续存在。文章未明确说明个人用户的情况。
因此，实际运维中的启示不只关乎补丁是否可用。在这一案例中，核实更新已安装，并不能据此认定系统在启动时确实会拒绝存在漏洞的旧组件。这起事件说明，有必要区分漏洞修复、阻止旧版本运行的手段，以及是否真正启用了这种阻止机制，同时也要考虑设备可能因此无法使用的风险。