APT41 возродила UEFI-буткит BlackLotus для атак на дипломатов в Центральной Азии

APT41 возродила UEFI-буткит BlackLotus для атак на дипломатов

В начале 2026 года исследователи обнаружили APT-кампанию против дипломатических ведомств в Центральной Азии. Атакующие использовали UEFI-буткит BlackX, который схож с BlackLotus. Кампания затронула Таджикистан, Узбекистан и Туркменистан. Злоумышленники получили права администратора в скомпрометированных сетях перед развертыванием BlackX. Для установки буткита использовались файлы inst.exe и зашифрованный PVMDIJGKAX2. Установщик запускался с командной строки с ключом RC4 для расшифровки. Файл inst.exe не содержал вредоносного кода, все компоненты находились внутри PVMDIJGKAX2, что усложняло их извлечение.

BlackX эксплуатирует уязвимость Baton Drop для установки MOK

Пакет установщика размещал в системном и UEFI-разделах файлы для эксплуатации уязвимости Baton Drop (CVE-2022-21894). Реализация эксплойта напоминала BlackLotus. Цель эксплойта — установка пользовательских ключей владельца (Machine Owner Keys, MOK). Это позволяло загружать произвольные EFI-файлы и манипулировать Secure Boot. Отличия в эксплойтах между BlackLotus и BlackX указывают на реверс-инжиниринг или покупку исходного кода BlackLotus. APT-группировки редко заимствуют код у киберпреступников.

UEFI-модуль внедряет драйвер, вмешивающийся в работу защитных решений

UEFI-модуль, доставленный через Baton Drop, внедрял вредоносный драйвер в ядро ОС Windows. Драйвер подписан сертификатом организации 温江区明宇网络技术服务工作室 (Wenjiang District Mingyu Network Technology Service Studio), серийный номер 0bcdf5e0da32d68900b8b7638459d072. Сертификат отозван издателем. Драйвер отключал обратные вызовы процессов, потоков и реестра, связанные с защитными решениями. Он также вмешивался в работу поставщиков ETW. Часть вредоносных процессов запускалась только при наличии решений «Лаборатории Касперского» или Avast. Драйвер защищал файлы буткита, перехватывая запросы ядра и возвращая дескриптор calc.exe вместо вредоносного файла.

Драйвер развертывает RAT и OxiDLLRunner для кибершпионажа

Драйвер развертывал вредоносные нагрузки в пользовательском режиме. Одна из них — троянец удаленного доступа (RAT), загружающий .NET модули. RAT использовал облачные хранилища (Google Drive, OneDrive, Яндекс Диск) для связи с командным сервером. Он перебирал файлы в облаке и интерпретировал их по расширению. Поддерживались расширения для входных и выходных данных, загрузки файлов и сведений о системе. Вторая нагрузка — OxiDLLRunner, обфусцированная с помощью OLLVM. Она загружалась легитимным файлом googleupdate.exe (jcef_helper.exe, MD5: AF8A983B9ADA07EAE1259BF2953ABD40). Библиотека расшифровывала v8_context_snapshot.bin, запускала шелл-код и PE-модуль на Rust. Модуль связывался с командным сервером www[.]archivetj[.]com и получал DLL-файлы с функцией create_plugin для запуска в потоках.

Атаку связывают с APT41 из-за сходства техник и инструментов

Атаку отнесли к деятельности APT41 на основании нескольких фактов. В июне 2026 года ESET описала атаки FishMonger, связанной с APT41, упомянув имплант уровня ядра с путем к PDB-файлу C:\Users\xdd\Desktop. Исследователи предположили использование UEFI-буткита, эксплуатирующего CVE‑2023‑24932. Идентификатор xdd встречался во вредоносных нагрузках BlackX. Загрузка нагрузок через легитимный исполняемый файл и зашифрованный файл — схема, часто используемая китаеязычными злоумышленниками. Обфускация OxiDLLRunner с помощью OLLVM также характерна для них.

Установка патча для Baton Drop требовала ручного вмешательства

Атакующие эксплуатировали уязвимость Baton Drop, исправленную в 2023 году. На атакованных компьютерах были установлены обновления, но проблема заключалась в их применении. Патч для Baton Drop требовал ручного отзыва сертификата Windows Production PCA 2011 через реестр и планировщик задач. Автоматическая установка могла нарушить работу систем с двумя ОС. Системные администраторы редко выполняли дополнительные действия после установки обновлений. Инструкции по активации патча были скрыты на сайте Microsoft. Этап принудительного применения патча, предполагающий автоматический отзыв сертификата, не был реализован. Срок действия сертификата истек 19 октября 2026 года, но это не препятствовало загрузке уязвимых файлов без внесения сертификата в список блокировки. Злоумышленники, вероятно, знали о необходимости ручного применения патча и создали BlackX.

Управление исправлениями и защитные решения предотвращают атаки

Управление исправлениями критически важно для защиты от уязвимостей. Обновления помогают защищать ПО и аппаратное обеспечение. История с BlackLotus показывает, что установленные патчи не всегда решают проблемы безопасности. В 2025 году Microsoft выпустила исправление для уязвимости ToolShell, которое также требовало ручного применения. Современные защитные решения, такие как Automatic Exploit Prevention (AEP) от «Лаборатории Касперского», предотвращают запуск эксплойтов при отсутствии исправлений или при использовании уязвимостей нулевого дня. Важно устанавливать защитные решения на все компьютеры и следить за их оповещениями.