Microsoft vá lỗi Windows để loại bỏ mối đe dọa vượt qua Secure Boot.

Tác giả tanthanh 14/02/2026 9 phút đọc

Trong bảy tháng qua, tiêu chuẩn toàn ngành có thể dài hơn nhằm bảo vệ các thiết bị Windows khỏi bị nhiễm phần sụn có thể được bỏ qua bằng một kỹ thuật đơn giản. Vào thứ ba, Microsoft cuối cùng đã vá lỗ hổng. Tình trạng của các hệ thống Linux vẫn chưa rõ ràng.

Được theo dõi là CVE-2024-7344, lỗ hổng này giúp những kẻ tấn công đã có quyền truy cập đặc quyền vào thiết bị có thể chạy chương trình cơ sở độc hại trong quá trình khởi động. Những kiểu tấn công này có thể đặc biệt nguy hiểm vì sự lây nhiễm ẩn bên trong chương trình cơ sở chạy ở giai đoạn đầu, trước cả khi Windows hoặc Linux được tải. Vị trí chiến lược này cho phép phần mềm độc hại trốn tránh các biện pháp phòng thủ do HĐH cài đặt và cho nó khả năng tồn tại ngay cả sau khi ổ cứng đã được định dạng lại. Từ đó trở đi, “bootkit” thu được sẽ điều khiển quá trình khởi động hệ điều hành.

Được áp dụng từ năm 2012, Secure Boot được thiết kế để ngăn chặn các loại tấn công này bằng cách tạo chuỗi tin cậy liên kết từng tệp được tải. Mỗi lần thiết bị khởi động, Secure Boot xác minh rằng mỗi thành phần firmware được ký điện tử trước khi nó được phép chạy. Sau đó, nó kiểm tra chữ ký số của bộ nạp khởi động hệ điều hành để đảm bảo rằng nó được chính sách Khởi động an toàn tin cậy và đã không bị giả mạo. Khởi động an toàn được tích hợp trong UEFI—short dành cho Giao diện chương trình cơ sở mở rộng hợp nhất—, phiên bản kế thừa của BIOS chịu trách nhiệm khởi động các thiết bị Windows và Linux hiện đại.

Một ứng dụng UEFI chưa được ký ẩn nấp

Năm ngoái, nhà nghiên cứu Martin Smolár với công ty bảo mật ESET đã nhận thấy điều gì đó tò mò về SysReturn, một bộ phần mềm khôi phục hệ thống thời gian thực có sẵn từ Howyar Technologies. Chôn sâu bên trong là một ứng dụng UEFI được mã hóa XOR có tên reloader.efi, được ký điện tử sau khi bằng cách nào đó vượt qua Microsoft quy trình đánh giá nội bộ đối với các ứng dụng UEFI của bên thứ ba.

Thay vì gọi các hàm UEFI LoadImage và StartImage để thực hiện quy trình Khởi động an toàn, reloader.efi đã sử dụng một tùy chỉnh Máy xúc lật PE. Trình tải tùy chỉnh này đã không thực hiện các kiểm tra cần thiết. Khi Smolár đào sâu hơn, ông thấy rằng reloader.efi không chỉ có mặt trong Howyar SysReturn, mà còn trong phần mềm khôi phục từ sáu nhà cung cấp khác. Danh sách đầy đủ là:

Howyar SysReturn trước phiên bản 10.2.023_20240919
Greenware GreenGuard trước phiên bản 10.2.023-20240927
Radix SmartRecovery trước phiên bản 2.11.023-20240927
Sanfong EZ-back System trước phiên bản 10.3.024-20241127
WASAY eRecoveryRX trước phiên bản 8.4.022-20241127
CES NeoImpact trước phiên bản 10.1.024-20241127
SignalComputer HDD King trước phiên bản 10.3.021-20241127

Mối đe dọa đặt ra không chỉ giới hạn ở các thiết bị đã cài đặt một trong các gói khôi phục hệ thống dễ bị tấn công. Những kẻ tấn công đã giành được quyền kiểm soát quản trị đối với thiết bị Windows có thể chỉ cần cài đặt reloader.efi và do chữ ký số trong hệ điều hành nên sử dụng nó để cài đặt chương trình cơ sở độc hại trong quá trình khởi động. Hôm thứ Ba, Microsoft cuối cùng đã vô hiệu hóa mối đe dọa bằng cách cập nhật Windows để xóa chữ ký.

Năm 2022 công ty bảo mật Eclypsium xác định được ba trình điều khiển phần mềm nổi bật được ký bởi Microsoft có thể được sử dụng để bỏ qua khởi động an toàn. Trong một bài đăng, Smolár đã viết:

Điều này đặt ra câu hỏi về mức độ phổ biến của việc sử dụng các kỹ thuật không an toàn như vậy giữa các nhà cung cấp phần mềm UEFI bên thứ ba và có bao nhiêu bộ tải khởi động khó hiểu nhưng có chữ ký khác có thể có ngoài kia. Chúng tôi đã liên hệ với Microsoft về tình huống này, hy vọng nó có thể mang lại sự minh bạch hơn cho những ứng dụng UEFI của bên thứ ba mà họ ký, để bất kỳ ai cũng có thể nhanh chóng phát hiện và báo cáo các ứng dụng UEFI rõ ràng không an toàn như vậy nếu họ vượt qua nhầm (hoặc đã vượt qua từ lâu) Đánh giá ký mã của bên thứ ba UEFI của Microsoft. Chúng tôi tin rằng Microsoft's dự kiến triển khai chứng chỉ UEFI mới mang đến cơ hội tuyệt vời để biến điều này thành hiện thực, thúc đẩy tính minh bạch trong ký kết của bên thứ ba UEFI và bảo mật UEFI tiến thêm một bước.

ESET đã báo cáo lỗ hổng cho Trung tâm điều phối CERT tháng 6 vừa qua. Không rõ tại sao Microsoft không phát hành bản vá cho đến tuần này. Nó cũng vẫn chưa rõ liệu các hệ thống Linux cũng dễ bị tấn công hay không và nếu có, liệu một bản vá đã được phát hành hay chưa. Red Hat, Suse và Ubuntu đã không trả lời ngay lập tức các câu hỏi được gửi qua email.