2023 m. kenkėjiška programa BlackLotus tapo pirmuoju viešai dokumentuotu realiomis sąlygomis aptiktu UEFI bootkitu (įkrovos rinkiniu), gebėjusiu apeiti „Secure Boot“ visiškai atnaujintose „Windows 11“ sistemose. Kai buvo pažeistas visos pramonės naudojamas pasitikėjimo grandinės mechanizmas, kenkėjiška programa galėjo vykdyti žalingą kodą dar prieš visiškai įsikraunant „Windows“ ir prieš pradedant veikti daugeliui apsaugos priemonių.
Paaiškinimas: Bootkit yra kenkėjiška programa, įsirašanti į kompiuterio paleidimo grandį ir pasileidžianti anksčiau nei operacinė sistema, todėl ją sunku aptikti ir pašalinti.
„Microsoft“ pataisė BlackLotus išnaudotą spragą dar 2022 m. 2023 ir 2024 m. bendrovė išleido papildomus naujinimus. Pirmasis pridėjo naują sertifikatą, pagal kurį pažeidžiamais įkrovos tvarkytuvais (boot managers) nebebuvo pasitikima. Antrasis suteikė galimybę atšaukti pasitikėjimą skaitmeniniu sertifikatu, naudotu senesniems pažeidžiamiems „Windows“ įkrovos tvarkytuvams pasirašyti. Organizacijos, užkrėstos nauju bootkitu, kuris sekamas pavadinimu BlackX, buvo įdiegusios visus šiuos pataisymus. Tad kaip jos tapo aukomis?
UEFI bootkitų apžvalga
Prieš gilinantis į incidentą, verta trumpai prisiminti, kas yra BlackLotus ir UEFI kenkėjiškos programos. UEFI – Unified Extensible Firmware Interface santrumpa – tai programinė įranga (firmware), veikianti iškart įjungus kompiuterį. Viena pagrindinių jos užduočių – įkelti sistemos konfigūracijos nustatymus, atpažinti ir inicializuoti aparatinės įrangos komponentus bei paruošti kompiuterį operacinės sistemos paleidimui.
Kita svarbi UEFI funkcija – Secure Boot. Tai saugumo funkcija, sukurianti pasitikėjimo grandinę: prieš leisdama paleisti kiekvieną įkrovos programinės įrangos dalį, ji patikrina jos skaitmeninį parašą. Jos paskirtis – neleisti užpuolikams, perėmusiems įrenginio kontrolę fiziškai ar per kenkėjiškos programos įsilaužimą, vietoj teisėtos programinės įrangos paleisti neleistino įkrovos kodo.
Vienas iš elementų, kuris privalo būti pasirašytas skaitmeniniu parašu, yra įkrovos tvarkytuvas – komponentas, saugomas nedideliame specialiame disko skaidinyje. Įkrovos tvarkytuvas atsako už pradinį operacinės sistemos įkėlimą. Tiek BlackLotus, tiek BlackX išnaudoja „Baton Drop“ – „Windows“ įkrovos tvarkytuvo logikos klaidą, leidžiančią užpuolikams apeiti „Secure Boot“ (o tam tikromis sąlygomis ir išgauti „BitLocker“ šifravimo raktus). Pažeidžiamumas, sekamas kaip CVE-2022-21894, paaiškėjo 2022 m. „Microsoft“ tais pačiais metais jį ištaisė, tačiau neatšaukė pasitikėjimo sertifikatu, kuriuo buvo pasirašyti senesni pažeidžiami įkrovos tvarkytuvai. BlackLotus pasinaudojo šia spraga ir toliau įkėlė kenkėjišką branduolio režimo tvarkyklę (driver).
BlackLotus ir BlackX užpuolikams tokie vertingi todėl, kad vykdomi ankstyvoje įkrovos stadijoje ir gali įkelti kenkėjiškas tvarkykles į „Windows“ branduolį dar prieš pradedant veikti daugeliui operacinės sistemos ir saugumo apsaugų. UEFI bootkitus gali būti sunku aptikti be specializuotų saugumo priemonių, be to, jie gali išlikti ir perinstalavus operacinę sistemą, jei užkrėstas įkrovos skaidinys lieka nepaliestas. Nors bootkitams įdiegti užpuolikai pirmiausia turi pažeisti įrenginį, jie ypač vertingi, nes jungia slaptumą, ilgalaikį išlikimą ir plačią operacinės sistemos kontrolę.
BlackLotus aptikimas tapo svarbiu etapu, nes „Secure Boot“ apeinantys bootkitai iš teorinės grėsmės virto realia. Tai, kad BlackX sugeba pasiekti tą patį, yra panašiai reikšminga.
