BlackX UEFI-bootkit: hoe de Baton Drop-omzeiling volledig gepatchte Windows-systemen bereikt
Onderzoekers van Kasperskys Global Research and Analysis Team (GReAT) hebben details over BlackX gepubliceerd, een UEFI-bootkit die zich onder het besturingssysteem van volledig gepatchte Windows-machines nestelt. De onderzoekers verbinden de implant aan een spionagecampagne tegen diplomatieke organisaties in Centraal-Azië en schrijven die toe aan APT41 met gemiddelde zekerheid; The Hacker News meldt dat het misbruikmaakt van de Secure Boot-omzeiling genaamd “Baton Drop” (CVE-2022-21894). Omdat de fix voor die kwetsbaarheid een handmatige stap vereist die veel beheerders nooit hebben uitgevoerd, is een in 2022 gepatcht lek op firmwariveau weer bruikbaar.
Wat BlackX is
BlackX is een bootkit: in plaats van Windows van binnenuit aan te vallen, manipuleert het het opstartproces zodat de code draait voordat het besturingssysteem laadt. Kasperskys onderzoekers beschrijven het als vergelijkbaar met BlackLotus, het eerdere bootkit dat bekendstond om het misbruiken van dezelfde kwetsbaarheid, en The Hacker News typeert BlackX als een bijgewerkte versie van die lijn. De vergelijking telt, want BlackLotus liet zien dat Secure Boot-omzeilingen niet theoretisch zijn: zodra er een werkend bootkit bestaat, kan de bescherming die gebruikers denken aan te hebben stilletjes worden uitgeschakeld.De Baton Drop-omzeiling
CVE-2022-21894 staat een aanvaller met beheerderstoegang tot een machine – of kort fysieke toegang – toe om eigen sleutels te registreren en niet-ondertekende code tijdens het opstarten te laden. Microsoft leverde in 2022 een fix, maar de patch alléén maakt de klus niet af: de kwetsbare bootmanagers moeten ook worden ingetrokken, en die stap moet handmatig worden uitgevoerd. Systemen waar dat is overgeslagen blijven exploiteerbaar, zelfs met alle Windows-updates geïnstalleerd, zoals het threat research-team van Aviatrix uitlegt in zijn analyse van de campagne.“Microsofts patch voor CVE-2022-21894 trekt het kwetsbare certificaat 'Windows Production PCA 2011' niet automatisch in – beheerders moeten de Secure Boot-intrekking handmatig starten nadat ze de patch hebben toegepast.” – Bedreigingsonderzoekers van AviatrixEen verwant detail wordt makkelijk verkeerd gelezen. Het certificaat “Windows Production PCA 2011”, dat de kwetsbare bootmanagers aan Microsofts vertrouwensopslag koppelde, is op 19 oktober 2026 verlopen. Onderzoekers waarschuwen dat die verloopdatum op zichzelf niets herstelt: kwetsbare binaries laden gewoon door, tenzij ze expliciet zijn ingetrokken. De intrekking telt, niet de kalender.
Een spionagecampagne onder het besturingssysteem
Volgens Kaspersky werd BlackX begin 2026 ingezet tegen diplomatieke organisaties in Tadzjikistan, Oezbekistan en Turkmenistan. Het bedrijf verbindt de campagne met gemiddelde zekerheid aan APT41, een Chinese staatsactor – een inschatting die Aviatrix onderschrijft en die erop wijst dat de groep ook als Brass Typhoon bekendstaat. Zoals bij elke toeschrijving zonder veroordeling beschrijft het label de lezing van de onderzoekers, geen vaststaand feit. De keten zelf begint conventioneel: de aanvallers hebben beheerderstoegang nodig, waarna ze hun eigen sleutel registreren en het bootkit plaatsen waar de firmware het zal uitvoeren. Van daaruit laadt de implant een kerneldriver die was ondertekend met een certificaat dat inmiddels is ingetrokken. Volgens Kasperskys analyse verwijdert de driver de proces-, thread- en registry-callbacks van beveiligingssoftware en manipuleert event tracing, waarmee het beveiligingstools op de geïnfecteerde machines effectief blindmaakt.- Het bootkit blijft bestaan onder het besturingssysteem, in een laag die de meeste endpointtools nooit inspecteren.
- Een kerneldriver schakelt beveiligingstools uit door callbacks te verwijderen en tracing te manipuleren, waardoor verdedigers een onvolledig beeld houden.
- De uiteindelijke payload is een remote access-trojaan wiens commandokanaal zich verstopt in legitieme clouddiensten als Google Drive, OneDrive en Yandex.Disk.
- Onderzoekers zagen loader-componenten die via DLL side-loading werden afgeleverd en verduisterd om analyse tegen te gaan.
Wat een herinstallatie overleeft
De praktische consequentie voor verdedigers en home lab-beheerders is ongemakkelijk maar simpel: Windows opnieuw installeren verwijdert een bootkit niet betrouwbaar. De implant huist in de EFI-systeempartitie, en een gewone herinstallatie wist die partitie niet per se of herstelt de boot-binaries erop niet. Een machine kan opstarten in een splinternieuwe, volledig bijgewerkte Windows en alsnog eerst aanvallerscode laden. Om misverstanden te voorkomen: zulke implantaten verspreiden zich niet zelf – de aanvaller heeft eerst beheerders- of fysieke toegang nodig – maar eenmaal geplaatst is de reflex “even opnieuw installeren” niet het schone blad dat het lijkt.Wat echt de moeite van het controleren waard is
- Controleer of Secure Boot is ingeschakeld (msinfo32 toont de Secure Boot State onder Windows).
- Volg Microsofts richtlijn om kwetsbare bootmanagers in te trekken in plaats van te veronderstellen dat updates dat doen; de Baton Drop-fix vereist die handmatige intrekkingsstap.
- Onderzoek op dual-boot- of home lab-machines de geregistreerde Machine Owner Keys met mokutil en verwijder items die je zelf niet hebt aangemaakt.
- Beschouw een beveiligingsproduct dat stilletjes stopt met opstarten als een incident, niet als een bug – dat is precies de taak van deze driver.
- Als een machine echt verdacht is: herpartitioneer de schijf of flash de firmware opnieuw in plaats van te vertrouwen op een simpele herinstallatie; de EFI-systeempartitie is het persistantiepunt.