Bootkitul BlackX și capcana Secure Boot: ce trebuie să știe firmele

Securitatea cibernetică a devenit o provocare din ce în ce mai complexă, iar o simplă actualizare de sistem nu mai este o garanție absolută că afacerea voastră este în siguranță. În activitatea noastră de zi cu zi alături de clienți, observăm des o falsă încredere în actualizările automate. La Activ.NET, lucrăm îndeaproape cu firmele din Arad pentru a le proteja infrastructura, iar noile descoperiri din domeniul securității confirmă că detaliile tehnice ignorate pot costa scump. Descoperirea recentei amenințări numite BlackX subliniază tocmai acest aspect: vulnerabilitățile vechi și configurările neaplicate manual lasă uși deschise pentru atacatori sofisticați.

#Ce s-a întâmplat

Potrivit cercetărilor publicate de Kaspersky, un nou bootkit UEFI denumit BlackX a fost utilizat într-o campanie de spionaj cibernetic care a vizat agenții diplomatice din Asia Centrală. Atacul a exploatat o vulnerabilitate cunoscută sub numele de Baton Drop (identificată cu codul CVE-2022-21894), legată de o metodă de ocolire a funcției Secure Boot descoperită inițial la faimosul BlackLotus. BlackX folosește implementări similare pentru a înregistra chei personalizate MOK și pentru a încărca fișiere EFI arbitrare.

Ceea ce este deosebit de interesant în cazul BlackX este că toate victimele analizate foloseau sisteme Windows complet actualizate. Motivul pentru care atacul a reușit este o lacună în procesul de actualizare: patch-ul pentru vulnerabilitatea Baton Drop necesită o acțiune manuală din partea administratorilor pentru a revoca efectiv certificatul vulnerabil „Windows Production PCA 2011”, o procedură pe care majoritatea echipelor IT o omit deoarece nu se aplică automat.

#Impact pentru firme

Pentru o companie mică sau mijlocie, un atac bazat pe un bootkit la nivel de UEFI reprezintă un coșmar greu de detectat. Odată ce atacatorii ajung la acest nivel, malware-ul poate rula înainte ca sistemul de operare și soluția antivirus tradițională să pornească. Driverul malițios folosit de BlackX este configurat să dezactiveze procese de securitate și să blocheze mecanismele de monitorizare din Windows atunci când detectează soluții de securitate cunoscute.

Riscul financiar și operațional este major. Timpul pierdut cu investigarea unui incident de securitate de o asemenea amploare, oprirea activității și riscul de exfiltrare a datelor confidențiale pot afecta grav continuitatea unei afaceri. Deși multe dintre aceste campanii debutează împotriva unor ținte specifice, tehnicile utilizate sunt rapid preluate și adaptate de grupări cibernetice motivate financiar.

#Recomandări concrete

Pentru a evita situațiile în care actualizările nu își ating scopul din cauza unor pași manuali omiși, recomandăm administratorilor și departamentelor IT să ia următoarele măsuri imediate:

1. Verificați manual revocarea certificatelor vulnerabile asociate CVE-2022-21894 pe toate stațiile de lucru și serverele din rețea, urmând ghidurile oficiale Microsoft.
2. Implementați o politică strictă de audit și monitorizare prin care să verificați periodic starea efectivă a funcției Secure Boot pe echipamentele din companie.
3. Apelați la servicii profesioniste de Administrare servere și mentenanță preventivă pentru a vă asigura că actualizările de firmware și BIOS sunt aplicate corect, nu doar cele de sistem de operare.

#Concluziile noastre

La Activ.NET, credem că securitatea IT nu se rezumă doar la instalarea unui antivirus și bifarea unui update automat. Complexitatea amenințărilor actuale cere o atenție sporită asupra detaliilor de configurare și o expertiză tehnică solidă. Dacă aveți nevoie de un partener de încredere pentru infrastructura voastră din Arad sau din țară, echipa noastră vă stă la dispoziție cu servicii complete de Service IT pentru firme și audit de securitate.

Inspirat din: BleepingComputer