De dreiging van de BlackLotus-malware is nog niet volledig door Microsoft weggenomen en beschikbaar gestelde beveiligingsupdates kunnen organisaties een vals gevoel van veiligheid geven, zo stelt de Amerikaanse geheime dienst NSA. BlackLotus maakt gebruik van een kwetsbaarheid in Windows (CVE-2022-21894) voor het omzeilen van UEFI Secure Boot en het plaatsen van malafide bestanden in de EFI-systeempartitie (ESP) die door de UEFI-firmware worden geladen. Hierdoor kan de bootkit onder andere BitLocker en Microsoft Defender uitschakelen.

Secure Boot moet er juist voor zorgen dat alleen software wordt geladen die de fabrikant vertrouwt. Tijdens het starten van de pc controleert de firmware de digitale handtekening van de bootsoftware, firmware-drivers, EFI-applicaties en het besturingssysteem. Door de controle moet de installatie van bijvoorbeeld rootkits worden voorkomen.

Microsoft kwam met beveiligingsupdates om de kwetsbaarheid in de bootloader te verhelpen. Er zijn echter geen patches uitgebracht om het vertrouwen in ongepatchte bootloaders via de Secure Boot Deny List Database (DBX) in te trekken. De dreiging is dan ook nog niet volledig verholpen, aldus de NSA, aangezien kwetsbare bootloaders gebruikt voor het opstarten van het systeem nog steeds door Secure Boot worden vertrouwd.

"Het beschermen van systemen tegen BlackLotus is geen eenvoudige fix", zegt Zachary Blum van de NSA. "Patchen is een goede eerste stap, maar we adviseren afhankelijk van de configuratie van je systemen en gebruikte beveiligingssoftware om hardening acties te nemen." Zo kan beveiligingssoftware de installatie van de malware detecteren en voorkomen.

In een adviesdocument over de malware stelt de NSA verder dat de uitgebrachte patches voor sommige omgevingen "een vals gevoel van veiligheid" kunnen geven (pdf). Om zo goed mogelijk beschermd te zijn doet de geheime dienst verschillende aanbevelingen, waaronder het updaten van herstelmedia, monitoren van aanpassingen aan de EFI-bootpartitie en het aanpassen van UEFI Secure Boot.