Se pensavate che dopo aver installato l’ultimo aggiornamento di Windows il vostro sistema fosse una fortezza inespugnabile, beh, ho una brutta notizia per voi: siete solo dei sognatori.
È appena emerso che un nuovo bootkit, battezzato BlackX, sta facendo il giro delle macchine Windows con una facilità che farebbe invidia a un hacker di serie B. La cosa assurda? Non serve un exploit magico che buca il kernel o una vulnerabilità zero-day nel browser. Il problema sta nelle fondamenta, proprio lì dove il software incontra l’hardware, nel regno oscuro dell’UEFI.
Per chi non mastica bit a colazione, il bootkit si insinua nel processo di avvio. Prima ancora che il sistema operativo carichi i driver, prima ancora che il vostro antivirus abbia il tempo di fare un respiro, BlackX è già lì, invisibile, a presidiare la macchina. È come se qualcuno avesse cambiato la serratura della vostra porta blindata mentre eravate in vacanza, e la nuova chiave fosse in mano a un estraneo.
Ma qui arriva la parte che fa bollire il sangue a chiunque ami la trasparenza. La notizia solleva un dubbio enorme sulla gestione del Secure Boot da parte di Microsoft. Sembra che ci sia un bel po’ di nebbia intorno a come vengono gestiti i certificati e le protezioni. In pratica, BlackX sfrutta proprio questa mancanza di chiarezza e questa gestione opaca dei processi di autenticazione. È quel classico scenario in cui le regole sono scritte in un linguaggio che solo pochi possono capire, lasciando delle zone d’ombra dove il malware può annidarsi senza destare sospetti.
Certo, per noi che viviamo in Italia e spesso ci sentiamo spettatori passivi delle decisioni prese nei campus di Redmond, questa è la solita solfa. Ci dicono che tutto è sicuro, che il sistema è ‘fully patched’, e poi scopriamo che il perimetro di sicurezza è un colabrodo perché la gestione delle chiavi è un labirinto di ambiguità.
Non è la prima volta che una gestione troppo centralizzata e poco trasparente dei processi di boot crea dei buchi enormi. Il problema non è solo la vulnerabilità in sé, ma l’impossibilità di verificare realmente cosa stia succedendo sotto il cofano. Se non puoi fidarti della catena di fiducia perché nessuno sa esattamente quali pezzi siano sotto controllo, allora la fiducia è solo un’altra parola di marketing.
Quindi, prossimamente, quando vedrete quell’avviso di aggiornamento critico, non pensate che risolva tutto. Tenete sempre d’occhio i log (se riuscite a trovarli) e, se potete, cercate di capire cosa sta effettivamente girando sotto il vostro OS. Perché in questo mondo di scatole nere, l’unica vera difesa è la consapevolezza di ciò che stiamo facendo girare sui nostri circuiti.
Source: UEFI bootkit infected fully patched Windows machines. Is Microsoft to blame?