Νέο κακόβουλο λογισμικό UEFI παρακάμπτει πλήρως ενημερωμένα Windows: Οι ευθύνες της Microsoft

Μια νέα εξελιγμένη κυβερνοαπειλή φέρνει ξανά στο προσκήνιο τα τρωτά σημεία στην ασφάλεια των λειτουργικών συστημάτων της Microsoft. Το κακόβουλο λογισμικό τύπου UEFI bootkit, με την ονομασία BlackX, κατάφερε να μολύνει υπολογιστές με Windows 11 οι οποίοι διέθεταν όλες τις απαραίτητες ενημερώσεις ασφαλείας, παρακάμπτοντας τον μηχανισμό Secure Boot. Το περιστατικό εγείρει σοβαρά ερωτήματα σχετικά με τον τρόπο διαχείρισης και εφαρμογής των ενημερώσεων από τον τεχνολογικό κολοσσό.

Από το BlackLotus στο BlackX: Η ανατομία μιας επικίνδυνης απειλής

Το 2023, η εμφάνιση του BlackLotus αποτέλεσε σημείο καμπής στον τομέα της κυβερνοασφάλειας, καθώς ήταν το πρώτο καταγεγραμμένο UEFI bootkit που παρέκαμψε στην πράξη το Secure Boot. Το Secure Boot αποτελεί θεμελιώδη δικλίδα ασφαλείας, σχεδιασμένη να επαληθεύει την ψηφιακή υπογραφή κάθε στοιχείου λογισμικού εκκίνησης πριν την εκτέλεσή του, αποτρέποντας την εισαγωγή μη εξουσιοδοτημένου κώδικα.

Τόσο το BlackLotus όσο και το νεότερο BlackX εκμεταλλεύονται την ευπάθεια «Baton Drop» (CVE-2022-21894), ένα λογικό σφάλμα στον διαχειριστή εκκίνησης (boot manager) των Windows. Το στοιχείο αυτό επιτρέπει στους επιτιθέμενους να φορτώσουν κακόβουλους οδηγούς απευθείας στον πυρήνα (kernel) του συστήματος, πριν καν τεθούν σε λειτουργία οι άμυνες του λειτουργικού και τα προγράμματα προστασίας. Επιπλέον, το λογισμικό μπορεί να παραμείνει στο σύστημα ακόμη και μετά από επανεγκατάσταση των Windows, υπό την προϋπόθεση ότι το διαμέρισμα εκκίνησης παραμένει ανέπαφο.

Το παράδοξο των ενημερώσεων και το κενό προστασίας

Παρότι η Microsoft διόρθωσε την αρχική ευπάθεια το 2022 και κυκλοφόρησε πρόσθετες ενημερώσεις το 2023 και το 2024 για την ανανέωση των ψηφιακών πιστοποιητικών, τα συστήματα που δέχθηκαν επίθεση από το BlackX είχαν εγκαταστήσει όλα τα σχετικά πακέτα. Το πρόβλημα έγκειται στο γεγονός ότι οι ενημερώσεις αυτές δεν ενεργοποιούσαν αυτόματα την ανάκληση εμπιστοσύνης για τα παλαιότερα, ευάλωτα πιστοποιητικά.

Η εταιρεία πρόσθεσε το νέο πιστοποιητικό «Windows UEFI CA 2023» και παρείχε τη δυνατότητα ένταξης του παλαιότερου «Windows Production PCA 2011» στη λίστα απαγορευμένων υπογραφών. Ωστόσο, υπό τον φόβο ότι εκατομμύρια υπολογιστές παγκοσμίως θα καθίσταντο ανίκανοι να εκκινήσουν σε περίπτωση που δεν είχαν ενημερωθεί πλήρως, η Microsoft δεν επέβαλε την ανάκληση αυτόματα. Έτσι, δημιουργήθηκε ένα ιδιότυπο καθεστώς αναμονής, το οποίο άφησε ανοιχτή την κερκόπορτα για νέες επιθέσεις.

Η κριτική για τις περίπλοκες διαδικασίες διαχείρισης

Ειδικοί ασφαλείας από την Kaspersky, η οποία εντόπισε τις μολύνσεις του BlackX, άσκησαν έντονη κριτική στην τακτική που ακολούθησε η Microsoft. Όπως επισημαίνουν, οι διαχειριστές συστημάτων (IT administrators) είθισται να θεωρούν ότι η εγκατάσταση ενός επίσημου patch ολοκληρώνει τη θωράκιση του συστήματος, εκτός αν υπάρξει κάποιο σφάλμα κατά τη διαδικασία.

Στη συγκεκριμένη περίπτωση, οι οδηγίες για την πλήρη ενεργοποίηση της προστασίας και τον αποκλεισμό του παλαιού πιστοποιητικού απαιτούσαν πρόσθετες, χειροκίνητες ενέργειες, οι οποίες βρίσκονταν καταγεγραμμένες βαθιά στην τεχνική τεκμηρίωση της εταιρείας. Το περιστατικό υπογραμμίζει το λεπτό όριο ανάμεσα στη συμβατότητα των συστημάτων και την αποτελεσματική ασφάλεια, υπενθυμίζοντας ότι ακόμη και τα πλήρως ενημερωμένα λειτουργικά συστήματα απαιτούν ενδελεχή έλεγχο των πολιτικών ασφαλείας τους.