Bootkit BlackLotus vượt Secure Boot trên Windows đã vá
"The BlackLotus and BlackX malware families exploited a known vulnerability (CVE-2022-21894) in the Windows boot manager, dubbed 'Baton Drop', to bypass Secure Boot even on fully patched Windows 11 systems. Microsoft patched the underlying vulnerability in 2022 and issued further updates in 2023 and 2024, but did not immediately revoke trust in older vulnerable boot managers due to concerns about rendering devices unbootable. This allowed the bootkits to load malicious code before security defenses were active."
Bootkit UEFI như BlackLotus và BlackX có thể vượt qua Secure Boot, tải mã độc hại vào kernel và tồn tại sau khi cài lại hệ điều hành.
Các doanh nghiệp có thể gặp rủi ro mất dữ liệu, gián đoạn hoạt động và thiệt hại uy tín do các cuộc tấn công UEFI. Việc vá lỗi và cấu hình bảo mật UEFI là vấn đề quan trọng.
Microsoft không thu hồi chứng chỉ cũ, tạo điều kiện cho BlackLotus và BlackX tấn công. Các bootkit này khai thác lỗ hổng 'Baton Drop' (CVE-2022-21894) trong Windows boot manager, cho phép chúng bỏ qua Secure Boot ngay cả trên hệ thống Windows 11 đã cập nhật đầy đủ.
Việc này quan trọng với các kỹ sư và doanh nghiệp Việt Nam vì các bootkit UEFI hoạt động sớm trong quá trình khởi động, tải driver độc hại vào kernel trước khi các biện pháp bảo mật khác có hiệu lực. Chúng khó phát hiện và có thể tồn tại sau khi cài lại hệ điều hành nếu phân vùng boot bị nhiễm.
UEFI (Unified Extensible Firmware Interface) là firmware khởi chạy ngay sau khi bật máy tính. Secure Boot là tính năng bảo mật xác minh chữ ký số của phần mềm boot trước khi thực thi. Cả BlackLotus và BlackX đều lợi dụng 'Baton Drop', một lỗi logic trong Windows boot manager. Microsoft đã vá lỗ hổng này năm 2022, nhưng không thu hồi chứng chỉ ký cho các boot manager cũ vì lo ngại khiến thiết bị không khởi động được.
Kaspersky chỉ ra rằng hướng dẫn kích hoạt bản vá nằm sâu trên trang web Microsoft, khó tìm thấy với quản trị viên IT thông thường. Microsoft khuyến nghị khách hàng làm theo hướng dẫn trong Knowledge Base post. Tuy nhiên, Microsoft không cảnh báo rằng các bản vá hiện tại không bảo vệ khỏi tấn công 'Baton Drop'.
Câu hỏi thường gặp
Lỗ hổng 'Baton Drop' là gì?
Đây là một lỗi logic trong Windows boot manager (CVE-2022-21894) cho phép kẻ tấn công bỏ qua Secure Boot và tải mã độc hại.
BlackLotus và BlackX khác nhau như thế nào?
Cả hai đều là bootkit UEFI khai thác 'Baton Drop', nhưng BlackX là một biến thể mới hơn của BlackLotus.
Microsoft đã làm gì để khắc phục lỗ hổng?
Microsoft đã phát hành bản vá năm 2022, sau đó thêm chứng chỉ mới và cung cấp cách thu hồi chứng chỉ cũ vào năm 2023 và 2024.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Microsoft không thu hồi chứng chỉ cũ ngay lập tức cho thấy sự cân nhắc giữa bảo mật và khả năng tương thích. Doanh nghiệp Việt Nam nên kiểm tra và áp dụng các bản vá mới nhất, đồng thời xem xét các giải pháp bảo mật UEFI chuyên dụng. Điều đáng chú ý là việc triển khai bản vá đòi hỏi thêm bước cấu hình thủ công, có thể bị bỏ qua bởi quản trị viên.