更新済みの Windows でも UEFI ブートキットは入る：古い起動用証明書を失効させる（BlackX 事例）
Windows を最新に保っていても、脆弱な古いブートマネージャーを読み込める限りブートキットは仕込める。防ぐには「Windows Production PCA 2011」を Secure Boot の失効リスト（DBX）に入れる必要があり、事前準備をしてから行う。
何が起きたか
- Kaspersky の報告で、中央アジアの外交機関の、更新適用済み Windows 端末に UEFI ブートキット「BlackX」が設置されていた。攻撃者は管理者権限を得た後、既知の脆弱性「Baton Drop」（CVE-2022-21894）を悪用した。
- BlackX は起動時の検証に使う独自の鍵（Machine Owner Key）を登録し、任意の EFI ファイルを読み込めるようにする。BlackLotus とよく似た実装。
- 証明書の有効期限切れだけでは、脆弱なコンポーネントの読み込みは止まらない。
失効の進め方（Microsoft の現行手順の要点）
- 新しい証明書と、それに対応するブートマネージャーが適用されていることを確認する。
- 回復メディアを新しいものに作り直しておく。
- BitLocker を使っている端末は、回復キーを保管しておく。
- 機種ごとに事前検証してから、「Windows Production PCA 2011」を DBX に追加する。
- 失効後は、その証明書で署名された古い起動メディアが使えなくなる点を周知する。
注意点
- この措置は感染の予防策で、すでに感染した端末を直す手段ではない。
- Microsoft が計画している失効の自動適用は、開始日が未定。待たずに計画的に進めるかを判断する。
- 手順の詳細は機種や Windows のバージョンで変わるため、Microsoft の最新の案内を確認する。