Foto di Egor Komarov.

Un nuovo bootkit UEFI chiamato BlackX è riuscito a compromettere sistemi Windows completamente aggiornati sfruttando una vulnerabilità nota da anni e, in realtà, già corretta da Microsoft. Il problema nfatti non risiede tanto nell'assenza di una patch, quanto nel fatto che la protezione completa richiede passaggi aggiuntivi che molte organizzazioni non hanno eseguito, lasciando aperta una breccia sfruttata dagli aggressori. La scoperta arriva dai ricercatori di Kaspersky, che hanno individuato BlackX in operazioni di spionaggio mirate contro organizzazioni diplomatiche dell'Asia centrale. Secondo le analisi, il malware rappresenta un'evoluzione di BlackLotus, il primo bootkit UEFI osservato in natura capace di aggirare Secure Boot su sistemi Windows 11 completamente aggiornati.

Per comprendere la portata della minaccia è necessario partire dal ruolo di UEFI, il firmware che entra in funzione immediatamente dopo l'accensione del computer. Tra i suoi compiti figura l'esecuzione di Secure Boot, una tecnologia che verifica le firme digitali dei componenti coinvolti nell'avvio del sistema operativo, creando una catena di fiducia (trust chain) che impedisce l'esecuzione di codice non autorizzato nelle primissime fasi dell'avvio del computer. BlackX sfrutta una debolezza nota come Baton Drop, identificata come CVE-2022-21894: la vulnerabilità interessa il gestore di avvio di Windows e consente di aggirare i controlli di Secure Boot. In determinate condizioni può inoltre facilitare l'estrazione delle chiavi di cifratura di BitLocker. Microsoft ha corretto il difetto nel 2022, ma la semplice installazione della patch non si è rivelata sufficiente per eliminare completamente il rischio.

Dopo la comparsa di BlackLotus nel 2023, Microsoft ha introdotto ulteriori mitigazioni. Una prima serie di aggiornamenti ha aggiunto un nuovo certificato destinato a sostituire quelli collegati ai componenti vulnerabili. Successivamente è stata fornita la possibilità di revocare la fiducia nei certificati utilizzati per firmare le vecchie versioni del gestore di avvio di Windows. Tuttavia questa seconda misura non è stata applicata automaticamente ai sistemi. È proprio questo dettaglio ad aver consentito a BlackX di avere successo: le organizzazioni colpite avevano installato gli aggiornamenti distribuiti da Microsoft nel 2022, nel 2023 e nel 2024, ma non avevano completato la procedura necessaria per revocare manualmente la fiducia nei vecchi certificati vulnerabili. Di conseguenza il malware ha potuto sfruttare componenti di avvio ancora considerati attendibili dal sistema.

I ricercatori di Kaspersky hanno osservato che questa modalità di distribuzione delle correzioni è inconsueta. In una dichiarazione riportata nell'analisi tecnica, hanno spiegato: «Questa pratica di distribuzione delle patch crea un problema, perché è estremamente insolito che un amministratore di sistema debba compiere ulteriori operazioni dopo aver installato un aggiornamento. Normalmente, dopo l'applicazione delle patch non vengono richieste altre azioni, salvo in caso di errori d'installazione». Secondo gli stessi ricercatori, le istruzioni necessarie per completare la protezione risultano difficili da individuare e sono distribuite in documentazione tecnica separata. L'ipotesi formulata dagli analisti è che gli autori di BlackX abbiano compreso che pochissime organizzazioni avevano realmente attivato la mitigazione completa, decidendo così di investire nello sviluppo di una variante derivata da BlackLotus.

Spunti di approfondimento:

Windows 11 e Secure Boot: cosa succede davvero se si ignora la scadenza di giugn...

Windows 11 in tilt dopo l'aggiornamento di aprile

Aggiornamento critico per Windows 11: il Secure Boot riceve nuovi certificati di...

La Cina presenta UBIOS, il firmware che sostituirà BIOS e UEFI rafforzando ...

Dal punto di vista operativo, BlackX rappresenta una minaccia particolarmente insidiosa perché entra in azione prima del caricamento completo di Windows. Ciò consente di installare componenti malevoli direttamente nel nucleo del sistema operativo prima che molti strumenti di difesa siano attivi. Una volta ottenuto questo livello di accesso, gli aggressori possono mantenere la persistenza sulla macchina compromessa, ostacolare il funzionamento di alcuni programmi di sicurezza e controllare il sistema per lunghi periodi. Le indagini di Kaspersky indicano inoltre che gli operatori della campagna utilizzavano il bootkit come punto di partenza per attività di cyber-spionaggio. I dati sottratti vengono successivamente trasferiti attraverso servizi cloud ampiamente diffusi come Google Drive, OneDrive e Yandex Disk, una scelta che permette di mascherare il traffico malevolo all'interno di comunicazioni apparentemente legittime.

La vicenda evidenzia un problema che accompagna Microsoft da diversi anni: il difficile equilibrio tra sicurezza e compatibilità. Revocare immediatamente la fiducia nei vecchi componenti di avvio avrebbe potuto rendere inutilizzabili milioni di sistemi non adeguatamente aggiornati; però, lasciare validi quei certificati per anni ha finito per offrire agli aggressori una finestra di opportunità molto più lunga del previsto. Il caso BlackX, insomma, non dimostra che le patch Microsoft fossero inefficaci. Piuttosto mette in luce come una protezione disponibile ma non attivata completamente possa tradursi, nella pratica, in sistemi apparentemente aggiornati ma ancora vulnerabili. Ed è proprio questa zona grigia tra aggiornamento installato e mitigazione effettivamente attiva ad aver reso possibile il ritorno di una minaccia che molti ritenevano ormai archiviata.

Spunti di approfondimento:

AMD, bug quasi irrisolvibile in milioni di processori

AMD, un fusibile spione dice se la CPU è stata overcloccata

Microsoft avvisa: attenzione all'aggiornamento KB501270

Lenovo, milioni di portatili vulnerabili per colpa di una distrazione