Το νέο bootkit BlackX στοχεύει διπλωματικούς οργανισμούς στην Κεντρική Ασία και καταφέρνει να παρακάμπτει το Secure Boot των Windows, ακόμη και σε συστήματα που έχουν ενημερωθεί. Σύμφωνα με τη Kaspersky, η δραστηριότητα εντοπίστηκε στις αρχές του 2026 σε φορείς στο Τατζικιστάν, το Ουζμπεκιστάν και το Τουρκμενιστάν, και αποδίδεται με επιφύλαξη στην κινεζική ομάδα APT41.
Τι είναι το BlackX και ποιους στοχεύει
Το BlackX είναι ένα UEFI bootkit, δηλαδή κακόβουλο λογισμικό που φορτώνεται πριν από το λειτουργικό σύστημα. Έτσι μπορεί να παραμένει αόρατο και να επιβιώνει ακόμη και μετά από επανεγκατάσταση λογισμικού. Στόχος του είναι να υπονομεύσει τις άμυνες εκκίνησης των Windows και τα εργαλεία ασφαλείας τρίτων, ώστε να διατηρήσει μακροχρόνια και κρυφή πρόσβαση στις συσκευές.
Οι αναλυτές της Kaspersky το θεωρούν ανανεωμένη εκδοχή του BlackLotus, ενός διαβόητου bootkit που διαφημιζόταν σε φόρουμ του κυβερνοεγκλήματος από το τέλος του 2022. Η ύπαρξή του επιβεβαιώθηκε επίσημα από την ESET τον Μάρτιο του 2023. Ο πηγαίος κώδικας του BlackLotus δεν έχει δημοσιοποιηθεί ποτέ. Άρα οι δράστες του BlackX είτε έκαναν reverse engineering στο αρχικό εργαλείο είτε αγόρασαν τον κώδικα από τρίτο. Η Kaspersky σημειώνει ότι σπάνια βλέπει ομάδες APT να δανείζονται ιδέες ή κώδικα από κυβερνοεγκληματίες.
Πώς λειτουργεί το bootkit BlackX
Οι επιτιθέμενοι εγκαθιστούν το bootkit αφού έχουν ήδη παραβιάσει το δίκτυο του θύματος με μέθοδο που δεν έχει διευκρινιστεί και έχουν αποκτήσει δικαιώματα διαχειριστή. Ο εγκαταστάτης αποκρυπτογραφεί ένα κρυπτογραφημένο αρχείο με κλειδί RC4 και αποθέτει νέα αρχεία στο σύστημα και στο διαμέρισμα UEFI. Στη συνέχεια εκμεταλλεύεται την ευπάθεια CVE-2022-21894 (γνωστή ως Baton Drop, CVSS 4,4), με τρόπο «εντυπωσιακά παρόμοιο» με του BlackLotus. Σκοπός είναι να εγκατασταθούν Machine Owner Keys (MOK), που επιτρέπουν τη φόρτωση αυθαίρετων αρχείων EFI και την παρέμβαση στο Secure Boot.
Γιατί το bootkit BlackX πετυχαίνει παρά το patch
Η ευπάθεια έχει διορθωθεί από τη Microsoft, όμως το patch από μόνο του δεν αρκεί. Απαιτούνται και χειροκίνητα βήματα, όπως η προσθήκη του πιστοποιητικού «Windows Production PCA 2011» στη Forbidden List (DBX) του Secure Boot. Η Kaspersky υποστηρίζει ότι οι δράστες στοιχημάτισαν στο ότι λίγοι οργανισμοί έχουν κάνει αυτό το βήμα. Το πιστοποιητικό έληξε στις 19 Οκτωβρίου 2026, αλλά αυτό δεν εμποδίζει τη φόρτωση των ευπαθών αρχείων αν δεν έχει μπει στη λίστα αποκλεισμού.
Ο οδηγός στον πυρήνα και τα payloads κατασκοπείας
Μετά την εκμετάλλευση, το bootkit εγχέει έναν κακόβουλο driver στον πυρήνα των Windows. Ο driver είναι υπογεγραμμένος με πιστοποιητικό της εταιρείας Wenjiang District Mingyu Network Technology Service Studio, το οποίο έχει πλέον ανακληθεί από τον εκδότη. Όπως σε μια επίθεση BYOVD (bring your own vulnerable driver), προσπαθεί να παρεμβληθεί στη λειτουργία του λογισμικού ασφαλείας. Ορισμένες τροποποιήσεις εκτελούνται μόνο όταν υπάρχουν προϊόντα της Kaspersky ή της Avast, αλλά η Kaspersky διαπίστωσε ότι είναι αναποτελεσματικές.
