บูตคิท UEFI หลุดเข้าระบบแม้แพตช์ครบ ชี้ช่องโหว่ห่วงโซ่ความเชื่อถือของ Windows

บทความของ Ars Technica อธิบายกรณีที่มัลแวร์ระดับเฟิร์มแวร์ประเภท UEFI bootkit สามารถติดตั้งและทำงานได้บนเครื่อง Windows ที่อัปเดตแพตช์ครบแล้ว โดยเหตุการณ์นี้เชื่อมโยงกับสายพันธุ์ที่นักวิจัยติดตามในชื่อ BlackLotus และเวอร์ชันต่อเนื่องที่ใช้ชื่อ BlackX ซึ่งสะท้อนว่าการป้องกันของระบบยังมีจุดอ่อนในระดับก่อนที่ระบบปฏิบัติการจะเริ่มทำงานจริง

BlackLotus เคยถูกระบุว่าเป็น UEFI bootkit รายแรก ๆ ที่พบในสภาพแวดล้อมจริงและสามารถเลี่ยง Secure Boot บน Windows 11 ที่อัปเดตล่าสุดได้ การโจมตีประเภทนี้น่ากังวลเป็นพิเศษ เพราะมันแทรกตัวในช่วงบูตของเครื่อง ทำให้โค้ดอันตรายเริ่มทำงานก่อนที่ Windows และเครื่องมือความปลอดภัยจำนวนมากจะโหลดขึ้นมา ส่งผลให้ผู้โจมตีมีโอกาสซ่อนตัวและควบคุมเครื่องได้ลึกกว่ามัลแวร์ทั่วไป

ในเชิงเทคนิค Microsoft เคยแก้ช่องโหว่หลักที่ถูกใช้โจมตีไปตั้งแต่ปี 2022 จากนั้นยังออกมาตรการเพิ่มเติมในปี 2023 และ 2024 เพื่อปิดเส้นทางเดิมให้มากขึ้น ไม่ว่าจะเป็นการเพิ่มใบรับรองใหม่ที่ไม่เชื่อถือ boot manager รุ่นที่มีปัญหา หรือการยกเลิกความน่าเชื่อถือของใบรับรองที่ใช้เซ็นชื่อ boot manager รุ่นเก่าซึ่งมีช่องโหว่ ความพยายามเหล่านี้มีเป้าหมายเพื่อทำลายห่วงโซ่การบูตที่ถูกบิดเบือน

อย่างไรก็ตาม เหยื่อในเหตุการณ์ล่าสุดติดตั้งอัปเดตเหล่านั้นแล้ว แต่ก็ยังถูกเจาะได้ บทความจึงตั้งคำถามว่าเหตุใดเครื่องที่ดูเหมือนป้องกันครบถ้วนจึงยังตกเป็นเป้าหมายได้ คำตอบเบื้องต้นชี้ว่าปัญหาอาจไม่ได้อยู่แค่การแพตช์ช่องโหว่เดิมเท่านั้น แต่อาจเกี่ยวกับวิธีจัดการความเชื่อถือของส่วนประกอบบูตเก่า การบังคับใช้มาตรการเพิกถอนใบรับรอง และความซับซ้อนของระบบ UEFI ที่ทำให้การปิดช่องโจมตีต้องอาศัยทั้งผู้ผลิต ระบบปฏิบัติการ และผู้ดูแลระบบร่วมกัน

กรณีนี้จึงสะท้อนบทเรียนสำคัญว่า “อัปเดตครบ” ไม่ได้แปลว่า “ปลอดภัยสมบูรณ์” เสมอไป โดยเฉพาะเมื่อเป็นภัยคุกคามระดับเฟิร์มแวร์ที่อยู่ลึกกว่าระบบปฏิบัติการ และอาศัยความไว้วางใจในโครงสร้างการบูตของเครื่องเป็นหลัก เหตุการณ์ยังเป็นสัญญาณเตือนให้วงการความปลอดภัยต้องให้ความสำคัญกับการจัดการ Secure Boot, การเพิกถอนคีย์เก่า และการตรวจสอบความสมบูรณ์ของเฟิร์มแวร์อย่างต่อเนื่องมากขึ้น