BlackX обходит Secure Boot на обновлённых Windows без отзыва сертификата
«Лаборатория Касперского» выявила UEFI-буткит BlackX в атаках на дипломатические организации Таджикистана, Узбекистана и Туркменистана в начале 2026 года. Вредонос использует уязвимость CVE-2022-21894, известную как Baton Drop, и способен обходить Secure Boot на системах Windows с установленным обновлением, если не выполнено отдельное добавление сертификата Windows Production PCA 2011 в список запретов UEFI DBX.
Исследователи связывают кампанию с APT41 — группой, которую относят к китайскому направлению. BlackX рассматривается как новая версия или копия BlackLotus, буткита, впервые подтверждённого ESET в 2023 году. Исходный код BlackLotus публично не публиковался, поэтому создатели BlackX могли восстановить его работу обратной разработкой либо получить код из другого источника.
Почему обновления Windows недостаточно
CVE-2022-21894 позволяет загрузить вредоносный код до запуска операционной системы. Microsoft устранила уязвимость обновлением, но для полной защиты требуется вручную активировать механизм отзыва: внести Windows Production PCA 2011 в UEFI Forbidden List, или DBX. Без блокировки уязвимые двоичные файлы могут продолжать загружаться.
Сертификат истёк 19 октября 2026 года, однако сам факт истечения не препятствует загрузке уязвимых компонентов. В «Лаборатории Касперского» отметили, что атакующие, вероятно, учитывали неполное применение этой меры в организациях и поэтому инвестировали время в создание аналога BlackLotus.
Как работает BlackX
Буткит устанавливают не для первоначального проникновения: к этому моменту атакующие уже получили административные привилегии в сети жертвы. Для установки применяются исполняемый файл inst.exe, файл PVMDIJGKAX2 с зашифрованными данными и ключ RC4, передаваемый в командной строке. Затем компоненты размещаются в системном и UEFI-разделах.
Конечная цель — установить Machine Owner Keys, чтобы загружать произвольные EFI-файлы и вмешиваться в работу Secure Boot. После эксплуатации уязвимости UEFI-компонент внедряет вредоносный драйвер в ядро Windows. Драйвер был подписан сертификатом Wenjiang District Mingyu Network Technology Service Studio, который впоследствии отозвал издатель.
Инструменты шпионажа и признаки кампании
Драйвер пытается нарушить работу средств защиты конечных точек по схеме, похожей на BYOVD-атаки. Часть несанкционированных модификаций запускается только при обнаружении продуктов Kaspersky или Avast, но исследователи признали эти процедуры неэффективными.
Также BlackX доставляет пользовательские полезные нагрузки: троян удалённого доступа, способный загружать дополнительные .NET-модули и использовать Google Drive, OneDrive и Yandex.Disk для управления, а также DLL OxiDLLRunner. Последняя запускается методом DLL sideloading через легитимный googleupdate.exe, расшифровывает Rust-компонент и получает плагины с домена archivetj[.]com.
Связь с APT41 основана на пересечениях с активностью FishMonger, которую также относят к этому кластеру: в BlackX и импланте для ядра обнаружена строка «xdd». Дополнительным признаком стала техника DLL sideloading, часто встречающаяся в операциях групп китайского происхождения.
Что проверить организациям
Компаниям важно удостовериться, что наряду с установкой обновлений Windows применены ручные меры Microsoft по отзыву уязвимых загрузочных компонентов в DBX. Следует также расследовать случаи получения административных прав, контролировать изменения в UEFI-разделах и проверять запуск inst.exe, нестандартных EFI-файлов и sideloading через googleupdate.exe. BlackX показывает, что патч ОС сам по себе не гарантирует закрытия риска, когда защитный механизм требует отдельной настройки отзыва сертификатов.