UEFI-буткіт BlackX обошёл Secure Boot через уязвимость Baton Drop

UEFI-буткіт BlackX обійшов Secure Boot через уязвимость Baton Drop

BlackX завантажує шкідливий драйвер для вимкнення захисту

На початку 2026 року виявили кампанію з використанням UEFI-буткіта BlackX. Зловмисники застосували уязвимость Baton Drop для обходу Secure Boot. Це дозволило завантажити шкідливий драйвер, який перешкоджає роботі рішень безпеки від Kaspersky та Avast. Операцію з середньою впевненістю пов'язують з китайським угрупованням APT41, також відомим як Brass Typhoon. Кампанія націлювалася на дипломатичні установи в Центральній Азії, зокрема в Таджикистані, Узбекистані та Туркменістані.

BlackX схожий на BlackLotus та використовує CVE-2022-21894

Дослідники Kaspersky проаналізували BlackX та виявили схожість з BlackLotus. BlackLotus циркулює на хакерських форумах з жовтня 2022 року. Він використовував уязвимость Baton Drop (CVE-2022-21894) для обходу захисту Secure Boot. У березні 2023 року ESET підтвердив, що BlackLotus експлуатував Baton Drop. Тоді він міг компрометувати навіть повністю оновлені системи Windows 11. Реалізація експлойту в BlackX, за даними Kaspersky, «примітно схожа» на ту, що використовував BlackLotus. Це дозволяє зловмисникам реєструвати власні Machine Owner Keys (MOKs) та завантажувати довільні EFI-файли для обходу Secure Boot. Однак BlackX відрізняється від BlackLotus. Він розгортає інший драйвер ядра та подальші пейлоади. Дослідники припускають, що BlackX є результатом реверс-інжинірингу BlackLotus або отримання його вихідного коду. Витік коду BlackLotus у липні 2023 року був неповним. Деякі зразки BlackLotus містили код, відсутній у публічному репозиторії, але присутній у BlackX. Це вказує на те, що зловмисник отримав код іншим шляхом.

Шкідливий драйвер вимикає захист та приховує файли

BlackX встановлює шкідливий драйвер ядра Windows, підписаний відкликаним сертифікатом. Сертифікат виданий компанії Wenjiang District Mingyu Network Technology Service Studio. Драйвер вимикає процеси, пов'язані з безпекою, та перешкоджає моніторингу через Event Tracing for Windows (ETW). Деякі процедури маніпуляцій налаштовані на виконання лише при виявленні продуктів Kaspersky або Avast. Драйвер також захищає файли буткіта, перехоплюючи запити на їх відкриття та запускаючи замість них Калькулятор Windows. Метою буткіта є розгортання шпигунських пейлоадів. Серед них RAT, що використовує Google Drive, OneDrive або Yandex.Disk для командно-контрольної (C2) взаємодії. Він виконує .NET-пейлоади та завантажує/вивантажує файли. Також використовується OxiDLLRunner — обфускований DLL-файл, що завантажується googleupdate.exe. Він розшифровує v8_context_snapshot.bin для запуску шеллкоду та Rust-пейлоаду. Останній отримує DLL-плагіни з archivetj[.]com та виконує їхні функції create_plugin.

Ручна активація відкликання сертифіката запобігає експлуатації

Усі жертви BlackX використовували повністю оновлені версії Windows. Однак буткіт спрацював, оскільки адміністратори не активували вручну додаткове відкликання Secure Boot. Патч для уязвимості Baton Drop призначений для відкликання сертифіката «Windows Production PCA 2011», який використовується для підпису вразливих UEFI-компонентів. Відкликання не відбувається автоматично після встановлення патча — користувач повинен ініціювати його вручну. Це прогалина в процесі оновлення, оскільки адміністратори рідко виконують ручні дії після встановлення оновлень безпеки. Зловмисник скористався цим, щоб створити копію буткіта. Інструкції з повного виправлення Baton Drop (CVE-2022-21894) доступні. Дата закінчення терміну дії сертифіката «Windows Production PCA 2011» — 19 жовтня 2026 року. Це не зупиняє завантаження вразливих бінарних файлів, якщо адміністратори не додадуть сертифікат до чорного списку.