固件层的“过期”信任：被遗忘的 Shim 漏洞
近期，安全研究人员披露了一项关于 UEFI 安全启动（Secure Boot）的关键漏洞，涉及 11 款历史悠久且仍被信任的 UEFI Shim 引导程序。这些组件虽然早已被 Linux 发行版弃用，但由于其持有微软签署的数字签名，系统依然会将其视为合法的引导程序。
从我们的应急响应经验来看，固件安全往往是企业防御体系中最容易被忽视的盲区。当攻击者能够掌控引导流程时，他们不仅能绕过操作系统的安全防御，还能在系统加载前植入恶意代码，从而实现极高隐蔽性的持久化驻留。
攻击链深度解析
Shim 引导程序在 Secure Boot 体系中扮演着“桥梁”的角色，它负责在固件与操作系统之间建立信任链。微软对这些 Shim 进行签名，是为了简化不同 Linux 发行版在启用 Secure Boot 的硬件上的启动过程。
本次漏洞的本质在于“信任的过期”。攻击者并不需要挖掘复杂的零日漏洞，他们只需获取这些带有微软合法签名的旧版本 Shim，即可在目标机器上完成以下攻击链：
- 引入受信任的旧版 Shim：攻击者将存在缺陷的旧版 Shim 植入目标系统。
- 绕过 Secure Boot：由于该程序持有合法的签名，固件会将其判定为可信并执行。
- 降级攻击与利用：利用旧版 Shim 存在的逻辑缺陷或其指向的过时 GRUB2 漏洞，攻击者可以绕过后续的签名验证。
- 底层驻留：在操作系统加载前执行恶意指令，使得 EDR 等操作系统层面的安全工具完全“失明”。
为什么这比常规漏洞更危险？
这一环节是很多企业容易忽视的重点。在我们的日常应急溯源中，类似攻击近年来明显增加。其核心威胁在于：
第一，这是典型的“降级攻击”。攻击者利用的不是代码漏洞，而是被滥用的“信任”。只要系统依然信任旧的证书链，这些带有签名的旧组件就如同“合法的万能钥匙”。
第二，防御滞后性。虽然微软已在 6 月通过更新撤销（Revocation）了这些组件的信任，但固件层面的更新极其缓慢。特别是在企业环境中，涉及大量老旧硬件、工控设备或离线环境，更新周期往往以季度甚至年为单位。
Solar 应急响应建议
面对此类固件级威胁，企业应采取更细致的资产与固件管理策略：
- 强化固件合规检查：定期扫描并识别系统中运行的 Bootloader 版本，确保移除或禁用不再维护的 Shim 组件。
- 及时执行 Revocation 更新：确保所有终端均已安装最新的 Secure Boot 更新，并及时更新系统的吊销列表（DBX），这是防御此类攻击最直接的手段。
- 关注底层安全监控：由于此类攻击发生于操作系统加载之前，传统的 EDR 无法直接检测。企业需结合硬件安全模块（TPM）和远程证明技术，验证引导链的完整性。
- 警惕长期驻留风险：这类漏洞的攻击者通常目标明确，意在进行长期的情报收集。如果发现系统存在异常的引导行为，应立即进行深度取证。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com