2023年，被追踪为BlackLotus的恶意软件成为首个公开记录的、能够在已完全更新的Windows 11系统上绕过安全启动机制的野外UEFI引导工具包。由于整个行业范围内的信任链机制遭到颠覆，该恶意软件能够在Windows尚未完全加载、许多安全防御机制尚未运行之前就执行恶意代码。
微软早在2022年就已修补了BlackLotus所利用的漏洞。2023年和2024年，微软又发布了额外的更新补丁。第一个补丁添加了一个新证书，不再信任存在漏洞的引导管理器。第二个补丁提供了撤销对签署旧版本存在漏洞Windows引导管理器所用数字证书的信任的方法。那些被这款被追踪为BlackX的新引导工具包感染的机构，实际上已经安装了所有这些补丁。那么它们是如何中招的呢？
UEFI引导工具包知识回顾
UEFI的另一项重要功能是安全启动，这是一项安全特性，通过在允许每一个引导软件组件执行之前验证其数字签名来建立信任链。其目的是防止攻击者——无论是通过物理方式还是通过恶意软件入侵获得设备控制权——运行未经授权的引导代码来替代合法软件。
BlackLotus和BlackX之所以对攻击者如此有价值，是因为它们能在引导过程的早期阶段执行，使其能够在许多操作系统和安全防御机制运行之前，将恶意驱动程序加载到Windows内核中。如果没有专门的安全工具，UEFI引导工具包很难被检测到，而且如果受感染的引导分区保持完整，它们甚至能在操作系统重装后依然存活。尽管引导工具包要求攻击者首先攻陷设备，但由于它们将隐蔽性、持久性与对操作系统的广泛控制力结合在一起，因此具有特别重要的价值。
BlackLotus的发现标志着一个重要的里程碑，因为它将能够绕过安全启动的引导工具包从一种理论威胁变成了现实威胁。而BlackX能够实现同样的壮举，同样值得关注。
利用模糊地带
2023年5月——也就是BlackLotus被发现两个月后——微软启动了一个历时数年的进程，旨在彻底解决这一漏洞。在2022年修补了底层引导加载程序漏洞之后，微软在2023年5月发布的一批安全更新中包含了旨在阻止攻击者加载旧版本存在漏洞引导管理器的安全补丁。这一缓解措施包括向安全启动的可信证书数据库中添加一个新的签名证书，即Windows UEFI CA 2023。2024年，微软推出了一项范围更广的缓解措施，提供了一种将旧证书Windows Production PCA 2011添加到安全启动的禁用签名数据库中的方法。后一个步骤将阻止使用2011年证书签名的旧版引导管理器运行。
但正如Ars当时所报道的那样，这第二个补丁同样没有撤销对旧版本存在漏洞引导管理器的信任。微软担心，如果立即强制执行这些撤销操作，可能会导致数以百万计尚未安装必要更新的设备无法启动，这种担忧使其无法立即实施。与大多数补丁不同，仅凭这些更新本身并不能提供完全的防护。这种悬而未决的状态一直持续至今，而这正是BlackX得以在BlackLotus出现三年后仍能绕过安全启动的原因所在。
