Bootkit UEFI BlackX: jak obejście Baton Drop trafia w pełni załatane systemy Windows
Badacze z Global Research and Analysis Team (GReAT) w Kaspersky opublikowali szczegóły dotyczące BlackX, bootkita UEFI, który instaluje się poniżej systemu operacyjnego w pełni załatanych maszyn z Windows. Badacze łączą implant z kampanią szpiegowską wymierzoną w organizacje dyplomatyczne w Azji Środkowej i przypisują go grupie APT41 ze średnią pewnością; The Hacker News donosi, że nadużywa on obejścia Secure Boot zwanego „Baton Drop” (CVE-2022-21894). Ponieważ łatanie tej luki wymaga ręcznego kroku, którego wielu administratorów nigdy nie wykonało, podatność załatana w 2022 roku znów stała się użyteczna na poziomie firmware'u.
Czym jest BlackX
BlackX to bootkit: zamiast atakować Windows od środka, manipuluje procesem rozruchu tak, by jego kod wykonywał się, zanim wczyta się system operacyjny. Badacze Kaspersky opisują go jako podobnego do BlackLotus, wcześniejszego bootkita znanego z wykorzystania tej samej podatności, a The Hacker News określa BlackX jako zaktualizowaną wersję tej linii. Porównanie ma znaczenie, bo BlackLotus pokazał, że obejścia Secure Boot nie są teoretyczne: gdy tylko istnieje działający bootkit, ochronę, którą użytkownicy uważają za włączoną, można po cichu zneutralizować.Obejście Baton Drop
CVE-2022-21894 pozwala atakującemu z dostępem administracyjnym do maszyny – lub krótkotrwałym dostępem fizycznym – zarejestrować własne klucze i wczytać niepodpisany kod podczas rozruchu. Microsoft wydał poprawkę w 2022 roku, ale sam patch nie kończy roboty: podatne menedżery rozruchu trzeba dodatkowo unieważnić, a ten krok wykonuje się ręcznie. Systemy, w których go pominięto, pozostają podatne nawet ze wszystkimi aktualizacjami Windows, jak wyjaśnia zespół threat research Aviatrix w swojej analizie kampanii.„Poprawka Microsoftu dla CVE-2022-21894 nie unieważnia automatycznie podatnego certyfikatu 'Windows Production PCA 2011' – administratorzy muszą ręcznie uruchomić unieważnienie Secure Boot po zastosowaniu poprawki”. – Badacze zagrożeń AviatrixPowiązany szczegół łatwo źle odczytać. Certyfikat „Windows Production PCA 2011”, który łączył podatne menedżery rozruchu z magazynem zaufania Microsoftu, wygasł 19 października 2026 roku. Badacze ostrzegają, że samo wygaśnięcie niczego nie naprawia: podatne pliki binarne wczytują się dalej, dopóki nie zostaną jawnie unieważnione. Liczy się unieważnienie, nie kalendarz.
Kampania szpiegowska poniżej systemu operacyjnego
Według Kaspersky BlackX był wdrażany na początku 2026 roku przeciwko organizacjom dyplomatycznym w Tadżykistanie, Uzbekistanie i Turkmenistanie. Firma łączy kampanię z APT41 – chińskim aktorem państwowym – ze średnią pewnością; do tej oceny przyłącza się Aviatrix, przypominając, że grupa jest też śledzona jako Brass Typhoon. Jak przy każdej atrybucji bez wyroku sądowego, taka etykieta opisuje odczyt dowodów przez badaczy, a nie ustalony fakt. Sama łańcuch zaczyna się konwencjonalnie: atakujący potrzebują dostępu administracyjnego, po czym rejestrują własny klucz i umieszczają bootkit tam, gdzie wykona go firmware. Stamtąd implant wczytuje sterownik jądra podpisany certyfikatem, który od tego czasu został unieważniony. Według analizy Kaspersky sterownik usuwa callbacki procesów, wątków i rejestru z oprogramowania zabezpieczającego i manipuluje śledzeniem zdarzeń, skutecznie oślepiając narzędzia bezpieczeństwa na zainfekowanych maszynach.- Bootkit utrzymuje się poniżej systemu operacyjnego, w warstwie, której większość narzędzi endpoint nigdy nie sprawdza.
- Sterownik jądra wyłącza narzędzia bezpieczeństwa, usuwając callbacki i manipulując śledzeniem, co zostawia obrońcom niepełny obraz.
- Finalny ładunek to trojan zdalnego dostępu, którego kanał dowodzenia kryje się w legalnych usługach przechowywania w chmurze, takich jak Google Drive, OneDrive i Yandex.Disk.
- Badacze obserwowali komponenty loaderów dostarczane przez DLL side-loading i zaciemnione, by utrudnić analizę.
Co przeżywa reinstalację
Praktyczny wniosek dla obrońców i prowadzących domowe laboratoria jest niezręczny, ale prosty: reinstalacja Windows nie usuwa bootkita niezawodnie. Implant mieszka w partycji systemowej EFI, a rutynowa reinstalacja nie musi tej partycji kasować ani przywracać leżących na niej plików rozruchowych. Maszyna może wystartować świeżym, w pełni zaktualizowanym Windows i mimo to najpierw wczytać kod atakującego. Dla jasności: takie implanty nie rozprzestrzeniają się same – atakujący potrzebuje najpierw dostępu administracyjnego lub fizycznego – ale gdy już się zadomowi, odruch „przeinstaluj” nie jest czystą kartą, za którą go się bierze.Co naprawdę warto sprawdzić
- Sprawdzić, czy Secure Boot jest włączony (msinfo32 pokazuje Secure Boot State w Windows).
- Zastosować wytyczne Microsoftu dotyczące unieważniania podatnych menedżerów rozruchu zamiast zakładać, że zrobią to aktualizacje; poprawka Baton Drop wymaga tego ręcznego kroku.
- Na maszynach z podwójnym rozruchem lub w domowych laboratoriach przejrzeć zarejestrowane Machine Owner Keys przez mokutil i usunąć wpisy, których samemu nie tworzono.
- Produkt bezpieczeństwa, który po cichu przestaje się uruchamiać, traktować jako incydent, a nie bug – to dokładnie praca tego sterownika.
- Jeśli maszyna jest naprawdę podejrzana, ponownie podzielić dysk lub wgrać firmware od nowa zamiast ufać zwykłej reinstalacji; partycja systemowa EFI to miejsce utrwalenia.