BlackX: буткит заобикаля Secure Boot на обновен Windows

Изследователи от Kaspersky публикуваха на 22 октомври анализ на нов UEFI буткит, наречен BlackX. Зловредният код е открит в атаки срещу дипломатически ведомства в Таджикистан, Узбекистан и Туркменистан в началото на 2026 г. и — това е най-неприятната част — е успявал да заобиколи Secure Boot на машини с инсталирани всички обновления на Windows.

Вратичката, която BlackX използва, не е нова. Това е Baton Drop, известна още като CVE-2022-21894 — пропуск в Windows Boot Manager, който Microsoft затвори с кръпка още през януари 2022 г. Четири години по-късно той продължава да работи, защото самата кръпка не върши нищо, докато администраторът не включи защитата ръчно.

Защо кръпката от 2022 г. не помага

Поправката за Baton Drop разчита на отнемане на доверието към сертификата „Windows Production PCA 2011“ — тоест на вписването му в черния списък на firmware-а (DBX). Проблемът е в начина, по който това се случва.

„Кръпката за уязвимостта Baton Drop е предназначена да отнеме доверието към сертификата Windows Production PCA 2011“, обясняват от Kaspersky. „Това отнемане обаче не става автоматично при инсталирането на кръпката — потребителят трябва да го задейства ръчно.“

На практика се иска задаване на стойност в регистъра, изпълнение на планирана задача и няколко рестарта — процедура, която изследователите определят като крайно необичайна за системните администратори. Указанията са описани в блога на Microsoft за отнемане на доверието към уязвимите boot manager-и от април 2024 г. Ако никой не е минал по този списък, Windows Update показва напълно обновена система, а firmware-ът продължава да приема стария, уязвим зареждач.

Към това се добавя и един детайл с лош момент: сертификатът „Windows Production PCA 2011“ изтече на 19 октомври 2026 г. Secure Boot обаче не проверява срока на валидност на сертификатите, така че изтичането само по себе си не прави вече подписаните файлове безполезни за нападателя.

Как изглежда заразата

BlackX не е входна точка, а начин за задържане. Нападателите вече са влезли в мрежата и имат администраторски права, когато пускат инсталатора.

• inst.exe — инсталаторът, който носи и PVMDIJGKAX2, криптиран с RC4 контейнер с полезния товар;
• експлойтът за Baton Drop срещу уязвимия bootmgfw.efi, чрез който се вписват собствени Machine Owner Keys (MOK) и оттам се зарежда произволен EFI файл;
• v8_context_snapshot.bin — файл с невинно име, в който стоят криптираният shellcode и PE товарът;
• зловреден kernel драйвер за Windows, подписан с вече отнет сертификат, издаден на „Wenjiang District Mingyu Network Technology Service Studio“.

Драйверът е основният инструмент за прикритие. Той изключва процеси и registry callback-и, свързани със защитата, и поврежда доставчиците на Event Tracing for Windows (ETW), за да няма следи за наблюдение. Проверява дали на машината работи Kaspersky или Avast и пази файловете на буткита, като прихваща заявките за достъп до тях — вместо файла се отваря калкулаторът на Windows.

Накрая идват два товара в потребителски режим: .NET троянец за дистанционен достъп, който ползва Google Drive, OneDrive или Yandex.Disk за връзка с управляващия сървър, и OxiDLLRunner — DLL на Rust, обфускиран с OLLVM и зареждан чрез DLL sideloading през легитимния googleupdate.exe. Той тегли допълнителни модули от archivetj[.]com.

Снимка: BleepingComputer

Приликите с BlackLotus и кой стои зад атаката

Кодът на BlackX следва отблизо BlackLotus — буткита, който се продаваше в хакерски форуми през 2022 г. и чийто изходен код частично изтече. Според Kaspersky в BlackX има части, които липсват в публично изтеклите хранилища, затова изводът е, че нападателите или са обърнали BlackLotus инженерно, или са се сдобили с пълния изходен код.

Кампанията е приписана на APT41 със средна увереност — групата, известна още като Brass Typhoon, Wicked Panda и Barium. Аргументите са споделени идентификатори с кампания FishMonger, описана от ESET, характерните схеми за DLL sideloading и обфускацията с OLLVM, типична за китайскоговорящи групи. Подробностите по случая са описани и от BleepingComputer.

Защо това е важно и за останалите

Дипломатически ведомства в Централна Азия не са масова цел, но механизмът е универсален. Кръпка, която изисква ръчно задействане, в практиката е кръпка, която не е приложена — и точно върху това разчита BlackX. Същият модел видяхме и при други случаи от последните седмици: от критичния пропуск в Pillow, където поправката е налична, но зависи от ъпдейт на зависимостите, до изоставения Popcorn Time, който почти се превърна в ботнет.

Буткитът при това живее под операционната система. Преинсталирането на Windows не го премахва, антивирусната програма се зарежда след него, а наличието на MOK в firmware-а означава, че машината ще продължи да изпълнява код по избор на нападателя при всяко стартиране. Затова и NSA издаде отделно ръководство за ограничаване на BlackLotus още през юни 2023 г. — за този клас заплахи решението не е в скенера, а в това дали веригата на доверие при зареждане е наистина затворена.

Ако управлявате паркове от машини с Windows, най-полезното, което можете да направите тази седмица, е да проверите не кои обновления са инсталирани, а дали DBX в firmware-а вече съдържа отнетия сертификат.