Эксперты «Лаборатории Касперского» выявили новый UEFI-буткит BlackX, который использовался в целевых атаках на дипломатические ведомства Таджикистана, Узбекистана и Туркменистана. Эта вредоносная кампания была впервые обнаружена в начале 2026 года, когда атакующие применяли инструмент уже после получения прав администратора в сети жертвы. BlackX позволяет злоумышленникам закрепиться на системе до загрузки Windows, вмешиваться в работу защитных решений и запускать шпионское ПО, используя для обхода защиты Secure Boot старую уязвимость Baton Drop. Атака эффективна даже на полностью пропатченных системах под управлением Windows, так как требует ручной активации защиты администратором, несмотря на истечение срока действия проблемного сертификата 19 октября 2026 года.
Исследователи отмечают, что BlackX является «родственником» известного буткита BlackLotus, появившегося на хакерских форумах в 2022 году и продававшегося за 5000 долларов США. В 2023 году специалисты ESET подтвердили способность BlackLotus обходить Secure Boot через проблему Baton Drop (CVE-2022-21894). В BlackX эксплуатация этой уязвимости реализована аналогично: эксплоит добавляет в систему пользовательские ключи владельца компьютера (MOK), что дает возможность загружать произвольные EFI-файлы. Однако в атаках с применением BlackX используются другой драйвер и собственные полезные нагрузки, отличные от атак BlackLotus. Эксперты полагают, что авторы нового инструмента либо провели реверс-инжиниринг предшественника, либо получили его исходные коды, в которых обнаружились фрагменты, отсутствовавшие в публичной версии утечки 2023 года.
После успешного запуска на машине жертвы BlackX внедряет в ядро Windows вредоносный драйвер, подписанный сертификатом организации 温江区明宇网络技术服务工作室 (Wenjiang District Mingyu Network Technology Service Studio), серийный номер которого 0bcdf5e0da32d68900b8b7638459d072 уже отозван издателем. Драйвер отключает обратные вызовы процессов, потоков и реестра, связанные с защитным ПО, а также вмешивается в работу поставщиков ETW, чтобы блокировать получение выходных данных антивирусами. Часть вредоносных функций активируется только при обнаружении в системе продуктов «Лаборатории Касперского» или Avast. Кроме того, драйвер защищает файлы буткита от вмешательства, перехватывая запросы ядра на открытие этих файлов и возвращая вместо дескриптора вредоносного файла дескриптор calc.exe.
Вторым компонентом атаки является OxiDLLRunner, который использует технику DLL sideloading для запуска Rust-пейлоада и загрузки дополнительных плагинов с управляющего сервера. На зараженные машины также загружаются инструменты для кибершпионажа, включая троян удаленного доступа, использующий легитимные сервисы Google Drive, OneDrive или «Яндекс Диск» для похищения конфиденциальной информации и отслеживания действий жертв, а также .NET-модули. Исследователи со средней степенью уверенности связывают эту кампанию с китайской хак-группой APT41, на что указывают пересечения с ранее описанной активностью FishMonger, характерная техника DLL sideloading и использование обфускатора OLLVM. Главная проблема заключалась в том, что все изученные зараженные системы были полностью обновлены, но администраторы не активировали защиту вручную, что позволило уязвимым бинарникам продолжать работу.
