완전 패치 Windows에 UEFI 부트킷 감염
원제: UEFI bootkit infected fully patched Windows machines. Is Microsoft to blame?
왜 중요한가
완전 패치 환경에서도 UEFI 부트킷이 동작한다는 사실은 기업 보안 정책의 근본적 재검토를 요구한다.
2026년 11월, 보안 연구자들이 모든 패치를 적용한 Windows 11 시스템을 감염시킨 새로운 UEFI 부트킷 'BlackX'를 발견했다. BlackX는 2022년 공개된 CVE-2022-21894(Baton Drop) 취약점을 악용하며, Microsoft가 Secure Boot 보호 조치를 완전히 적용하지 않은 공백을 파고든다.
BlackX는 2023년 등장한 BlackLotus의 계보를 잇는 UEFI 부트킷이다. 두 악성코드 모두 Windows 부트 매니저의 논리적 결함인 'Baton Drop'(CVE-2022-21894)을 이용해 Secure Boot를 우회한다. 이 취약점은 2022년 처음 공개됐고, Microsoft는 같은 해 패치를 배포했다.
문제는 패치 이후의 조치에 있다. Microsoft는 2023년 취약한 부트 매니저를 더 이상 신뢰하지 않는 새 인증서를 추가했고, 2024년에는 구형 취약 부트 매니저에 서명된 디지털 인증서의 신뢰를 철회하는 업데이트를 제공했다. 그러나 BlackX에 감염된 조직들은 이 모든 패치를 설치한 상태였다.
UEFI는 컴퓨터 부팅 직후 실행되는 펌웨어로, Secure Boot는 각 부트 소프트웨어의 디지털 서명을 검증해 신뢰 체인을 구성하는 보안 기능이다. 부트킷은 OS 및 보안 솔루션이 활성화되기 전 악성 드라이버를 Windows 커널에 주입할 수 있어 탐지가 어렵고, OS를 재설치해도 감염된 부트 파티션이 남아 있으면 생존한다. Ars Technica는 Microsoft가 Secure Boot 보호 적용 범위를 명확히 하지 않은 점이 이번 사태의 핵심 원인이라고 지적했다.