원문 캡처 · theainewsreport.com
원문 캡처 · theainewsreport.com

완전히 업데이트된 윈도우 PC에서도 보안 부팅(Secure Boot)의 취약한 인증서를 차단하지 않았다면 BlackX 부트킷이 실행될 수 있다. 카스퍼스키는 중앙아시아 외교기관의 감염 사례를 보고했으며, 마이크로소프트의 차단 조치는 기본적으로 꺼져 있어 관리자가 별도로 적용해야 한다고 설명한다.

카스퍼스키는 2026년 초 타지키스탄·우즈베키스탄·투르크메니스탄의 외교기관을 겨냥한 공격에서 BlackX UEFI 부트킷을 발견했다고 밝혔다. APT41과의 연관성은 중간 수준의 신뢰도로 평가했다. 공격자는 먼저 네트워크에 침입해 관리자 권한을 얻은 뒤 부트킷을 설치했다. 따라서 이 취약점은 공격자가 시스템에 들어오는 경로라기보다 이미 장악한 PC에 남아 있기 위한 수단으로 쓰였다.

BlackX는 BlackLotus와 같은 보안 부팅 우회 취약점인 Baton Drop(CVE-2022-21894)을 이용한다. 카스퍼스키는 공격자가 자체 Machine Owner Key(MOK)를 설치해 펌웨어가 공격자가 서명한 EFI 파일을 불러오도록 했다고 설명한다. 부트킷은 보안 도구의 콜백을 끄고 ETW 데이터를 조작하며, 감시 대상 파일을 열 때 calc.exe의 핸들을 돌려줘 파일을 숨긴다. 카스퍼스키는 추가로 원격 접근 도구와 명령 서버에 연결하는 로더가 설치됐다고 보고했다.

업데이트 상태와 인증서 차단은 다르다

마이크로소프트의 KB5025885 업데이트는 취약한 구형 부팅 파일에 서명한 ‘Windows Production PCA 2011’ 인증서를 펌웨어의 차단 목록(DBX)에 넣는 방식으로 위험을 줄인다. 하지만 월간 업데이트를 설치하는 것만으로 인증서가 차단되지는 않는다. 마이크로소프트는 이 조치가 기본적으로 활성화되지 않는다고 안내한다.

새 인증서 ‘Windows UEFI CA 2023’이 설치돼 UEFICA2023Status가 Updated로 표시되더라도 PCA 2011 인증서가 계속 신뢰될 수 있다. 새 인증서 설치에 쓰이는 AvailableUpdates 값 0x5944에는 PCA 2011 차단에 필요한 0x80 값이 포함되지 않는다. 따라서 PC의 상태 표시만 보지 말고 DBX에서 PCA 2011이 실제로 차단됐는지 확인해야 한다.

다음 명령은 마이크로소프트 KB5025885에 나온 읽기 전용 확인 절차다. 관리자 권한 PowerShell에서 실행한다.

# Run in an Administrator PowerShell window. These three lines only read; they change nothing.

# 1. Is the new "Windows UEFI CA 2023" certificate in the allowed list (DB)? Want: True
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

# 2. Did the certificate and new boot manager update finish? Want: Updated
(Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing").UEFICA2023Status

# 3. Is the old "Windows Production PCA 2011" certificate in the blocked list (DBX)? Want: True
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match 'Microsoft Windows Production PCA 2011'

세 번째 확인 결과가 True면 PCA 2011이 차단된 것이다. False라면 새 인증서가 설치돼 있더라도 구형 인증서는 여전히 신뢰된다. 이벤트 뷰어의 시스템 로그에서 TPM-WMI 이벤트도 확인할 수 있다. 이벤트 1036은 2023 인증서 추가, 1799는 새 인증서로 서명된 부팅 관리자 적용, 1037은 PCA 2011 차단, 1042는 최신 SVN 적용을 뜻한다. 마이크로소프트는 상태 확인에 WindowsUEFICA2023Capable 대신 UEFICA2023Status를 사용하라고 안내한다.

