Microsoft lanzó un parche para corregir una vulnerabilidad relacionada con el arranque seguro, utilizada por el bootkit BlackLotus. La vulnerabilidad original, identificada como CVE-2022-21894, fue corregida en enero de 2023, pero un nuevo parche para la vulnerabilidad CVE-2023-24932 aborda otra solución alternativa explotada activamente. Esta corrección afecta a sistemas que ejecutan Windows 10 y 11, así como versiones de Windows Server desde Windows Server 2008.
El bootkit BlackLotus elude las protecciones de arranque seguro
El bootkit BlackLotus es el primer malware conocido que puede eludir las protecciones de arranque seguro. Esto permite la ejecución de código malicioso antes de que la PC inicie Windows y sus protecciones de seguridad. El arranque seguro ha sido habilitado por defecto en la mayoría de las PCs con Windows vendidas por compañías como Dell, Lenovo, HP, Acer y otras durante más de una década. Las PCs que ejecutan Windows 11 deben tenerlo habilitado para cumplir con los requisitos del sistema.
La vulnerabilidad puede ser explotada por atacantes con acceso físico o derechos de administrador
Microsoft indica que la vulnerabilidad puede ser explotada por un atacante con acceso físico a un sistema o con derechos de administrador. Puede afectar tanto a PCs físicas como a máquinas virtuales que tengan el arranque seguro habilitado.
La solución requiere cambios irreversibles en el gestor de arranque
Destacamos la nueva corrección porque, a diferencia de muchas actualizaciones de Windows de alta prioridad, la actualización se desactivará por defecto durante al menos unos meses después de su instalación. Además, eventualmente hará que los medios de arranque actuales de Windows no puedan iniciarse. La solución requiere cambios en el administrador de arranque de Windows que no pueden revertirse una vez habilitados.
Microsoft implementará la actualización en fases
Para evitar que los sistemas de los usuarios no se puedan iniciar repentinamente, Microsoft implementará la actualización en fases durante los próximos meses. La versión inicial del parche requiere una intervención sustancial del usuario para habilitarse: primero debe instalar las actualizaciones de seguridad de mayo, luego usar un proceso de cinco pasos para aplicar y verificar manualmente un par de «archivos de revocación» que actualizan la partición de arranque EFI oculta. Esto hará que las PCs ya no confíen en las versiones más antiguas y vulnerables del gestor de arranque.
Una tercera actualización habilitará la solución por defecto
Seguirá una segunda actualización en julio que no habilitará el parche de forma predeterminada, pero lo hará más fácil de habilitar. Una tercera actualización en el «primer trimestre de 2024» habilitará la solución de forma predeterminada y hará que los medios de arranque más antiguos no se puedan iniciar en todas las PCs con Windows parcheadas. Microsoft dice que está «buscando oportunidades para acelerar este cronograma», aunque no está claro qué implicaría eso.
Otras vulnerabilidades relacionadas con el arranque seguro
Esta solución no es el único incidente de seguridad reciente que destaca las dificultades de parchear las vulnerabilidades de arranque seguro y UEFI de bajo nivel. El fabricante de computadoras y placas base MSI recientemente filtró sus claves de firma en un ataque de ransomware, y no hay una manera simple para que la compañía le diga a sus productos que no confíen en las actualizaciones de firmware firmadas con la clave comprometida.