Нов UEFI bootkit заобикаля защитата на Windows чрез уязвимостта Baton Drop и внедрява зловредни драйвери, предназначени да затруднят работата на защитните решения. Според Kaspersky кампанията е насочена към дипломатически структури в Таджикистан, Узбекистан и Туркменистан.

Нова зловредна програма от типа UEFI bootkit, наречена BlackX, е използвана в шпионска кампания в началото на 2026 г. Тя експлоатира стара уязвимост в механизма Secure Boot на Windows, за да заобиколи защитите при стартиране на системата и да зареди злонамерен драйвер с възможности за намеса в работата на решения за сигурност.

Изследователите на Kaspersky свързват операцията с китайската група за кибершпионаж APT41 със средна степен на увереност. Групата е известна и под имената Brass Typhoon, Wicked Panda и Barium. Според анализа кампанията е засегнала дипломатически институции в Централна Азия, по-специално в Таджикистан, Узбекистан и Туркменистан.

Случаят показва защо актуализирането на операционната система невинаги е достатъчно, за да бъде затворен даден път за атака. При определени уязвимости в процеса на зареждане на Windows са необходими и допълнителни действия по отмяна на доверието към компрометирани или уязвими компоненти.

BlackX използва техники, познати от BlackLotus

Анализът на Kaspersky установява съществени сходства между BlackX и bootkit-а BlackLotus, известен от 2022 г. насам. През 2023 г. ESET потвърди, че BlackLotus използва уязвимостта Baton Drop (CVE-2022-21894), за да заобикаля Secure Boot, включително при системи с инсталирани актуализации на Windows.

Според Kaspersky реализацията на експлойта в BlackX е забележително сходна с тази на BlackLotus. Тя позволява на атакуващия да регистрира собствени Machine Owner Keys (MOK) и да зарежда произволни EFI файлове, заобикаляйки защитните механизми на процеса на стартиране.

Двете заплахи обаче не са идентични. BlackX използва различен драйвер за ядрото на Windows и различни последващи зловредни компоненти. Изследователите допускат, че разработчиците му са анализирали BlackLotus чрез обратно инженерство или са получили достъп до неговия изходен код.

Изходният код на BlackLotus беше публикуван в интернет през юли 2023 г., но публичното копие е непълно. При сравнение на образци Kaspersky открива код в BlackX, който липсва в публикуваното хранилище, но присъства в някои анализирани образци на BlackLotus. Това насочва изследователите към възможността създателите на BlackX да са извършили собствено обратно инженерство или да са придобили друга версия на кода.

Тези сходства подкрепят техническата връзка между двете заплахи, но сами по себе си не доказват кой точно е разработил BlackX. Атрибуцията към APT41 остава със средна степен на увереност.

Зловредният драйвер пречи на защитата и наблюдението

След като получи възможност да зареди собствен код на ниско ниво, BlackX внедрява злонамерен драйвер за ядрото на Windows. Той е подписан със сертификат, издаден на организацията Wenjiang District Mingyu Network Technology Service Studio, който впоследствие е отнет.

Драйверът разполага с няколко механизма за затрудняване на защитата и разследването на инциденти:

• Намеса в процесите за сигурност – прекратява или нарушава работата на процеси, свързани със защитата.
• Манипулиране на системните механизми за наблюдение – променя регистрационни обратни извиквания и компоненти на Event Tracing for Windows (ETW), използвани за събиране на диагностични и телеметрични данни.
• Целенасочено поведение – част от действията се активират само ако на заразената система бъдат открити продукти на Kaspersky или Avast.
• Прикриване на файловете – при опит потребителят да отвори определени файлове на bootkit-а, драйверът прихваща заявката и вместо тях стартира Windows Calculator.

Последният механизъм е пример за опит да се затрудни откриването на зловредните компоненти чрез обичайни действия на потребителя или администратора. В съчетание с намесата в телеметрията подобни техники могат да усложнят първоначалния анализ на компрометираната система.

Наличието на специфични процедури за продукти на Kaspersky и Avast не означава, че BlackX може универсално да обезврежда всички техни защити. То показва, че поведението на драйвера е съобразено с конкретни условия в целевата среда.

Два механизма за последващ шпионаж

След установяването си BlackX може да внедри допълнителни компоненти, предназначени за отдалечен достъп, изпълнение на код и обмен на файлове.

