UEFI-буткит BlackX: как обход Baton Drop добирается до полностью обновлённых систем Windows
Исследователи Global Research and Analysis Team (GReAT) «Лаборатории Касперского» опубликовали данные о BlackX – UEFI-бутките, который закрепляется под операционной системой полностью обновлённых машин с Windows. Исследователи связывают имплант со шпионской кампанией против дипломатических организаций в Центральной Азии и приписывают его группировке APT41 со средней степенью уверенности; The Hacker News сообщает, что он эксплуатирует обход Secure Boot под кодовым именем «Baton Drop» (CVE-2022-21894). Поскольку исправление этой уязвимости требует ручного шага, который многие администраторы так и не выполнили, уязвимость, закрытая в 2022 году, снова пригодилась на уровне прошивки.
Что такое BlackX
BlackX – это буткит: вместо атаки на Windows изнутри он вмешивается в процесс загрузки, чтобы его код выполнялся до старта операционной системы. Исследователи «Лаборатории Касперского» описывают его как похожий на BlackLotus – более ранний буткит, известный эксплуатацией той же уязвимости, а The Hacker News характеризует BlackX как обновлённую версию этой линейки. Сравнение важно: BlackLotus показал, что обходы Secure Boot – не теория. Стоит появиться рабочему буткиту, и защиту, которую пользователи считают включённой, можно незаметно нейтрализовать.Обход Baton Drop
CVE-2022-21894 позволяет атакующему с административным доступом к машине – или с кратковременным физическим доступом – зарегистрировать собственные ключи и загрузить неподписанный код при старте. Microsoft выпустила исправление в 2022 году, но сам патч задачу не завершает: уязвимые загрузчики нужно ещё и отзывать, а этот шаг выполняется вручную. Системы, где его пропустили, остаются уязвимыми даже со всеми установленными обновлениями Windows, как объясняет команда threat research Aviatrix в своём разборе кампании.«Патч Microsoft для CVE-2022-21894 не отзывает уязвимый сертификат “Windows Production PCA 2011” автоматически – администраторы должны вручную запустить отзыв Secure Boot после установки патча». – Исследователи угроз AviatrixСмежную деталь легко понять неверно. Сертификат «Windows Production PCA 2011», связывавший уязвимые загрузчики с хранилищем доверия Microsoft, истёк 19 октября 2026 года. Исследователи предупреждают: само по себе истечение ничего не чинит – уязвимые бинарники продолжают загружаться, пока их явно не отзовут. Важен отзыв, а не календарь.
Шпионская кампания ниже уровня ОС
По данным «Лаборатории Касперского», BlackX применялся в начале 2026 года против дипломатических организаций Таджикистана, Узбекистана и Туркменистана. Компания связывает кампанию с APT41 – актором, действующим от имени китайского государства, – со средней степенью уверенности; к той же оценке присоединяется Aviatrix, отмечая, что группировка также отслеживается под именем Brass Typhoon. Как и всякая атрибуция без судебного приговора, такая метка описывает трактовку улик исследователями, а не установленный факт. Сама цепочка начинается обычно: атакующим нужен административный доступ, после чего они регистрируют собственный ключ и размещают буткит там, где его исполнит прошивка. Дальше имплант загружает драйвер уровня ядра, подписанный сертификатом, который с тех пор отзыван. По данным анализа «Лаборатории Касперского», драйвер удаляет колбэки процессов, потоков и реестра у защитного ПО и вмешивается в трассировку событий, фактически ослепляя инструменты на заражённых машинах.- Буткит закрепляется ниже операционной системы, в слое, который большинство endpoint-инструментов никогда не проверяет.
- Драйвер ядра отключает защитные инструменты, убирая колбэки и вмешиваясь в трассировку, – у обороны остаётся неполная картина.
- Финальная полезная нагрузка – троян удалённого доступа, чей командный канал прячется в легитимных облачных хранилищах вроде Google Drive, OneDrive и Yandex.Disk.
- Исследователи наблюдали компоненты-загрузчики, доставляемые через DLL side-loading и обфусцированные против анализа.
Что переживает переустановку
Практический вывод для защитников и владельцев домашних лабораторий неприятен, но прост: переустановка Windows не гарантирует удаления буткита. Имплант живёт в системном разделе EFI, а обычная переустановка не обязательно стирает этот раздел и не восстанавливает лежащие в нём загрузочные бинарники. Машина может загрузить свежую, полностью обновлённую Windows – и всё равно сначала исполнить код атакующего. Уточним: такие импланты не распространяются сами – атакующему сперва нужен административный или физический доступ, – но уж если имплант встал, рефлекс «переустановить» – не тот чистый лист, каким кажется.Что действительно стоит проверить
- Убедиться, что Secure Boot включён (msinfo32 показывает Secure Boot State в Windows).
- Применить рекомендации Microsoft по отзыву уязвимых загрузчиков, а не надеяться, что это сделают обновления; патч Baton Drop требует именно ручного отзыва.
- На машинах с двойной загрузкой или в домашних лабораториях проверить зарегистрированные Machine Owner Keys через mokutil и удалить записи, которые вы не создавали.
- Защитный продукт, который перестаёт запускаться без сообщений, – это инцидент, а не баг: именно в этом работа данного драйвера.
- Если машина действительно под подозрением, переразбить диск или перепрошить firmware, а не полагаться на простую переустановку; системный раздел EFI – точка закрепления.