Microsoft Secure Boot взломали много лет назад, но никто не заметил

Корпорация отозвала проблемные сертификаты только сейчас.

Исследователи ESET обнаружили уязвимость в системе Microsoft Secure Boot, обеспечивающую защиту ПК от буткитов. Оказалось, защита была взломана много лет назад и оставалась уязвимой.

Несколько старых загрузочных компонентов Secure Boot с известными уязвимостями продолжали считаться доверенными, поскольку Microsoft не отозвала их цифровые подписи. Самый ранний из найденных файлов появился в 2013 году.

Речь идет о промежуточных загрузчиках, созданных для поддержки Secure Boot в Linux и сторонних приложениях. Злоумышленник мог использовать старый, но все еще подписанный файл, чтобы нарушить цепочку доверия UEFI и запустить неподписанный либо вредоносный код еще до старта операционной системы.

По оценке ESET, атака не требует высокой квалификации: достаточно получить копию уязвимого загрузчика и иметь базовое представление о загрузочном процессе UEFI. После обхода защиты вредоносная прошивка способна пережить переустановку Windows или Linux и даже замену накопителя.

Microsoft отозвала сертификаты этих компонентов только в июньском пакете обновлений, после обращения ESET и CERT. Компания пока не объяснила, почему некоторые уязвимые компоненты сохраняли действующие подписи более 10 лет.

Пользователи Windows, установившие июньские обновления безопасности, могут чувствовать себя в безопасности. Пользователям Linux рекомендуется проверить статус прошивки через Linux Vendor Firmware Service.