BlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot

핵심 요약

새로운 UEFI 부트킷(bootkit)인 BlackX가 2026년 초 스파이 활동 캠페인에서 오래된 Baton Drop 취약점을 악용하여 Secure Boot를 우회하고 카스퍼스키 및 어베스트 보안 솔루션을 방해하는 악성 드라이버를 로드하는 수법이 확인되었습니다. 이 공격은 시스템 부팅 과정에서 운영체제 로드 이전에 실행되는 UEFI 펌웨어 영역을 침해하여 지속성을 확보하며, 이는 MITRE ATT&CK의 Pre-OS Boot(T1542) 전술에 해당합니다. 특히, Secure Boot 우회는 시스템의 무결성 검증 메커니즘을 무력화하여 보안 솔루션의 탐지를 회피하려는 고도화된 시도로 분석됩니다. IT 감사인은 이러한 펌웨어 수준의 위협에 대한 조직의 방어 및 탐지 역량을 점검하고, Secure Boot 설정 및 무결성 검증 절차의 적절성을 평가하여 잠재적 위험을 조기에 식별해야 합니다.

개선 권고안

• ✔기술적 조치모든 시스템에 Secure Boot가 활성화되어 있는지 점검하고, Secure Boot 정책이 무단으로 변경되거나 우회되지 않도록 펌웨어 설정 보호 및 변경 감지 메커니즘을 강화할 것을 권고함.
• ✔기술적 조치운영 중인 모든 시스템의 UEFI 펌웨어를 최신 버전으로 유지하고, 알려진 취약점(예: Baton Drop)에 대한 패치가 적용되었는지 정기적으로 점검할 것을 권고함.
• ✔기술적 조치엔드포인트 보안 솔루션(EDR)이 펌웨어 수준의 무결성 검증 및 부트킷 탐지 기능을 제공하는지 확인하고, 해당 기능이 활성화되어 효과적으로 운영되도록 설정 및 모니터링을 강화할 것을 권고함.
• ✔관리적 조치펌웨어 및 부팅 프로세스 무결성 검증을 포함하는 심층 방어(Defense-in-Depth) 전략을 재검토하고, 펌웨어 수준 공격에 대한 탐지 및 대응 절차를 수립 및 시행할 것을 권고함.
• ✔관리적 조치임직원을 대상으로 펌웨어 기반 공격의 위험성과 Secure Boot의 중요성에 대한 보안 교육을 강화하고, 비인가 펌웨어 업데이트 또는 설정 변경 시 보고 체계를 확립할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기