در سال ۲۰۲۳، بوط‌کیت (bootkit) موسوم به BlackLotus به عنوان اولین بوط‌کیت UEFI مستند شده در دنیای واقعی شناخته شد که قادر بود مکانیزم Secure Boot را در سیستم‌های کاملاً به‌روزرسانی شده ویندوز ۱۱ دور بزند. با زیر پا گذاشتن زنجیره اعتماد (chain-of-trust)، این بدافزار قادر است پیش از بارگذاری کامل سیستم‌عامل و فعال شدن لایه‌های دفاعی، کدهای مخرب خود را اجرا کند.
ظهور BlackX و چالش مدیریت آسیب‌پذیری‌ها
در حالی که مایکروسافت آسیب‌پذیری مورد استفاده BlackLotus را در سال ۲۰۲۲ وصله کرده بود، اکنون با ظهور بدافزار جدیدی به نام BlackX، سازمان‌هایی که تمامی وصله‌ها را نصب کرده بودند نیز هدف قرار گرفته‌اند. این موضوع نشان‌دهنده یک شکاف امنیتی در فرآیند مدیریت اعتبار (Revocation) است.
آسیب‌پذیری اصلی که هر دو بدافزار BlackLotus و BlackX از آن بهره می‌برند، نقص منطقی در مدیریت بوت ویندوز موسوم به “Baton Drop” (با شناسه CVE-2022-21894) است. این نقص به مهاجم اجازه می‌دهد تا Secure Boot را دور زده و در شرایط خاص، کلیدهای رمزنگاری BitLocker را نیز استخراج کند.
چرا وصله‌ها کافی نبودند؟
مایکروسافت برای مقابله با این تهدید، فرآیند پیچیده‌ای را آغاز کرد که شامل افزودن گواهی‌های جدید (Windows UEFI CA 2023) و تلاش برای لغو اعتبار گواهی‌های قدیمی (Windows Production PCA 2011) بود. با این حال، یک چالش بزرگ وجود داشت: لغو فوری اعتبار گواهی‌های قدیمی می‌توانست منجر به عدم توانایی میلیون‌ها دستگاه برای بوت شدن (Boot) شود.
به همین دلیل، مایکروسافت لغو اعتبار را به صورت خودکار انجام نداد و مدیران سیستم باید مراحل اضافی را به صورت دستی انجام می‌دادند. طبق گزارش کارشناسان Kaspersky، این دستورالعمل‌ها در وب‌سایت مایکروسافت بسیار دشوار یافت می‌شوند و اکثر مدیران IT از انجام این گام‌های دستی پس از نصب وصله، بی‌اطلاع هستند.
خطرات و پایداری بدافزار
- اجرای زودهنگام: بوط‌کیت‌ها در مراحل اولیه فرآیند بوت اجرا می‌شوند، پیش از آنکه بسیاری از ابزارهای امنیتی سیستم‌عامل فعال شوند.
- پایداری بالا (Persistence): این بدافزارها می‌توانند حتی پس از نصب مجدد سیستم‌عامل (OS Reinstallation)، در صورت سالم ماندن پارتیشن بوت، همچنان فعال باقی بمانند.
- کنترل سطح هسته: امکان بارگذاری درایورهای مخرب در سطح هسته (Kernel-mode driver) و کنترل گسترده بر سیستم‌عامل.
این حادثه نشان می‌دهد که در مواجهه با تهدیدات سطح UEFI، صرفاً نصب وصله‌های خودکار کافی نیست و مدیریت دقیق فرآیند لغو اعتبار گواهی‌ها (Certificate Revocation) برای جلوگیری از حملات Baton Drop حیاتی است.
