Il bootkit UEFI BlackX: come il bypass Baton Drop raggiunge sistemi Windows completamente aggiornati
I ricercatori del Global Research and Analysis Team (GReAT) di Kaspersky hanno pubblicato i dettagli su BlackX, un bootkit UEFI che si installa al di sotto del sistema operativo su macchine Windows completamente aggiornate. I ricercatori collegano l'impianto a una campagna di spionaggio contro organizzazioni diplomatiche in Asia centrale e lo attribuiscono ad APT41 con confidenza media; The Hacker News riferisce che sfrutta il bypass di Secure Boot soprannominato “Baton Drop” (CVE-2022-21894). Poiché la correzione di quella vulnerabilità richiede un passaggio manuale che molti amministratori non hanno mai eseguito, una falla corretta nel 2022 torna utile a livello di firmware.
Cos'è BlackX
BlackX è un bootkit: invece di attaccare Windows dall'interno, manipola il processo di avvio perché il suo codice venga eseguito prima che il sistema operativo si carichi. I ricercatori di Kaspersky lo descrivono come simile a BlackLotus, il bootkit precedente noto per aver sfruttato la stessa vulnerabilità, e The Hacker News lo definisce una versione aggiornata di quel ceppo. Il confronto conta perché BlackLotus ha dimostrato che i bypass di Secure Boot non sono teorici: appena esiste un bootkit funzionante, la protezione che gli utenti credono attiva può essere neutralizzata in silenzio.Il bypass Baton Drop
CVE-2022-21894 permette a un attaccante con accesso amministrativo a una macchina – o con un breve accesso fisico – di registrare le proprie chiavi e caricare codice non firmato durante l'avvio. Microsoft ha rilasciato una correzione nel 2022, ma la patch da sola non completa il lavoro: i boot manager vulnerabili vanno anche revocati, e quel passaggio va eseguito manualmente. I sistemi in cui è stato saltato restano sfruttabili anche con tutti gli aggiornamenti di Windows installati, come spiega il team di threat research di Aviatrix nella sua analisi della campagna.“La patch di Microsoft per CVE-2022-21894 non revoca automaticamente il certificato vulnerabile 'Windows Production PCA 2011' – gli amministratori devono attivare manualmente la revoca di Secure Boot dopo aver applicato la patch”. – Ricercatori sulle minacce di AviatrixUn dettaglio correlato si legge facilmente nel modo sbagliato. Il certificato “Windows Production PCA 2011”, che legava i boot manager vulnerabili all'archivio di fiducia di Microsoft, è scaduto il 19 ottobre 2026. I ricercatori avvertono che la scadenza da sola non ripara nulla: i binari vulnerabili continuano a caricarsi finché non vengono revocati esplicitamente. Conta la revoca, non il calendario.
Una campagna di spionaggio sotto il sistema operativo
Secondo Kaspersky, BlackX è stato schierato all'inizio del 2026 contro organizzazioni diplomatiche in Tagikistan, Uzbekistan e Turkmenistan. L'azienda collega la campagna ad APT41, un attore statale cinese, con confidenza media – una valutazione ripresa da Aviatrix, che ricorda che il gruppo è tracciato anche come Brass Typhoon. Come per ogni attribuzione senza condanna, l'etichetta descrive la lettura delle prove da parte dei ricercatori, non un fatto accertato. La catena in sé inizia in modo convenzionale: gli attaccanti hanno bisogno di accesso amministrativo, dopodiché registrano la propria chiave e collocano il bootkit dove il firmware lo eseguirà. Da lì l'impianto carica un driver kernel firmato con un certificato che nel frattempo è stato revocato. Secondo l'analisi di Kaspersky, il driver rimuove le callback di processo, thread e registro del software di sicurezza e manomette l'event tracing, accecando di fatto gli strumenti di sicurezza sulle macchine infette.- Il bootkit persiste sotto il sistema operativo, in uno strato che la maggior parte degli strumenti endpoint non ispeziona mai.
- Un driver kernel disattiva gli strumenti di sicurezza rimuovendo callback e manomettendo la tracciatura, lasciando i difensori con un quadro incompleto.
- Il payload finale è un trojan ad accesso remoto il cui canale di comando si nasconde in servizi legittimi di cloud storage come Google Drive, OneDrive e Yandex.Disk.
- I ricercatori hanno osservato componenti loader consegnati tramite DLL side-loading e offuscati per resistere all'analisi.
Cosa sopravvive a una reinstallazione
La conseguenza pratica per difensori e gestori di home lab è scomoda ma semplice: reinstallare Windows non rimuove in modo affidabile un bootkit. L'impianto vive nella partizione di sistema EFI, e una reinstallazione ordinaria non necessariamente cancella quella partizione né ripristina i binari di avvio che contiene. Una macchina può avviare un Windows fresco e completamente aggiornato e caricare comunque prima il codice dell'attaccante. Per chiarezza: questi impianti non si diffondono da soli – l'attaccante necessita prima di accesso amministrativo o fisico – ma una volta insediato, il riflesso “reinstalla” non è la lavagna pulita che sembra.Cosa vale davvero la pena controllare
- Verificare che Secure Boot sia attivo (msinfo32 mostra lo Secure Boot State su Windows).
- Applicare le indicazioni di Microsoft per revocare i boot manager vulnerabili invece di dare per scontato che lo facciano gli aggiornamenti; la patch di Baton Drop richiede quel passaggio manuale di revoca.
- Su macchine dual boot o home lab, controllare le Machine Owner Key registrate con mokutil e rimuovere le voci che non avete creato voi.
- Trattare un prodotto di sicurezza che smette silenziosamente di avviarsi come un incidente, non come un bug – è esattamente il compito di questo driver.
- Se una macchina è davvero sospetta, ripartizionare il disco o ricaricare il firmware invece di fidarsi di una semplice reinstallazione; la partizione di sistema EFI è il punto di persistenza.