BlackX: новый UEFI-буткит обходит Secure Boot, используя уязвимость Baton Drop

Атаки выявили в начале 2026 года. Их целью стали дипломатические организации Центральной Азии, в частности в Таджикистане, Узбекистане и Туркменистане.

Исследователи с умеренной степенью уверенности связывают эту операцию с APT41 — группировкой, которую считают поддерживаемой китайским государством. Она также известна под названиями Brass Typhoon, Wicked Panda и Barium. Как BlackX связан с BlackLotus

Специалисты «Лаборатории Касперского» обнаружили сходство BlackX с другим известным буткитом — BlackLotus, который использовался злоумышленниками с 2022 года. Он тоже эксплуатировал уязвимость Baton Drop с идентификатором CVE-2022-21894, позволяющую обходить Secure Boot.

По мнению исследователей, BlackX мог быть создан на основе обратного анализа BlackLotus либо его исходного кода. Хотя исходный код BlackLotus утёк в июле 2023 года, опубликованная версия была неполной. В образцах BlackX нашли фрагменты, которых не было в общедоступном репозитории.

Что умеет BlackX

BlackX устанавливает вредоносный драйвер ядра Windows. Он предназначен для подавления защитных механизмов и затруднения обнаружения активности вредоносной программы.

Среди выявленных возможностей:

• Противодействие защите. Драйвер может вмешиваться в работу процессов безопасности и механизмов отслеживания событий Windows.

• Маскировка файлов. При попытке открыть файлы буткита вместо них может запускаться стандартный «Калькулятор» Windows.

• Сбор и передача данных. На заражённом компьютере могут запускаться дополнительные шпионские компоненты, в том числе средство удалённого управления, использующее облачные сервисы для связи с операторами и передачи файлов.

• Дополнительные компоненты. Второй компонент, известный как OxiDLLRunner, помогает запускать скрытые вредоносные модули.

Исследователи отмечают, что некоторые функции драйвера рассчитаны на системы, где обнаружены продукты Kaspersky или Avast.

Почему обновления Windows оказалось недостаточно

Это одна из самых важных частей расследования.

По данным «Лаборатории Касперского», на компьютерах пострадавших организаций была установлена актуальная версия Windows. Однако BlackX всё равно смог использовать Baton Drop, поскольку после установки обновлений администраторы не выполнили дополнительный этап настройки Secure Boot.

Исправление Microsoft предусматривает отзыв сертификата Windows Production PCA 2011, которым подписывались уязвимые компоненты UEFI. Но установка обновления сама по себе не гарантирует, что отзыв сертификата будет активирован: для полного применения защиты требуется отдельное действие администратора.

Исследователи считают, что злоумышленники воспользовались этим пробелом между установкой обновления и завершением настройки защиты.

Кроме того, истечение срока действия сертификата 19 октября 2026 года само по себе не блокирует загрузку всех уязвимых компонентов. Для этого соответствующий сертификат необходимо внести в список отзываемых сертификатов.

Что это означает для пользователей

Secure Boot — это функция безопасности, которая проверяет доверенность компонентов, запускаемых при включении компьютера. Она помогает препятствовать загрузке несанкционированного кода ещё до запуска Windows.

UEFI-буткиты особенно опасны тем, что действуют на раннем этапе загрузки системы, когда обычным средствам защиты сложнее обнаружить вмешательство.

При этом статья описывает целевую шпионскую кампанию против дипломатических организаций, а не подтверждает массовое заражение обычных домашних компьютеров.

Главный вывод

Установка обновлений Windows не всегда означает, что защита Secure Boot полностью настроена. В случае Baton Drop может потребоваться дополнительное применение предусмотренных Microsoft мер отзыва уязвимых сертификатов. Поэтому организациям важно не только устанавливать обновления, но и проверять, что дополнительные защитные настройки действительно активированы.