BlackLotus มัลแวร์ที่ถูกติดตาม กลายเป็น UEFI bootkit ตัวแรกที่ถูกบันทึกในโลกจริงว่าสามารถข้าม Secure Boot ในระบบ Windows 11 ที่ได้รับการอัปเดตอย่างสมบูรณ์ได้
เมื่อกลไกห่วงโซ่แห่งความเชื่อถือของอุตสาหกรรมถูกบ่อนทำลาย มัลแวร์นี้สามารถรันโค้ดที่เป็นอันตรายได้ก่อนที่ Windows จะโหลดจนเสร็จและก่อนที่มาตรการรักษาความปลอดภัยหลายอย่างจะทำงานเต็มที่
Microsoft ได้ทำการแพตช์ช่องโหว่ที่ BlackLotus ใช้ไปแล้วในปี 2022 และได้ออกอัปเดตเพิ่มเติมในปี 2023 และ 2024 เพื่อเพิ่มใบรับรองใหม่ที่ไม่เชื่อถือ boot manager ที่มีช่องโหว่ และเพื่อให้สามารถเพิกถอนความเชื่อถือในใบรับรองดิจิทัลที่ใช้ลงนาม boot manager ของ Windows รุ่นเก่าที่มีช่องโหว่
องค์กรที่ติดเชื้อด้วย bootkit ใหม่ ซึ่งถูกติดตามภายใต้ชื่อ BlackX เหล่านั้น ได้ติดตั้งแพตช์ทั้งหมดแล้ว แต่พวกเขาก็ยังตกเป็นเหยื่อ จึงเกิดคำถามว่าพวกเขาตกเป็นเหยื่อได้อย่างไร
ทบทวน UEFI bootkit
ก่อนจะลงรายละเอียดของเหตุการณ์นี้ จำเป็นต้องทบทวนเกี่ยวกับ BlackLotus และมัลแวร์ UEFI โดยย่อ
UEFI ย่อมาจาก Unified Extensible Firmware Interface ซึ่งเป็นเฟิร์มแวร์ที่ทำงานทันทีหลังจากคอมพิวเตอร์เปิดขึ้น โดยมีหน้าที่หลักคือการโหลดการตั้งค่าระบบ การระบุและเริ่มต้นส่วนประกอบฮาร์ดแวร์ และเตรียมคอมพิวเตอร์เพื่อเริ่มระบบปฏิบัติการ
ศัพท์ที่ควรรู้
- UEFI – Unified Extensible Firmware Interface คือเฟิร์มแวร์ที่ทำงานทันทีเมื่อคอมพิวเตอร์เปิดเครื่อง
- Bootkit – มัลแวร์ที่โจมตีในระดับเฟิร์มแวร์ก่อนที่ระบบปฏิบัติการจะโหลด
- Secure Boot – กลไกด้านความปลอดภัยที่ป้องกันการโหลดซอฟต์แวร์ที่ไม่ได้รับอนุญาตระหว่างการบูต
- BlackLotus/BlackX – ชื่อที่ใช้ติดตามมัลแวร์ที่ใช้โจมตีในเหตุการณ์นี้
ที่มา: Ars Technica