Un nou bootkit UEFI, numit BlackX, a fost folosit la începutul anului 2026 împotriva unor organizații diplomatice din Tadjikistan, Uzbekistan și Turkmenistan, potrivit unei analize tehnice publicate de Kaspersky. Cercetătorii suspectează că operațiunea este legată de gruparea APT41, asociată Chinei, iar miza malware-ului este accesul clandestin de durată, înainte ca Windows și soluțiile de securitate să pornească.
BlackX nu este prezentat drept o metodă de intrare inițială în rețea: atacatorii au ajuns mai întâi în sistemele victimelor printr-o cale nedivulgată și au obținut privilegii de administrator. Bootkitul servește apoi la persistență și la evitarea apărării, prin compromiterea lanțului de pornire și încărcarea unor componente malițioase înaintea sistemului de operare.
Sursă foto: thehackernews.com
Actualizările Windows nu închid singure vulnerabilitatea
Kaspersky evaluează BlackX drept o versiune actualizată a BlackLotus, bootkitul observat în anunțuri de pe forumuri de criminalitate cibernetică la sfârșitul lui 2022 și confirmat public de ESET în martie 2023. BlackLotus folosește CVE-2022-21894, vulnerabilitatea Secure Boot cunoscută și ca Baton Drop, pentru a încărca cod malițios înainte de pornirea sistemului.
Vulnerabilitatea are scorul CVSS 4,4 și a fost remediată prin actualizări, însă exploatarea cere ca atacatorul să aibă deja privilegii de administrator sau acces fizic la dispozitiv. Microsoft a subliniat că un astfel de bootkit este, în principal, un instrument de persistență și evitare a apărării, nu un vector inițial de acces; această distincție contează în evaluarea riscului.
Instalarea patch-ului nu este suficientă dacă organizația nu aplică și pașii manuali de revocare Secure Boot. Printre măsuri se află adăugarea certificatului Windows Production PCA 2011 în lista UEFI Forbidden List (DBX), astfel încât binarele vulnerabile să nu mai poată fi încărcate.
Certificatul expirat a rămas utilizabil fără blocarea din DBX
Atacatorii mizează, potrivit cercetătorilor, pe faptul că multe organizații nu au finalizat activarea manuală a protecției Baton Drop. Certificatul respectiv a expirat la 19 octombrie 2026, dar expirarea nu împiedică încărcarea binarelor vulnerabile dacă acestea nu au fost trecute pe lista de blocare.
Georgy Kucherin, Vladimir Nestor și Vasily Berdnikov, autorii analizei Kaspersky, consideră că operatorii BlackX au anticipat această neglijență și au investit timp pentru a înțelege funcționarea BlackLotus, apoi pentru a crea o copie. Sursa BlackLotus nu a fost făcută publică, astfel că BlackX ar putea proveni din inginerie inversă sau dintr-o achiziție privată a codului.
Această posibilă preluare de tehnici dintr-un instrument comercial de criminalitate cibernetică este neobișnuită pentru un actor APT, notează Kaspersky. Cercetătorii descriu o abordare hibridă: în loc să construiască totul de la zero, atacatorii au adaptat un bootkit existent pentru a ocoli protecțiile procesului de pornire Windows.
De la partiția EFI la instrumentele de spionaj
După obținerea accesului de administrator, atacatorii au plasat două fișiere: inst.exe, programul de instalare, și PVMDIJGKAX2, un fișier criptat fără extensie, care conține date și șiruri necesare instalării. Comanda observată a fost C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1; ultimul șir este cheia RC4 folosită la decriptare.
Instalatorul depune apoi fișiere suplimentare atât pe partiția de sistem, cât și pe cea UEFI, într-un proces descris de Kaspersky ca remarcabil de asemănător cu cel al BlackLotus. Scopul este instalarea unor Machine Owner Keys (MOK), care permit încărcarea unor fișiere EFI arbitrare pe gazda infectată și intervenția asupra Secure Boot.
