BlackX: UEFI-Bootkit umgeht Secure Boot trotz aktueller Windows-Updates

Sicherheitsforscher beobachten einen neuen UEFI-Bootkit namens BlackX, der vollständig aktualisierte Windows-Systeme kompromittiert und dabei den Sicherheitsmechanismus Secure Boot aushebelt. Berichten von IT-Sicherheitsportalen zufolge nutzt die Schadsoftware eine bekannte Schwachstelle aus, um sich tief im System zu verankern, noch bevor reguläre Abwehrmechanismen des Betriebssystems greifen können.

Rückgriff auf bekannte Schwachstelle im Bootmanager

BlackX setzt bei seinen Angriffen auf die Schwachstelle CVE-2022-21894, die auch unter der Bezeichnung Baton Drop bekannt ist. Dabei handelt es sich um einen Logikfehler im Windows-Bootmanager. Dieser ermöglicht es Angreifern, Secure Boot zu umgehen und unter bestimmten Voraussetzungen auch BitLocker-Schlüssel zu extrahieren.

Microsoft hatte die Lücke CVE-2022-21894 bereits im Jahr 2022 mit einem Patch versehen, damals jedoch die Zertifikate für ältere, weiterhin anfällige Bootmanager nicht umgehend für ungültig erklärt.

In den Jahren 2023 und 2024 stellte das Unternehmen weitere Updates bereit. Diese umfassten ein neues Zertifikat, das verwundbare Bootmanager nicht mehr als vertrauenswürdig einstuft, sowie die technische Möglichkeit, das Vertrauen in Zertifikate älterer Bootmanager manuell zu widerrufen.

Dennoch waren von BlackX betroffene Organisationen kompromittiert worden, obwohl auf deren Systemen alle verfügbaren Aktualisierungen eingespielt waren. Eine Analyse des Sicherheitsunternehmens Kaspersky verweist darauf, dass die Schadsoftware keine neu entdeckte Sicherheitslücke ausnutzt, sondern auf ältere Komponenten zurückgreift, die vom System weiterhin als vertrauenswürdig anerkannt werden.

Ein Klick auf den falschen Link oder eine unbemerkte Sicherheitslücke im Bootmanager reicht oft schon aus, um den eigenen Rechner zu gefährden. Dieser kostenlose Report zeigt Ihnen, wie Sie den bereits integrierten Windows Defender richtig einstellen, um Ihr System optimal abzusichern. Experten-Anleitung für optimalen Virenschutz ohne Zusatzkosten

Manipulation vor dem Start der Sicherheitssoftware

Da BlackX in einer sehr frühen Phase des Systemstarts agiert, kann der Bootkit bösartige Kernel-Treiber laden, noch bevor die Windows-eigenen Abwehrdienste überhaupt aktiv sind. Die Schadsoftware weist zudem eine hohe Persistenz auf: Selbst eine vollständige Neuinstallation des Betriebssystems übersteht das Schadprogramm, sofern die infizierte Boot-Partition während des Vorgangs unberührt bleibt.

Bei den bisher registrierten Vorfällen handelte es sich bei BlackX allerdings nicht um den primären Zugangsvektor. Die Angreifer verfügten demnach bereits im Vorfeld über Administratorrechte auf den Zielsystemen. Der Bootkit diente in einer späteren Angriffsphase dazu, die bereits erlangte Position dauerhaft abzusichern und tief im System zu verankern.

Historisch folgt BlackX damit einem Muster, das bereits 2023 mit BlackLotus sichtbar wurde, dem ersten öffentlich dokumentierten UEFI-Bootkit, der Secure Boot auf voll aktualisierten Windows-11-Systemen in freier Wildbahn überwinden konnte.

Wer sich mit der Sicherheit seines Betriebssystems befasst, merkt schnell, wie komplex der Schutz vor Viren und Trojanern sein kann. In diesem kostenlosen PDF-Ratgeber erfahren Sie, wie Sie die wichtigsten Sicherheitseinstellungen Ihres PCs selbst vornehmen. Jetzt kostenlosen PDF-Report von Manfred Kratzl herunterladen

Kritik an komplexer manueller Absicherung

Kaspersky übte deutliche Kritik an den bestehenden Schutzmaßnahmen. Administratoren müssten nach der reinen Installation der Patches eigenhändig zusätzliche Schritte ausführen, um ältere Bootmanager vollständig zu blockieren. Die entsprechenden Anleitungen seien jedoch schwer zugänglich auf den Webseiten von Microsoft hinterlegt.

Microsoft wiederum verwies auf eine zwei Wochen zuvor publizierte Anleitung in der eigenen Knowledge Base. Allerdings enthalte diese Dokumentation keine ausdrückliche Warnung darüber, dass die regulären Software-Patches allein keinen ausreichenden Schutz vor Angriffen nach dem Baton-Drop-Muster gewährleisten.