2023年，被追蹤為BlackLotus的惡意軟體成為首個公開記錄的、能夠在已完全更新的Windows 11系統上繞過安全啟動
機制的野外UEFI引導工具包。由於整個行業範圍內的信任鏈機制遭到顛覆，該惡意軟體能夠在Windows尚未完全加載、許多安全防禦機制尚未運行之前就執行惡意代碼。
微軟早在2022年就已修補了BlackLotus所利用的漏洞。2023年和2024年，微軟又發布了額外的更新檔。第一個更新檔添加了一個新證書，不再信任存在漏洞的引導管理器。第二個更新檔提供了撤銷對簽署舊版本存在漏洞Windows引導管理器所用數字證書的信任的方法。那些被這款被追蹤為BlackX的新引導工具包感染的機構，實際上已經安裝了所有這些更新檔。那麼它們是如何中招的呢？
UEFI引導工具包知識回顧
在進一步討論該事件之前，有必要先簡要回顧一下BlackLotus和UEFI惡意軟體的相關背景。UEFI，全稱統一可擴展固件接口，是電腦開機後立即運行的固件。它的主要職責之一是加載系統配置設置、識別並初始化硬體組件，並為電腦啟動作業系統做好準備。
UEFI的另一項重要功能是安全啟動，這是一項安全特性，通過在允許每一個引導軟體組件執行之前驗證其數位簽名來建立信任鏈。其目的是防止攻擊者——無論是通過物理方式還是通過惡意軟體入侵獲得設備控制權——運行未經授權的引導代碼來替代合法軟體。
必須經過數位簽名的組件之一是引導管理器，它儲存在驅動器上一個專門的小分區中。引導管理器負責作業系統的初始加載。BlackLotus和BlackX都利用了"Baton Drop"漏洞，這是Windows引導管理器中的一個邏輯缺陷，允許攻擊者繞過安全啟動（在特定條件下，還能提取BitLocker加密密鑰）。該漏洞被追蹤為CVE-2022-21894，於2022年被曝光。微軟在同年修復了該漏洞，但並未撤銷對用於簽署舊版本存在漏洞引導管理器的證書的信任。BlackLotus正是利用了這一漏洞缺口，進而加載了一個惡意的核心模式驅動程式。
BlackLotus和BlackX之所以對攻擊者如此有價值，是因為它們能在引導過程的早期階段執行，使其能夠在許多作業系統和安全防禦機制運行之前，將惡意驅動程式加載到Windows核心中。如果沒有專門的安全工具，UEFI引導工具包很難被檢測到，而且如果受感染的引導分區保持完整，它們甚至能在作業系統重裝後依然存活。儘管引導工具包要求攻擊者首先攻陷設備，但由於它們將隱蔽性、持久性與對作業系統的廣泛控制力結合在一起，因此具有特別重要的價值。
BlackLotus的發現標誌著一個重要的里程碑，因為它將能夠繞過安全啟動的引導工具包從一種理論威脅變成了現實威脅。而BlackX能夠實現同樣的壯舉，同樣值得關注。
利用模糊地帶
2023年5月——也就是BlackLotus被發現兩個月後——微軟啟動了一個歷時數年的進程，旨在徹底解決這一漏洞。在2022年修補了底層引導加載程序漏洞之後，微軟在2023年5月發布的一批安全更新中包含了旨在阻止攻擊者加載舊版本存在漏洞引導管理器的安全更新檔。這一緩解措施包括向安全啟動的可信證書資料庫中添加一個新的簽名證書，即Windows UEFI CA 2023。2024年，微軟推出了一項範圍更廣的緩解措施，提供了一種將舊證書Windows Production PCA 2011添加到安全啟動的禁用簽名資料庫中的方法。後一個步驟將阻止使用2011年證書籤名的舊版引導管理器運行。
但正如Ars當時所報道的那樣，這第二個更新檔同樣沒有撤銷對舊版本存在漏洞引導管理器的信任。微軟擔心，如果立即強制執行這些撤銷操作，可能會導致數以百萬計尚未安裝必要更新的設備無法啟動，這種擔憂使其無法立即實施。與大多數更新檔不同，僅憑這些更新本身並不能提供完全的防護。這種懸而未決的狀態一直持續至今，而這正是BlackX得以在BlackLotus出現三年後仍能繞過安全啟動的原因所在。