Neaiškumo išnaudojimas
2023 m. gegužę – praėjus dviem mėnesiams po BlackLotus aptikimo – „Microsoft“ pradėjo kelerius metus trunkantį procesą, kurio tikslas – galutinai užverti šią spragą. Dar 2022 m. ištaisiusi pagrindinę įkrovos programos (bootloader) spragą, 2023 m. gegužės pataisymų pakete bendrovė pateikė saugumo naujinimus, kuriais siekta užkirsti kelią užpuolikams įkelti senesnius pažeidžiamus įkrovos tvarkytuvus. Pagal šį planą į „Secure Boot“ patikimų sertifikatų duomenų bazę buvo įtrauktas naujas pasirašymo sertifikatas „Windows UEFI CA 2023“. 2024 m. „Microsoft“ pristatė platesnę apsaugos priemonę, suteikiančią galimybę senąjį sertifikatą „Windows Production PCA 2011“ įtraukti į „Secure Boot“ draudžiamų parašų duomenų bazę. Šis žingsnis neleistų paleisti senesnių įkrovos tvarkytuvų, pasirašytų 2011 m. sertifikatu.
Paaiškinimas: Sertifikato atšaukimas reiškia, kad sistema nebepasitiki juo pasirašytais failais ir jų nebeleidžia paleisti.
Tačiau, kaip tuo metu rašė „Ars Technica“, ir šis antrasis pataisymas neatšaukė pasitikėjimo senesniais pažeidžiamais įkrovos tvarkytuvais. Baimė, kad potencialiai milijonai įrenginių taps nebepaleidžiami, jei negavo reikiamų naujinimų, sutrukdė „Microsoft“ iškart įgyvendinti atšaukimus. Skirtingai nei daugelis pataisymų, vien naujinimai visiškos apsaugos nesuteikė. Ši neapibrėžta būsena tęsiasi iki šiol ir būtent ji leido BlackX apeiti „Secure Boot“ praėjus trejiems metams po BlackLotus.
„Ši pataisymų diegimo praktika kelia problemą, nes sistemų administratoriams labai neįprasta atlikti papildomus veiksmus įdiegus naujinimą“, – neseniai rašė BlackX infekcijas aptikusios saugumo bendrovės „Kaspersky“ tyrėjas. – „Paprastai, taikydami pataisymus, sistemų administratoriai jokių tolesnių veiksmų neatlieka, nebent įvyksta diegimo klaida. Šios pataisymo aktyvinimo instrukcijos paslėptos giliai „Microsoft“ svetainėje, ir manome, kad vidutiniam IT administratoriui jas pastebėti gana sunku.“
„Microsoft“ atstovas el. laišku teigė, kad bendrovė klientams pataria vadovautis šiame žinyno (Knowledge Base) įraše pateiktomis rekomendacijomis, paskelbtomis prieš dvi savaites. Tačiau nė vienoje jo vietoje „Microsoft“ neįspėja, kad iki šiol išleisti pataisymai nieko neduoda apsaugant klientus nuo „Baton Drop“ atakų.
Kaip pažymi „Kaspersky“, „Microsoft“ nutyli, kad įdiegę pataisymus daugelis administratorių turi atlikti dar vieną veiksmą, aprašytą šiame 2023 m. Knowledge Base straipsnyje. (Iš šio straipsnio neaišku, kokia yra namų „Windows“ naudotojų padėtis.)
BlackX incidentas pabrėžia sudėtingą balansavimą, kurį privalo atlikti „Microsoft“. Jei raktas atšaukiamas dar neįdiegus naujojo, kompiuteris tampa beveik brangiu popieriaus prispaudėju. Jei senuoju pataisymu leidžiama pasitikėti ketverius metus ir dar ilgiau, sėkmingas išnaudojimas tampa beveik neišvengiamas. Atrodytų, kad aukso vidurys būtų „Microsoft“ aiškesnis kalbėjimas apie riziką, kylančią, kai 2011 m. sertifikatas neatšaukiamas rankiniu būdu. Praėjusią savaitę paskelbtas Knowledge Base straipsnis būtų buvęs ideali vieta tai padaryti, nors tai labai tikėtina, kad būtų pasitarnavę grėsmių vykdytojams.
„Tikėtina, kad už šios kampanijos stovintis grėsmės vykdytojas atsižvelgė į tai, jog nedaugelis organizacijų suprato, kaip svarbu rankiniu būdu aktyvinti „Baton Drop“ pataisymą“, – teigė „Kaspersky“. – „Todėl manome, kad jis nusprendė investuoti laiko, kad suprastų, kaip veikia BlackLotus, ir sukurtų šio bootkito kopiją.“
