Bootkitul UEFI BlackX ocolește Secure Boot pe sisteme Windows actualizate

Un bootkit UEFI identificat recent, numit BlackX, este folosit din primele luni ale lui 2026 împotriva unor organizații diplomatice din Tadjikistan, Uzbekistan și Turkmenistan. Scopul lui este să pornească înaintea Windows, să dezactiveze protecțiile de boot și soluțiile de securitate și să păstreze un acces ascuns, pe termen lung, la sistemele compromise. Există suspiciunea, încă neconfirmată, că în spatele campaniei se află APT41, un grup sponsorizat de stat și asociat Chinei.

Ce s-a întâmplat

BlackX pare a fi o versiune actualizată a BlackLotus, bootkitul vândut pe forumuri de criminalitate informatică la finalul lui 2022. La fel ca predecesorul său, exploatează CVE-2022-21894 („Baton Drop”), o vulnerabilitate din Windows Boot Manager care permite ocolirea Secure Boot.

Microsoft a corectat problema de mult, însă simpla instalare a actualizării nu ajunge. Pentru a închide complet breșa, administratorii trebuie să revoce manual binarele de boot vulnerabile, iar multe organizații nu au făcut niciodată acest pas. Un certificat de semnare asociat acestor binare a expirat pe 19 octombrie 2026, dar expirarea nu le împiedică să se încarce. Doar includerea lor explicită pe lista de blocare face asta. BlackX profită exact de această lacună.

Codul sursă al BlackLotus nu a fost făcut niciodată public. Asta înseamnă că autorii BlackX fie au refăcut bootkitul prin inginerie inversă, fie au cumpărat codul. Este rar ca un grup de spionaj susținut de un stat să refolosească un instrument venit din zona infracțională.

Lanțul de infectare observat până acum:

• Atacatorii pătrund în rețea pe o cale încă necunoscută și obțin drepturi de administrator.
• Plasează un program de instalare, inst.exe (găsit în C:\ProgramData\Intel\), împreună cu un fișier criptat fără extensie, PVMDIJGKAX2. Programul pornește cu o cheie RC4 transmisă în linia de comandă.
• Fișierele sunt scrise atât pe partiția de sistem, cât și pe cea EFI. Apoi Baton Drop este folosit pentru a înrola chei Machine Owner Key (MOK) controlate de atacator, astfel încât pot fi încărcate fișiere EFI arbitrare și Secure Boot nu mai protejează sistemul.
• Etapa UEFI încarcă un driver de kernel malițios. Acesta a fost semnat cu un certificat revocat între timp și încearcă să dezactiveze soluțiile de securitate, într-un mod asemănător atacurilor de tip BYOVD (driver vulnerabil adus de atacator).
• Driverul instalează apoi componente de spionaj. Una este un troian de acces la distanță care folosește Google Drive, OneDrive și Yandex.Disk pentru comandă și control, ca traficul să pară activitate obișnuită de business. Alta este o bibliotecă DLL numită OxiDLLRunner, încărcată prin sideloading de un googleupdate.exe legitim, care pornește un payload scris în Rust și comunică cu archivetj[.]com.

Un șir de caractere comun, xdd, și folosirea tehnicii DLL sideloading sugerează o legătură cu campanii UEFI anterioare atribuite grupărilor din umbrela APT41. Este o pistă de urmărit, nu o concluzie.

De ce contează

Un bootkit rulează înaintea sistemului de operare și a mecanismelor lui de apărare. Supraviețuiește reinstalării Windows și poate trece neobservat de soluțiile EDR. Lecția mai importantă este alta: un sistem poate apărea drept „actualizat” și totuși să fie expus. Sistemele pe care revocările pentru Baton Drop nu au fost aplicate rămân vulnerabile la întreaga familie de bootkituri de acest tip, iar BlackX arată că atacatori capabili le caută activ.

Ce trebuie făcut

1. Aplicați revocările Secure Boot, nu doar actualizarea. Urmați recomandările Microsoft pentru CVE-2022-21894 și CVE-2023-24932. Actualizați lista de revocare DBX și măsurile pentru boot manager pe toate sistemele și verificați că schimbarea chiar a fost aplicată.
2. Verificați cheile MOK înrolate și partiția de sistem EFI. Căutați intrări MOK neașteptate și binare EFI necunoscute.
3. Căutați indicatorii de mai sus: inst.exe în C:\ProgramData\Intel\, un fișier PVMDIJGKAX2 fără extensie, googleupdate.exe care încarcă DLL-uri din locații neobișnuite și trafic către archivetj[.]com.
4. Urmăriți serviciile de stocare în cloud folosite pentru comandă și control. Tratați ca suspecte serverele sau stațiile care comunică fără motiv de business cu Google Drive, OneDrive sau Yandex.Disk.
5. Limitați drepturile de administrator. BlackX are nevoie de acces de administrator ca să se instaleze, așa că igiena conturilor privilegiate și detectarea timpurie a mișcărilor laterale rămân prima linie de apărare.

Lacunele precum o revocare lipsă trec ușor neobservate, pentru că starea actualizărilor pare în regulă. Serviciul nostru de scanare a vulnerabilităților privește dincolo de nivelul de patch, la configurația firmware-ului și a lanțului de boot, și semnalează sistemele care încă trebuie securizate înainte ca un atacator să le găsească.