Wykryty na początku 2026 roku bootkit UEFI BlackX został wykorzystany w operacji szpiegowskiej wymierzonej w agencje dyplomatyczne w Azji Środkowej, głównie w Tadżykistanie, Uzbekistanie oraz Turkmenistanie. Analitycy z firmy Kaspersky przypisują tę kampanię ze średnim poziomem pewności chińskiej grupie państwowej APT41, znanej także jako Brass Typhoon, Wicked Panda lub Barium.
Podobieństwo do kodu BlackLotus i manipulacja jądrem
Analiza techniczna wykazała, że BlackX opiera się na rozwiązaniach znanych z bootkita BlackLotus, obecnego na forach hakerskich od października 2022 roku. Oba narzędzia wykorzystują lukę Baton Drop, oznaczoną jako CVE-2022-21894, która umożliwia rejestrowanie własnych kluczy właściciela maszyny MOK oraz ładowanie dowolnych plików EFI z pominięciem zabezpieczeń Secure Boot.
Eksperci wskazują, że choć kod źródłowy BlackLotus wyciekł w lipcu 2023 roku, to udostępnione wówczas repozytorium było niekompletne. BlackX zawiera fragmenty kodu, których brakowało w publicznym wycieku, co wskazuje, że twórcy zbadali oryginalne złośliwe oprogramowanie metodami inżynierii wstecznej lub zakupili jego pełną wersję.
BlackX instaluje złośliwy sterownik jądra Windows, który został podpisany unieważnionym już certyfikatem wystawionym dla podmiotu Wenjiang District Mingyu Network Technology Service Studio. Sterownik ten blokuje procesy ochronne, manipuluje wywołaniami zwrotnymi rejestru i zakłóca działanie dostawców Event Tracing for Windows. Dodatkowo bootkit ukrywa swoje pliki na dysku, przekierowując próby ich otwarcia na uruchomienie systemowego kalkulatora Windows.
Ładunki szpiegowskie i omijanie zabezpieczeń
Po zainstalowaniu w systemie sterownik uruchamia zestaw narzędzi szpiegowskich. Wśród nich znajduje się trojan zdalnego dostępu RAT, który wykorzystuje usługi dysków chmurowych Google Drive, OneDrive lub Yandex.Disk do komunikacji z serwerem dowodzenia, uruchamiania komponentów platformy .NET oraz kradzieży danych.
Drugim elementem jest OxiDLLRunner, zaciemniony komponent ładowany przez legalny plik googleupdate.exe techniką DLL sideloading. Odszyfrowuje on plik v8_context_snapshot.bin, uruchamia kod powłoki oraz moduł napisany w języku Rust, który pobiera dalsze wtyczki z zewnętrznej domeny.
Instalacja łatki wymaga ręcznej konfiguracji
Wszystkie zaatakowane systemy miały zainstalowany w pełni zaktualizowany system Windows. Narzędzie zdołało jednak zainfekować komputery, ponieważ poprawka przygotowana przez firmę Microsoft wymaga dodatkowego kroku ze strony administratora.
Samo wdrożenie aktualizacji dla błędu Baton Drop nie unieważnia automatycznie certyfikatu Windows Production PCA 2011, którym podpisano podatne komponenty UEFI. Użytkownik lub administrator musi ręcznie aktywować blokadę tego certyfikatu na liście unieważnień Secure Boot. Badacze ostrzegają również, że zaplanowane na 19 października 2026 roku wygaśnięcie wspomnianego certyfikatu nie zablokuje automatycznie podatnych plików binarnych w systemie Windows bez dodania go do listy blokad.
