BlackX bootkit ने पैच्ड Windows को भी संक्रमित किया
मूल शीर्षक: UEFI bootkit infected fully patched Windows machines. Is Microsoft to blame?
यह क्यों महत्वपूर्ण है
यह घटना दिखाती है कि patches जारी करना और उन्हें प्रभावी बनाना दो अलग काम हैं — firmware-level malware के लिए यह फर्क जानलेवा है।
UEFI bootkit BlackX ने पूरी तरह अपडेट Windows 11 सिस्टम को संक्रमित किया। यह CVE-2022-21894 खामी का फायदा उठाता है, जिसे Microsoft ने 2022 में पैच किया था, लेकिन पुराने boot managers का trust पूरी तरह रद्द नहीं हुआ।
2023 में BlackLotus पहला सार्वजनिक रूप से दर्ज UEFI bootkit बना था जो fully patched Windows 11 पर Secure Boot को bypass कर सकता था। अब उसी परिवार का नया bootkit BlackX सामने आया है — और यह उन संगठनों को भी संक्रमित कर चुका है जिन्होंने Microsoft के सभी संबंधित patches लगाए थे।
दोनों malware एक logic flaw 'Baton Drop' (CVE-2022-21894) का उपयोग करते हैं। यह खामी Windows boot manager में है और Secure Boot bypass के साथ-साथ कुछ परिस्थितियों में BitLocker encryption keys भी उजागर कर सकती है। Microsoft ने 2022 में यह vulnerability patch की, 2023 में एक नया certificate जारी किया जो पुराने vulnerable boot managers पर भरोसा नहीं करता, और 2024 में पुराने certificates को revoke करने का mechanism दिया।
समस्या यह है कि Microsoft की Secure Boot protection के बारे में स्पष्टता की कमी के चलते organizations को यह पता नहीं चला कि patches लगाने के बाद भी revocation को manually सक्रिय करना जरूरी था। BlackX Windows kernel में malicious driver load करता है — OS पूरी तरह चालू होने से पहले। इससे यह अधिकांश security tools की पकड़ से बाहर रहता है। OS reinstall के बाद भी यदि infected boot partition बना रहे तो bootkit जीवित रह सकता है।