Ο driver αποθέτει επίσης payloads για κατασκοπεία. Το πρώτο είναι ένα remote access trojan που φορτώνει επιπλέον .NET payloads. Χρησιμοποιεί Google Drive, OneDrive και Yandex.Disk για επικοινωνία C2, ώστε να χάνεται μέσα στην καθημερινή επιχειρησιακή κίνηση, και μπορεί να συλλέγει πληροφορίες συστήματος και να ανεβάζει αρχεία. Το δεύτερο είναι η κακόβουλη DLL OxiDLLRunner, που φορτώνεται μέσω sideloading από το νόμιμο googleupdate.exe. Αποκρυπτογραφεί ένα payload σε Rust, το οποίο επικοινωνεί με τον τομέα archivetj[.]com για να λάβει και να εκτελέσει επιπλέον plugins.
Η σύνδεση με την APT41
Η απόδοση στην APT41 βασίζεται σε έμμεσες ενδείξεις. Η ESET είχε τεκμηριώσει τον Ιούνιο του 2026 τη χρήση του backdoor SprySOCKS από την FishMonger (γνωστή και ως Aquatic Panda ή Earth Lusca) εναντίον κυβερνητικών φορέων σε Ονδούρα, Ταϊβάν, Ταϊλάνδη και Πακιστάν την περίοδο 2023–2024. Η FishMonger θεωρείται ότι δρα υπό την ομπρέλα της APT41. Η ίδια εταιρεία είχε βρει «περιορισμένες ενδείξεις» για συνιστώσα UEFI bootkit που πιθανώς εκμεταλλευόταν το CVE-2023-24932. Η συμβολοσειρά «xdd» εμφανίζεται τόσο στο BlackX όσο και στο kernel implant της FishMonger. Επιπλέον, το DLL sideloading είναι πολύ συνηθισμένο μοτίβο σε ομάδες κινεζικής προέλευσης.
Τι διδάσκει το περιστατικό
Η εγκατάσταση ενός patch δεν σημαίνει πάντα ότι ο κίνδυνος έχει εξαλειφθεί. Στην περίπτωση του Baton Drop, η πλήρης προστασία απαιτεί πρόσθετες ενέργειες που εύκολα περνούν απαρατήρητες. Όπως σημείωσε ο ερευνητής της Kaspersky Georgy Kucherin, οι εξελιγμένοι αντίπαλοι δεν χρειάζεται να «ανακαλύψουν ξανά τον τροχό» για να αποκτήσουν μόνιμο και αόρατο έλεγχο σε δίκτυα υψηλής αξίας. Αρκεί να προσαρμόσουν ένα εμπορικό εργαλείο του κυβερνοεγκλήματος. Το bootkit BlackX δείχνει ότι τα όρια ανάμεσα στο έγκλημα και τις κρατικά υποστηριζόμενες επιχειρήσεις γίνονται όλο και πιο θολά.
Το BlackX δεν είναι εργαλείο αρχικής πρόσβασης. Προϋποθέτει ότι οι δράστες έχουν ήδη δικαιώματα διαχειριστή, άρα η πρώτη γραμμή άμυνας παραμένει η πρόληψη της αρχικής παραβίασης.
Τι πρέπει να κάνετε
- Ελέγξτε αν έχουν εφαρμοστεί τα χειροκίνητα βήματα της Microsoft για το Secure Boot, και ειδικά η προσθήκη του «Windows Production PCA 2011» στη λίστα DBX, πέρα από την απλή εγκατάσταση των ενημερώσεων.
- Περιορίστε τα δικαιώματα διαχειριστή και την ελεύθερη φυσική πρόσβαση σε σταθμούς εργασίας και servers, καθώς το bootkit τα απαιτεί για την εγκατάσταση.
- Παρακολουθήστε για ασυνήθιστη χρήση υπηρεσιών cloud αποθήκευσης (Google Drive, OneDrive, Yandex.Disk) ως καναλιού C2, καθώς και για sideloading DLL από νόμιμα εκτελέσιμα όπως το
googleupdate.exe. - Ελέγχετε την ακεραιότητα της διαδικασίας εκκίνησης και τις καταχωρίσεις MOK στα κρίσιμα συστήματα.
- Αν υποψιάζεστε παραβίαση σε επίπεδο firmware, μην περιοριστείτε σε επανεγκατάσταση λειτουργικού. Εξετάστε το διαμέρισμα UEFI και ζητήστε εξειδικευμένη ανάλυση.
Πηγή: The Hacker News