Windows 11 nie jest bezpieczny nawet przed startem. BlackX omija Secure Boot

Badacze Kaspersky wykryli nowe złośliwe oprogramowanie BlackX, które potrafi ominąć zabezpieczenie UEFI Secure Boot i uruchomić niebezpieczny sterownik jeszcze podczas startu Windowsa. Bootkit wykorzystuje znaną od kilku lat lukę Baton Drop.

BlackX został wykryty na początku 2026 roku podczas kampanii szpiegowskiej wymierzonej w placówki dyplomatyczne Azji Środkowej m.in. w Tadżykistanie, Uzbekistanie i Turkmenistanie. Badacze odpowiedzialnością za powstanie podatności obarczają chińską grupę APT41, znaną również jako Brass Typhoon, Wicked Panda i Barium.

Złośliwe oprogramowanie wykorzystuje podatność CVE-2022-21894, określaną jako Baton Drop, umożliwiającą obejście Secure Boot. Podobny mechanizm stosował BlackLotus. W marcu 2023 roku ESET potwierdził jego skuteczność nawet na w pełni zaktualizowanych komputerach z Windows 11.

Nowe złośliwe oprogramowanie BlackX potrafi ominąć zabezpieczenie UEFI Secure Boot i uruchomić niebezpieczny sterownik jeszcze podczas startu Windowsa.

BlackX wykorzystuje niemal identyczną metodę, pozwalającą rejestrować własne klucze Machine Owner Keys i uruchamiać dowolne pliki EFI. Różni się jednak sterownikiem jądra i dodatkowymi modułami. Kaspersky podejrzewa, że twórcy przeanalizowali BlackLotus lub zdobyli jego kod źródłowy.

Kod udostępniony publicznie w lipcu 2023 roku był niekompletny, natomiast BlackX zawiera fragmenty obecne w innych próbkach BlackLotus, ale nieobecne w ujawnionym repozytorium.

Złośliwy sterownik utrudnia wykrycie infekcji

BlackX instaluje sterownik podpisany certyfikatem wystawionym organizacji Wenjiang District Mingyu Network Technology Service Studio. Certyfikat został już unieważniony. Sterownik wyłącza wybrane procesy bezpieczeństwa, ingeruje w mechanizmy rejestru oraz monitorowanie Event Tracing for Windows.

Niektóre działania aktywują się po wykryciu oprogramowania Kaspersky lub Avast, choć według badaczy Kaspersky mechanizm ten nie jest skuteczny przeciwko ich rozwiązaniom. BlackX ukrywa również własne pliki. Próba ich otwarcia może zamiast tego uruchomić Kalkulator Windows.

Atakujący wykorzystują usługi chmurowe

Bootkit instaluje dodatkowe narzędzia szpiegowskie, w tym trojana RAT komunikującego się przez Google Drive, OneDrive lub Yandex.Disk. Pozwala on wykonywać komponenty .NET oraz przesyłać pliki. Drugim narzędziem jest OxiDLLRunner, zaciemniony przy użyciu OLLVM. Wykorzystuje on googleupdate.exe do załadowania biblioteki DLL, odszyfrowuje plik v8_context_snapshot.bin i uruchamia kod oraz komponent napisany w Rust.

Ten pobiera kolejne wtyczki DLL z domeny archivetj[.]com i wykonuje ich funkcje create_plugin w osobnych wątkach.