BlackX UEFI bootkit：Baton Drop 绕过如何攻陷已完全修补的 Windows 系统
卡巴斯基全球研究与分析团队（GReAT）的研究人员公布了 BlackX 的细节，这是一种 UEFI bootkit（引导套件），会把自己植入到完全修补的 Windows 机器的操作系统之下。研究人员将该植入体与针对中亚外交组织的间谍活动联系起来，并以中等置信度将其归因于 APT41；The Hacker News 报道称，它滥用了代号 “Baton Drop” 的 Secure Boot 绕过漏洞（CVE-2022-21894）。由于该漏洞的修复要求一个许多管理员从未执行过的手动步骤，这项 2022 年就已完成修补的漏洞在固件层面重新变得有用。
BlackX 是什么
BlackX 是一个 bootkit：它不是从内部攻击 Windows，而是操纵启动过程，让它的代码在操作系统加载之前运行。卡巴斯基研究人员将其描述为与 BlackLotus 相似——后者是因利用同一漏洞而闻名的更早期 bootkit；The Hacker News 则将 BlackX 定性为该谱系的更新版本。这一比较很重要，因为 BlackLotus 已经证明：Secure Boot 绕过并非纸上谈兵。一旦出现可用的 bootkit，用户以为已经开启的保护就可能被悄悄瓦解。Baton Drop 绕过
CVE-2022-21894 允许对一台机器拥有管理权限——或短暂获得物理访问——的攻击者注册自己的密钥，并在启动过程中加载未签名代码。微软在 2022 年发布了修复程序，但仅靠补丁并不能完成任务：易受攻击的引导管理器还必须被撤销，而这一步骤必须手动执行。跳过了这一步的系统，即使安装了所有 Windows 更新，仍然可被利用——Aviatrix 的威胁研究团队在其对这场活动的分析中也解释了这一点。“微软针对 CVE-2022-21894 的补丁并不会自动撤销存在漏洞的 'Windows Production PCA 2011' 证书——管理员必须在应用补丁之后手动触发 Secure Boot 撤销。”—— Aviatrix 威胁研究人员一个相关细节很容易被误读。将易受攻击的引导管理器接入微软信任库的 “Windows Production PCA 2011” 证书已于 2026 年 10 月 19 日到期。研究人员提醒，证书到期本身什么也修不了：易受攻击的二进制文件在被明确撤销之前仍会继续加载。关键在于撤销，而不是日历。
发生在操作系统之下的间谍活动
据卡巴斯基报告，BlackX 于 2026 年初被用于针对塔吉克斯坦、乌兹别克斯坦和土库曼斯坦的外交组织。该公司以中等置信度将这场活动与 APT41——一个受中国政府支持的威胁行为体——联系起来；Aviatrix 也附和了这一评估，并指出该组织还以 Brass Typhoon 的名称被追踪。与任何未经定罪的归因一样，这个标签描述的是研究人员对证据的解读，而非已确证的事实。 攻击链本身从常规方式开始：攻击者需要管理权限，随后注册自己的密钥，并把 bootkit 放到固件将会执行的位置。从这里开始，植入体加载一个内核驱动程序，该驱动程序所用的证书如今已被吊销。根据卡巴斯基的分析，这个驱动程序会移除安全软件的进程、线程和注册表回调，并篡改事件跟踪，实际上让受感染机器上的安全工具失明。- bootkit 在操作系统之下持久驻留，位于大多数端点工具从不检查的层级。
- 一个内核驱动程序通过移除回调、篡改跟踪来停用安全工具，让防御者看到的图景残缺不全。
- 最终载荷是一个远程访问木马，其命令信道隐藏在 Google Drive、OneDrive、Yandex.Disk 等合法云存储服务之中。
- 研究人员观察到通过 DLL 侧加载投递、并经混淆以对抗分析的加载器组件。
重装系统之后依然存活的东西
对防御者和家庭实验室运营者来说，实际后果令人不适却很简单：重装 Windows 并不能可靠地清除 bootkit。植入体栖身于 EFI 系统分区，而常规重装不一定会抹掉这个分区，也不一定恢复其中的引导二进制文件。一台机器可以启动进全新、完全更新的 Windows，却仍然先加载攻击者的代码。需要说明的是：这类植入体不会自行传播——攻击者首先需要管理权限或物理访问——但一旦植入成功，“重装系统”这个条件反射并不是它看起来的那张白纸。真正值得检查的事项
- 确认 Secure Boot 已启用（在 Windows 中，msinfo32 会显示 Secure Boot State）。
- 执行微软关于撤销易受攻击引导管理器的指导，而不是想当然地认为更新会代劳；Baton Drop 的修复要求这个手动撤销步骤。
- 在双系统或家庭实验室的机器上，用 mokutil 检查已注册的 Machine Owner Keys，删除任何不是你创建的条目。
- 把悄悄停止启动的安全产品当作事件来对待，而不是当作故障——这个驱动程序的职责恰恰就是让安全工具失明。
- 如果一台机器确实可疑，请重新分区磁盘或重刷固件，而不是指望简单重装；EFI 系统分区正是持久化的所在。