🤡 Сегодня у нас поучительная история о вере в патчи от Microsoft. Несколько лет назад (2022) по сети гулял легендарный UEFI-буткит BlackLotus, который вертел Secure Boot на одном месте. Но с тех пор дыру залатали и можно спать спокойно. Но сейчас, ВНЕЗАПНО, случилась реинкарнация и появился буткит BlackX. Но как 0-day из 2022 года работает на полностью пропатченных системах в 2026 🤔? А вот тут начинается золотой фонд костылестроения имени Гейтса. Microsoft действительно выпустили патч. Но они побоялись, что отзыв старого сертификата окирпичит системы с Dual-Boot. Поэтому решили оставить активацию патча... ручной 🙂 То есть кто-то накатил все обновы, увидел зеленую галочку и закрыл таску. А по факту, чтобы защита сработала, нужно было еще прописать ключи в реестре (HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot) и пнуть шедулер на создание таски Secure-Boot-Update. Инструкция к этому квесту была зарыта где-то на десятой странице документации на сайте MS. Естественно, 99.9% сисадминов планеты просто нажали обновить и ушли пить... кофэ. Хакеры поняли, что мир полон таких "пропатченных" машин, чьи двери всё ещё открыты нараспашку. Получив права локального админа (через фишинг или другие дыры), хакеры кидают на диск инсталлятор. Дальше начинается магия... буткит юзает древнюю уязвимость Baton Drop (CVE-2022-21894), в систему подгружаются кастомные ключи MOK (Machine Owner Keys). Secure Boot отдыхает. В ядро падает драйвер с подписью какой-то мутной конторы, который глушит телеметрию антивирусов. Закрепившись в UEFI, малварь подменяет DLL у googleupdate.exe. Команды троян получает через API Google Drive, OneDrive и Яндекс.Диска. Трафик выглядит как обычная синхронизация корпоративных документов. Типичный 🥸 Сисадмин