차단 조치 전 확인할 사항

마이크로소프트는 지원되는 PC에 최신 월간 업데이트를 먼저 설치하고, 모델별 PC 한 대에서 시험한 뒤 전체에 적용하도록 권고한다. BitLocker를 사용한다면 먼저 48자리 복구 암호를 저장한다. 관리자 명령 프롬프트에서 실행한다.

manage-bde -protectors -get %systemdrive%

마이크로소프트가 안내한 순서는 새 인증서와 부팅 관리자를 설치하고 상태가 Updated인지 확인한 다음, PCA 2011을 차단하는 것이다. 마지막으로 최소 부팅 관리자 버전(SVN)을 올리는 단계는 선택 사항이다. 인증서 설치에는 0x5944, PCA 2011 차단에는 0x80, SVN 적용에는 0x200을 사용한다. 각 단계는 예약 작업 \Microsoft\Windows\PI\Secure-Boot-Update를 실행하며, 마이크로소프트 문서에 따르면 앞 단계가 완료되지 않으면 다음 단계로 넘어갈 수 없다.

조치를 되돌릴 수 없다는 점도 중요하다. 보안 부팅을 켠 상태에서는 차단을 취소할 수 없고, 디스크를 다시 포맷해도 차단 목록은 제거되지 않는다. 적용 전 복구 USB를 만들고, 멀티부팅 PC에서는 각 윈도우 설치본을 2024년 7월 9일 이후 업데이트로 먼저 갱신해야 한다. 오래된 복구 디스크·설치 USB·PXE 부팅 파일은 PCA 2011로 서명됐다면 차단 후 부팅되지 않을 수 있다.

마이크로소프트가 열거한 알려진 문제에는 BitLocker 복구 화면 진입, 펌웨어가 DB 또는 DBX를 기록하지 못하는 경우, 일부 HP Sure Start PC와 Qualcomm 펌웨어를 사용하는 Arm64 PC가 포함된다. VMware에서 보안 부팅을 사용하는 x86 가상 머신은 조치 후 부팅에 실패할 수 있고, Symantec Endpoint Encryption에서는 조치를 적용할 수 없다. 펌웨어의 보안 부팅 설정을 초기화하면 PC가 부팅되지 않을 수도 있다.

인증서 만료만으로는 차단되지 않는다

PCA 2011 인증서는 2026년 10월 19일 만료됐다. 그러나 카스퍼스키는 인증서가 만료돼도 차단 목록에 추가되지 않으면 취약한 기존 파일이 계속 불러와질 수 있다고 설명한다. 마이크로소프트도 10월 22일자 KB5132953에서 만료가 PC의 부팅을 막지는 않는다고 밝혔다. 구형 PCA 2011 부팅 관리자는 보안 업데이트를 더 받지 않는 상태로 남으며, 설치 미디어에도 계속 포함될 수 있다. 이를 막는 조치는 DBX에 인증서를 등록하는 것이다.

카스퍼스키가 공개한 주요 지표에는 설치 파일 경로 C:\ProgramData\Intel\inst.exe, 암호화 패키지 PVMDIJGKAX2, 명령 서버 www[.]archivetj[.]com이 있다. 다만 카스퍼스키는 설치 파일이나 부트킷의 해시를 공개하지 않았으며, 글에 나온 유일한 해시는 공격자가 악용한 정상 파일 jcef_helper.exe의 것이다.

감염이 의심되는 PC에 차단 조치만 적용해도 감염이 제거되지는 않는다. 마이크로소프트는 해당 조치가 예방용이지 치료용이 아니라고 안내하며 보안 업체에 문의하라고 권고한다. 마이크로소프트의 2023년 BlackLotus 조사 안내서는 EFI 시스템 파티션의 변경 파일과 측정 부팅 로그 등을 살펴보는 출발점이 될 수 있지만, BlackX는 다른 빌드이므로 일부 징후가 맞지 않을 수 있다. 카스퍼스키의 APT41 연관성 평가는 중간 수준의 신뢰도이며, 공격자가 피해자 네트워크에서 관리자 권한을 얻은 경로는 공개되지 않았다.

부록: 원문 예시

원문에 실린 예시 1

text
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

원문에 실린 예시 2

text
COPY D:\EFI\MICROSOFT\BOOT\BCD D:\EFI\MICROSOFT\BOOT\BCD.BAK
bcdboot c:\windows /f UEFI /s D: /bootex
COPY D:\EFI\MICROSOFT\BOOT\BCD.BAK D:\EFI\MICROSOFT\BOOT\BCD

원문에 실린 예시 3

text
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x80 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

원문에 실린 예시 4

text
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x200 /f
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"