BlackX koristi neprimenjene Secure Boot opozive na Windowsu
Kaspersky je identifikovao BlackX, UEFI bootkit usmeren na diplomatske organizacije u Tadžikistanu, Uzbekistanu i Turkmenistanu početkom 2026. godine. Alat zloupotrebljava ranjivost CVE-2022-21894, poznatu kao Baton Drop, i može zaobići Secure Boot čak i kada je Windows zakrpa instalirana, ukoliko nisu ručno primenjeni potrebni opozivi sertifikata u UEFI bazi DBX.
Kaspersky aktivnost povezuje sa akterom APT41, grupom za koju se sumnja da deluje uz podršku Kine. Cilj bootkita nije početni pristup uređaju: napadač prethodno mora steći administratorska ovlašćenja ili fizički pristup računaru. Kada se postavi, BlackX služi za dugotrajnu prikrivenu prisutnost i izbegavanje bezbednosnih kontrola pre pokretanja operativnog sistema.
Zakrpа bez opoziva nije potpuna zaštita
BlackX je po načinu rada sličan ranije otkrivenom BlackLotus bootkitu. Iako je Microsoft zakrpio CVE-2022-21894, puna zaštita zahteva dodatne korake: sertifikat Windows Production PCA 2011 treba dodati na Secure Boot UEFI Forbidden List, odnosno DBX listu zabranjenih potpisa.
Taj sertifikat je istekao 19. oktobra 2026, ali istekao sertifikat sam po sebi ne sprečava učitavanje ranjivih binarnih datoteka. One ostaju prihvaćene dok se eksplicitno ne blokiraju u DBX-u. Napadači računaju upravo na to da mnoge organizacije nisu aktivirale ovu meru, pa mogu iskoristiti Baton Drop i na uređajima koji imaju instalirano ažuriranje.
Od UEFI-ja do špijunskih alata
Posle prodora u mrežu i dobijanja administratorskih prava, operateri su pokretali inst.exe sa šifrovanom datotekom PVMDIJGKAX2. Instalater zatim smešta dodatne datoteke na sistemsku i UEFI particiju, koristi CVE-2022-21894 i postavlja Machine Owner Keys, odnosno MOK ključeve, kako bi učitavao proizvoljne EFI datoteke i narušio zaštitu Secure Boot-a.
UEFI komponenta ubrizgava zlonamerni drajver u Windows kernel. Drajver je bio potpisan sertifikatom kompanije Wenjiang District Mingyu Network Technology Service Studio, koji je izdavalac u međuvremenu opozvao. Njegova namena podseća na BYOVD pristup: pokušava da izmeni rad endpoint bezbednosnih proizvoda. Kaspersky navodi da su pojedine rutine aktivne samo uz prisustvo proizvoda Kaspersky ili Avast, ali ih je ocenio neefikasnim.
BlackX dalje isporučuje korisničke komponente za sajber-špijunažu. Jedan udaljeni pristupni trojanac može preuzimati dodatne .NET komponente, prikupljati podatke o sistemu i slati interesantne datoteke, uz Google Drive, OneDrive i Yandex.Disk kao kanale za komandovanje i kontrolu. Druga komponenta, OxiDLLRunner, učitava se posredstvom legitimnog googleupdate.exe procesa i pokreće Rust payload koji preuzima DLL dodatke.
Šta organizacije treba da provere
Ovaj slučaj pokazuje da upravljanje zakrpama mora obuhvatiti i korake koji se ne izvršavaju automatski. Timovi treba da potvrde da je relevantni opoziv dodat u DBX, da ograniče administratorska ovlašćenja, nadziru izmene UEFI i sistemskih particija i istraže neuobičajena pokretanja instalatera iz ProgramData direktorijuma. Potpuna primena Secure Boot mera i kontrola privilegovanog pristupa ostaju praktičan poslovni uslov za smanjenje rizika od trajne kompromitacije uređaja.