Sarcina UEFI injectează un driver malițios în nucleul Windows. Driverul, semnat cu un certificat emis pe numele Wenjiang District Mingyu Network Technology Service Studio și revocat ulterior de emitent, încearcă să altereze funcționarea programelor de securitate de pe dispozitiv, într-o tehnică apropiată de atacurile BYOVD, în care este abuzat un driver vulnerabil.
Ce înseamnă campania pentru organizațiile din România și UE
Unele modificări neautorizate ale driverului sunt activate numai dacă pe sistem se găsesc produse asociate cu Kaspersky sau Avast. Totuși, analiza Kaspersky arată că aceste rutine nu au fost eficiente; constatarea nu anulează însă riscul principal, reprezentat de compromiterea pornirii și de încărcarea altor componente malițioase.
Driverul livrează și două tipuri de payload în modul utilizator. Un troian de acces la distanță poate instala componente .NET, colecta informații despre sistem și încărca fișiere de interes, folosind Google Drive, OneDrive și Yandex.Disk pentru comunicațiile de comandă și control, astfel încât traficul să se confunde cu activitatea obișnuită a unei organizații.
Al doilea payload este DLL-ul malițios OxiDLLRunner, încărcat lateral de binarul legitim googleupdate.exe, livrat tot de bootkit. DLL-ul decriptează și pornește un payload scris în Rust, care comunică cu archivetj[.]com pentru a primi și executa module DLL suplimentare; combinația oferă operatorilor posibilitatea de a extinde capacitățile de spionaj.
Pentru companiile, instituțiile publice și misiunile diplomatice din România și UE, cazul justifică verificarea explicită a stării revocărilor Secure Boot, nu doar confirmarea instalării actualizărilor Windows. Echipele IT ar trebui să urmeze instrucțiunile Microsoft pentru aplicarea DBX, să verifice integritatea firmware-ului și a partiției EFI și să trateze cu prioritate alertele privind accesul administrativ neobișnuit.
Organizațiile care găsesc indicii de compromitere trebuie să investigheze și driverele încărcate în nucleu, certificatele folosite la semnare și execuțiile neobișnuite ale googleupdate.exe. Reducerea privilegiilor administrative, controlul accesului fizic și păstrarea telemetriei pentru pornirea sistemului pot limita riscul, dar remedierea completă cere verificarea că binarele vulnerabile au fost efectiv revocate.
Legătura cu APT41 rămâne o evaluare, nu o certitudine
Indicii privind o posibilă afiliere la APT41 provin și dintr-un raport ESET din iunie 2026. Acesta a documentat folosirea de către FishMonger a unei porți de acces Windows numite SprySOCKS în atacuri asupra unor instituții guvernamentale din Honduras, Taiwan, Thailanda și Pakistan, între 2023 și 2024; FishMonger este cunoscut și ca Aquatic Panda sau Earth Lusca și este considerat parte a ecosistemului APT41.
ESET a identificat, de asemenea, indicii limitate că unele versiuni ale porții de acces ar putea include o componentă bootkit UEFI, care probabil exploatează CVE-2023-24932, o altă vulnerabilitate de ocolire a funcțiilor de securitate asociată cu BlackLotus. Prezența șirului „xdd” atât în BlackX, cât și în implantul de nucleu folosit de FishMonger ridică posibilitatea ca bootkitul din acele operațiuni să fie chiar BlackX.
Un alt indiciu invocat de cercetători este folosirea DLL sideloading-ului pentru lansarea payload-urilor, o tehnică întâlnită frecvent în operațiuni atribuite unor actori chinezi. Aceste suprapuneri susțin ipoteza unei legături, dar nu o dovedesc singure; până la confirmări suplimentare, APT41 trebuie descrisă drept suspectată, nu identificată definitiv ca operator al campaniei.