Първият е троянец за отдалечен достъп (RAT), който използва Google Drive, OneDrive или Yandex.Disk за комуникация с инфраструктурата за командване и контрол (C2). Чрез него операторите могат да изпълняват .NET полезни товари и да качват или изтеглят файлове от заразените устройства.

Използването на легитимни облачни услуги може да затрудни разграничаването на злонамерения трафик от обичайните операции, особено в организации, които разчитат на тези платформи за ежедневната си работа. Това не означава, че самите услуги са компрометирани, а че могат да бъдат използвани като канал за комуникация от зловреден софтуер.

Вторият компонент е OxiDLLRunner – DLL файл, замаскиран чрез техники за обфускация, базирани на OLLVM. Той се зарежда странично чрез легитимния процес googleupdate.exe. След това декриптира файла v8_context_snapshot.bin, за да стартира shellcode и полезен товар, написан на Rust.

Този компонент извлича допълнителни DLL плъгини от домейна archivetj[.]com и изпълнява техните функции create_plugin в отделни нишки. Така нападателите могат да разширяват функционалността на заразената система чрез допълнителни модули.

Комбинацията от нискониво заобикаляне на защитата, механизми за прикриване и последващи шпионски компоненти превръща BlackX в заплаха, която не се ограничава до първоначалното заразяване. Тя създава условия за продължителен достъп и извличане на информация от компрометираните системи.

Защо актуализираният Windows може да остане уязвим

Според Kaspersky всички установени жертви са използвали напълно актуализирани версии на Windows. Въпреки това BlackX е успял да се зареди, тъй като администраторите не са активирали ръчно допълнителните механизми за отмяна на доверието към уязвими компоненти на стартирането.

Корекцията за Baton Drop е свързана с отмяна на доверието към сертификата Windows Production PCA 2011, използван за подписване на уязвими UEFI компоненти. Инсталирането на съответните актуализации обаче не задейства автоматично тази отмяна във всички случаи. Необходимо е администраторите да изпълнят допълнителните стъпки, описани от Microsoft.

Това създава разминаване между две понятия, които често се приемат за едно и също: системата да е актуализирана и уязвимият компонент действително да е блокиран. Ако необходимите промени в списъците за отмяна не бъдат приложени, защитата при стартиране може да продължи да се доверява на определени уязвими двоични файлове.

Kaspersky смята, че нападателите са използвали именно тази празнина в процеса на внедряване на защитата. Според изследователите те са инвестирали усилия в изучаването на BlackLotus и създаването на негов вариант, който да се възползва от системи, при които допълнителната защита не е активирана.

Отделно предупреждение засяга датата 19 октомври 2026 г., когато изтича срокът на сертификата Windows Production PCA 2011. Самото изтичане на сертификата не гарантира, че уязвимите двоични файлове ще бъдат блокирани. За това е необходимо съответните сертификати или компоненти да бъдат добавени към приложимите списъци за забрана съгласно указанията на Microsoft.

Какво трябва да проверят администраторите

За организациите, които управляват критични системи, дипломатическа инфраструктура или чувствителни корпоративни данни, случаят подчертава необходимостта актуализациите да се разглеждат като процес с проверими резултати, а не просто като успешно инсталирани пакети.

Администраторите трябва да прегледат официалните указания на Microsoft за отмяна на уязвимите Windows boot manager компоненти, да проверят състоянието на Secure Boot и да потвърдят, че необходимите списъци за отмяна са приложени. Тези действия трябва да се планират внимателно и да се валидират спрямо конкретните системи, тъй като промените в процеса на стартиране могат да повлияят на съвместимостта и възстановяването.

Организациите следва също да наблюдават за необичайно поведение на драйвери, неочаквани промени в механизмите за телеметрия, подозрително използване на облачни хранилища и зареждане на DLL файлове от процеси, които обичайно се считат за легитимни. Подобни индикатори не доказват самостоятелно заразяване с BlackX, но могат да послужат като основание за допълнително разследване.

BlackX показва, че защитата на процеса на стартиране остава важна част от цялостната стратегия за сигурност. Когато нападателят успее да заобиколи Secure Boot, той може да създаде условия за зареждане на злонамерен код преди да се задействат част от стандартните защитни механизми на операционната система. Затова ефективната защита изисква не само актуализации, но и потвърждение, че всички предвидени мерки за отмяна на доверието действително са в сила.