BlackX-UEFI-Bootkit: Wie der Baton-Drop-Bypass voll gepatchte Windows-Systeme erreicht
Forscher von Kasperskys Global Research and Analysis Team (GReAT) haben Details zu BlackX veröffentlicht, einem UEFI-Bootkit, das sich unterhalb des Betriebssystems voll gepatchter Windows-Maschinen einnistet. Die Forscher bringen das Implantat mit einer Spionagekampagne gegen diplomatische Organisationen in Zentralasien in Verbindung und schreiben es APT41 mit mittlerer Konfidenz zu; The Hacker News berichtet, dass es die Secure-Boot-Umgehung namens „Baton Drop“ (CVE-2022-21894) ausnutzt. Da der Fix für diese Schwachstelle einen manuellen Schritt erfordert, den viele Administratoren nie ausgeführt haben, ist eine 2022 gepatchte Lücke auf Firmware-Ebene wieder brauchbar.
Was BlackX ist
BlackX ist ein Bootkit: Statt Windows von innen anzugreifen, manipuliert es den Startprozess, sodass sein Code läuft, bevor das Betriebssystem lädt. Kasperskys Forscher beschreiben es als ähnlich wie BlackLotus, das frühere Bootkit, das für die Ausnutzung derselben Schwachstelle bekannt war; The Hacker News sieht in BlackX eine aktualisierte Version dieser Linie. Der Vergleich ist wichtig, weil BlackLotus gezeigt hat, dass Secure-Boot-Umgehungen nicht theoretisch sind. Sobald ein funktionierendes Bootkit existiert, kann der Schutz, den Nutzer für aktiv halten, stillschweigend ausgehebelt werden.Der Baton-Drop-Bypass
CVE-2022-21894 erlaubt einem Angreifer mit Administratorzugriff auf eine Maschine – oder kurzzeitigem physischem Zugriff – eigene Schlüssel zu registrieren und unsignierten Code beim Start zu laden. Microsoft hat 2022 einen Fix ausgeliefert, doch der Patch allein beendet die Sache nicht: Die verwundbaren Boot-Manager müssen zusätzlich widerrufen werden, und dieser Schritt muss manuell erfolgen. Systeme, bei denen er übersprungen wurde, bleiben verwundbar, selbst wenn alle Windows-Updates installiert sind, wie das Threat-Research-Team von Aviatrix in seiner Analyse der Kampagne erläutert.„Der Patch von Microsoft für CVE-2022-21894 widerruft das verwundbare Zertifikat 'Windows Production PCA 2011' nicht automatisch – Administratoren müssen die Secure-Boot-Sperrung nach dem Einspielen des Patches manuell auslösen.“ – Aviatrix-BedrohungsforscherEin verwandtes Detail wird leicht missverstanden. Das Zertifikat „Windows Production PCA 2011“, das die verwundbaren Boot-Manager an Microsofts Trust Store band, ist am 19. Oktober 2026 abgelaufen. Forscher warnen, dass dieses Ablaufdatum allein nichts repariert: Verwundbare Binaries laden weiterhin, sofern sie nicht explizit gesperrt wurden. Die Sperrung zählt, nicht der Kalender.
Eine Spionagekampagne unter dem Betriebssystem
Laut Kaspersky wurde BlackX Anfang 2026 gegen diplomatische Organisationen in Tadschikistan, Usbekistan und Turkmenistan eingesetzt. Das Unternehmen bringt die Kampagne mit mittlerer Konfidenz mit APT41 in Verbindung, einem staatlich unterstützten chinesischen Akteur – eine Einschätzung, die Aviatrix teilt und die darauf hinweist, dass die Gruppe auch als Brass Typhoon geführt wird. Wie bei jeder Zuschreibung ohne Verurteilung beschreibt das Label die Lesart der Forscher, keinen bewiesenen Fakt. Die Kette selbst beginnt konventionell: Die Angreifer benötigen Administratorzugriff, registrieren anschließend ihren eigenen Schlüssel und platzieren das Bootkit dort, wo die Firmware es ausführt. Von dort lädt das Implantat einen Kernel-Treiber, der mit einem inzwischen gesperrten Zertifikat signiert war. Laut Kasperskys Analyse entfernt der Treiber Prozess-, Thread- und Registry-Callbacks der Sicherheitssoftware und manipuliert Event Tracing – und blendet damit Sicherheitswerkzeuge auf den infizierten Maschinen effektiv aus.- Das Bootkit hält sich unterhalb des Betriebssystems fest, in einer Schicht, die die meisten Endpoint-Tools nie inspizieren.
- Ein Kernel-Treiber deaktiviert Sicherheitswerkzeuge, indem er Callbacks entfernt und Tracing manipuliert – Verteidiger bekommen ein unvollständiges Bild.
- Die finale Nutzlast ist ein Remote-Access-Trojaner, dessen Befehlskanal sich in legitimen Cloud-Speichern wie Google Drive, OneDrive und Yandex.Disk versteckt.
- Forscher beobachteten Loader-Komponenten, die per DLL Side-Loading eingeschleust und gegen Analyse verschleiert wurden.
Was eine Neuinstallation überlebt
Die praktische Konsequenz für Verteidiger und Home-Lab-Betreiber ist unangenehm, aber simpel: Eine Windows-Neuinstallation entfernt ein Bootkit nicht zuverlässig. Das Implantat lebt in der EFI-Systempartition, und eine routinemäßige Neuinstallation löscht diese Partition nicht unbedingt oder stellt die Boot-Binaries darauf nicht wieder her. Eine Maschine kann in ein frisches, voll aktualisiertes Windows booten und trotzdem zuerst Angreifercode laden. Zur Klarstellung: Solche Implantate verbreiten sich nicht von selbst – der Angreifer braucht zuerst Administrator- oder physischen Zugriff – aber sobald eines sitzt, ist der Neuinstallations-Reflex nicht der Neuanfang, für den er gehalten wird.Was sich wirklich zu prüfen lohnt
- Klären, ob Secure Boot aktiviert ist (msinfo32 zeigt unter Windows den Secure Boot State).
- Microsofts Anleitung zum Widerrufen verwundbarer Boot-Manager anwenden, statt zu glauben, Updates erledigten das; der Baton-Drop-Fix verlangt diesen manuellen Schritt.
- Auf Dual-Boot- oder Home-Lab-Maschinen registrierte Machine Owner Keys mit mokutil prüfen und Einträge entfernen, die man nicht selbst angelegt hat.
- Eine Sicherheitssoftware, die still nicht mehr startet, als Vorfall behandeln, nicht als Bug – genau das ist der Job dieses Treibers.
- Wenn eine Maschine wirklich verdächtig ist: Partition neu anlegen oder Firmware neu flashen, statt einer simplen Neuinstallation zu vertrauen; die EFI-Systempartition ist der Ort, an dem die Persistenz sitzt.