UEFI-буткіт BlackX: як обхід Baton Drop дістається повністю оновлених систем Windows
Дослідники Global Research and Analysis Team (GReAT) «Лабораторії Касперського» опублікували дані про BlackX – UEFI-буткіт, який влаштовується під операційною системою повністю оновлених машин із Windows. Дослідники пов'язують імплант із шпигунською кампанією проти дипломатичних організацій у Центральній Азії та приписують його групі APT41 з середнім ступенем впевненості; The Hacker News повідомляє, що він зловживає обходом Secure Boot під кодовою назвою «Baton Drop» (CVE-2022-21894). Оскільки виправлення цієї вразливості потребує ручного кроку, якого чимало адміністраторів так і не виконали, вразливість, закрита 2022 року, знову стала придатною на рівні прошивки.
Що таке BlackX
BlackX – це буткіт: замість атаки на Windows зсередини він втручається у процес завантаження, щоб його код виконувався до старту операційної системи. Дослідники «Лабораторії Касперського» описують його як схожий на BlackLotus – давніший буткіт, відомий використанням тієї ж вразливості, а The Hacker News характеризує BlackX як оновлену версію цієї лінійки. Порівняння важливе: BlackLotus показав, що обходи Secure Boot – не теорія. Варто з'явитися робочому буткіту, і захист, який користувачі вважають увімкненим, можна непомітно нейтралізувати.Обхід Baton Drop
CVE-2022-21894 дозволяє зловмиснику з адміністративним доступом до машини – або з короткочасним фізичним доступом – зареєструвати власні ключі та завантажити непідписаний код під час старту. Microsoft випустила виправлення 2022 року, але сам патч завдання не завершує: уразливі завантажувачі потрібно ще і відкликати, а цей крок виконується вручну. Системи, де його пропустили, лишаються вразливими навіть із усіма встановленими оновленнями Windows, як пояснює команда threat research Aviatrix у своєму розборі кампанії.«Патч Microsoft для CVE-2022-21894 не відкликає вразливий сертифікат “Windows Production PCA 2011” автоматично – адміністратори мають вручну запустити відкликання Secure Boot після встановлення патча». – Дослідники загроз AviatrixСуміжну деталь легко зрозуміти неправильно. Сертифікат «Windows Production PCA 2011», що пов'язував уразливі завантажувачі зі сховищем довіри Microsoft, 19 жовтня 2026 року втратив чинність. Дослідники попереджують: саме по собі це нічого не лагодить – уразливі бінарники продовжують завантажуватися, доки їх явно не відкликають. Важливе відкликання, а не календар.
Шпигунська кампанія нижче рівня ОС
За даними «Лабораторії Касперського», BlackX застосовувався на початку 2026 року проти дипломатичних організацій Таджикистану, Узбекистану та Туркменістану. Компанія пов'язує кампанію з APT41 – актором, що діє від імені китайської держави, – із середнім ступенем впевненості; до цієї оцінки долучається Aviatrix, зазначаючи, що група також відстежується під іменем Brass Typhoon. Як і будь-яка атрибуція без судового вироку, такий ярлик описує трактування доказів дослідниками, а не встановлений факт. Сам ланцюжок починається буденно: зловмисникам потрібен адміністративний доступ, після чого вони реєструють власний ключ і розміщують буткіт там, де його виконає прошивка. Далі імплант завантажує драйвер рівня ядра, підписаний сертифікатом, який відтоді відкликали. За даними аналізу «Лабораторії Касперського», драйвер прибирає колбеки процесів, потоків і реєстру у захисного ПЗ та втручається у трасування подій, фактично осліплюючи інструменти на інфікованих машинах.- Буткіт закріплюється нижче операційної системи, у шарі, який більшість endpoint-інструментів ніколи не перевіряє.
- Драйвер ядра вимикає захисні інструменти, прибираючи колбеки та втручаючись у трасування, – в оборони лишається неповна картина.
- Фінальне корисне навантаження – троян віддаленого доступу, чий командний канал ховається в легітимних хмарних сховищах на кшталт Google Drive, OneDrive та Yandex.Disk.
- Дослідники спостерігали компоненти-завантажувачі, що доставлялися через DLL side-loading та були обфусковані проти аналізу.
Що переживає перевстановлення
Практичний висновок для захисників і власників домашніх лабораторій неприємний, але простий: перевстановлення Windows не гарантує видалення буткіта. Імплант живе в системному розділі EFI, а звичайне перевстановлення не обов'язково стирає цей розділ і не відновлює розміщені в ньому завантажувальні бінарники. Машина може завантажити свіжу, повністю оновлену Windows – і все одно спершу виконати код зловмисника. Уточнимо: такі імпланти не поширюються самі – зловмисникові спершу потрібен адміністративний або фізичний доступ, – але щойно імплант влаштувався, рефлекс «перевстановити» – не той чистий аркуш, яким здається.Що справді варто перевірити
- Переконатися, що Secure Boot увімкнено (msinfo32 показує Secure Boot State у Windows).
- Застосувати рекомендації Microsoft щодо відкликання уразливих завантажувачів, а не сподіватися, що це зроблять оновлення; патч Baton Drop вимагає саме ручного відкликання.
- На машинах з подвійним завантаженням або в домашніх лабораторіях перевірити зареєстровані Machine Owner Keys через mokutil і вилучити записи, яких ви не створювали.
- Захисний продукт, який без повідомлень перестає запускатися, – це інцидент, а не баг: саме на це розрахований цей драйвер.
- Якщо машина справді під підозрою, перерозбити диск або перепрошити firmware, а не покладатися на просте перевстановлення; системний розділ EFI – точка закріплення.