Bootkit-ul BlackX reînvie BlackLotus și ocolește Windows Secure Boot

Un nou bootkit UEFI împrumută rețeta BlackLotus pentru a se strecura sub Windows Secure Boot și a instala malware de spionaj pe calculatoare guvernamentale. Denumit BlackX, a apărut la începutul lui 2026 în intruziuni la agenții diplomatice și de stat din Tadjikistan, Uzbekistan și Turkmenistan. Detaliul incomod: sistemele compromise aveau toate actualizările instalate.

Ce s-a întâmplat

BlackX nu este un instrument de acces inițial. Operatorii îl instalează după ce dețin deja drepturi de administrator în rețea și îl folosesc pentru a adânci și a consolida compromiterea. Cum au fost pătrunse inițial aceste rețele rămâne necunoscut.

Odată ajuns pe o stație, bootkit-ul abuzează de Baton Drop, bypass-ul de Secure Boot cunoscut drept CVE-2022-21894, pentru a altera lanțul de încredere de la pornire. Își scrie componentele pe partițiile de sistem și EFI, înregistrează chei Machine Owner Keys controlate de atacator și le folosește pentru a-și încărca propriile binare EFI înainte de pornirea sistemului de operare. De acolo injectează un driver de kernel semnat cu un certificat legitim, revocat între timp, care încearcă să dezactiveze callback-urile de securitate și să perturbe Event Tracing for Windows, astfel încât senzorii de endpoint să vadă mai puțin. Orice încercare de a citi fișierele sale protejate de pe disc este redirecționată discret către un binar Windows inofensiv. Nu toate rutinele sale anti-securitate au funcționat în teste, dar intenția este clară.

Instalatorul nu conține niciun payload malițios propriu. Componentele reale stau într-un pachet criptat separat, așa că, dacă echipa de răspuns recuperează instalatorul, dar nu și fișierul-pereche, rămâne prea puțin de analizat.

Au fost observate două payload-uri în user-mode:

• Un troian de acces la distanță în .NET, care încarcă cod .NET suplimentar și schimbă sarcini și rezultate prin Google Drive, OneDrive sau Yandex.Disk, ascunzând traficul de comandă în utilizarea obișnuită a cloud-ului.
• OxiDLLRunner, un DLL obfuscat încărcat prin side-loading de un executabil legitim redenumit. Decriptează un fișier de date din apropiere într-un shellcode și un implant Rust, care descarcă apoi plugin-uri DLL suplimentare din infrastructura de comandă.

Atribuirea indică spre APT41 cu încredere medie, pe baza unor artefacte comune de dezvoltare, a suprapunerilor cu activitatea FishMonger de mai devreme, a obiceiurilor familiare de DLL side-loading și a obfuscării OLLVM. Este o pistă, nu un verdict. Dacă autorii au făcut reverse engineering pe BlackLotus sau i-au cumpărat codul sursă rămâne neconfirmat.

De ce contează

Lanțul de atac seamănă izbitor cu BlackLotus, un bootkit promovat prima dată pe forumuri underground în 2022. Faptul că încă funcționează în 2026 este adevărata știre. Remedierea pentru Baton Drop cere mai mult decât o actualizare Windows: vechile componente de boot semnate sub certificatul Windows Production PCA 2011 trebuie revocate explicit pe fiecare dispozitiv, iar acest pas nu se face automat. Nici expirarea certificatului pe 19 octombrie nu a schimbat nimic, pentru că binarele deja semnate continuă să pornească și după expirare.

Astfel, o mașină poate raporta „complet actualizată” și totuși să aibă încredere exact în boot manager-ul de care are nevoie atacatorul. Un bootkit care se încarcă înaintea Windows supraviețuiește reinstalării sistemului de operare, orbește EDR-ul de dedesubt și este foarte greu de observat din interiorul sistemului pornit. Pentru ambasade și ministere, este un punct de sprijin tăcut și durabil.

Ce e de făcut

• Verificați starea încrederii la boot, nu starea actualizărilor. Confirmați că baza de semnături interzise Secure Boot (DBX) de pe fiecare dispozitiv Windows conține efectiv revocările pentru CA-ul din 2011 și pentru boot manager-ele vulnerabile.
• Aplicați revocarea în mod controlat. Mediile de recuperare mai vechi, imaginile de boot și configurațiile dual-boot pot depinde de certificatele care urmează să fie eliminate, așa că testați înainte de a aplica la scară.
• Limitați drepturile de administrator. BlackX apare doar după ce atacatorul are deja privilegii de admin; o gestionare strictă a privilegiilor și monitorizarea mișcării laterale rup lanțul mai devreme.
• Urmăriți tehnicile folosite. Alertați la modificări neașteptate ale partiției de sistem EFI, la chei Machine Owner Keys noi, la drivere cu certificate revocate și la stații care comunică cu servicii de stocare cloud de consum fără un motiv de business.
• Căutați indicatorii cunoscuți de mai jos.

Indicatori cunoscuți (defanged):

• Calea instalatorului: C:\ProgramData\Intel\inst.exe
• Numele pachetului criptat: PVMDIJGKAX2
• Serialul certificatului de driver revocat: 0bcdf5e0da32d68900b8b7638459d072
• Executabile folosite pentru side-loading: googleupdate.exe, jcef_helper.exe (MD5 al loader-ului legitim AF8A983B9ADA07EAE1259BF2953ABD40)
• Payload Rust criptat: v8_context_snapshot.bin
• Domeniu de comandă și control: www[.]archivetj[.]com
• Artefact de dezvoltare: numele de utilizator xdd (C:\Users\xdd\Desktop)
• Export de plugin: create_plugin

Această campanie ne amintește că „actualizat” și „protejat” nu sunt sinonime. Serviciul nostru de scanare de vulnerabilități este construit exact pentru acest gol: verifică dacă o remediere este aplicată efectiv pe stație, nu doar dacă actualizarea a fost instalată, astfel încât un lanț de boot care încă are încredere într-un certificat revocat să fie semnalat înainte să îl găsească altcineva.