UEFI-буткит BlackX использует уязвимость Baton Drop для обхода Secure Boot

Эксперты «Лаборатории Касперского» обнаружили новый UEFI-буткит BlackX, который использовался в атаках на дипломатические ведомства Таджикистана, Узбекистана и Туркменистана. Вредонос обходит защиту Secure Boot при помощи старой уязвимости Baton Drop, причем атака работает даже на полностью пропатченных системах под управлением Windows.

Эта вредоносная кампания была впервые замечена в начале 2026 года: атакующие применяли BlackX уже после получения первоначального доступа к сети жертвы, когда получали права администратора. Буткит позволял хакерам закрепиться на машине еще до загрузки Windows, вмешиваться в работу защитных решений и запускать шпионское ПО.

Как показало расследование, BlackX является «родственником» хорошо известного буткита BlackLotus. Напомним, что этот UEFI-буткит появился на хакерских форумах в 2022 году и тогда продавался за 5000 долларов США. В 2023 году специалисты ESET подтвердили, что BlackLotus действительно способен обходить Secure Boot с помощью проблемы Baton Drop (CVE-2022-21894).

В BlackX эксплуатация Baton Drop реализована практически аналогично: эксплоит добавляет в систему свои пользовательские ключи владельца компьютера (Machine Owner Keys, MOK), после чего атакующие получают возможность загружать произвольные EFI-файлы в обход Secure Boot. При этом в атаках с применением BlackX используется другой драйвер и собственные полезные нагрузки, отличные от атак BlackLotus.

Исследователи полагают, что авторы BlackX либо провели реверс-инжиниринг BlackLotus, либо получили его исходные коды. Хотя утечка исходников BlackLotus действительно имела место в 2023 году, однако опубликованный тогда код был неполным, а в BlackX обнаружились фрагменты, которых вообще не было в публичной версии.

После успешного запуска на машине жертвы BlackX внедряет в ядро Windows вредоносный драйвер, подписанный сертификатом организации 温江区明宇网络技术服务工作室 (Wenjiang District Mingyu Network Technology Service Studio). В настоящее время этот сертификат (серийный номер: 0bcdf5e0da32d68900b8b7638459d072) уже отозван издателем.

Драйвер отключает связанные с защитным ПО обратные вызовы процессов, потоков и реестра, а также вмешивается в работу поставщиков ETW, чтобы защитные решения не могли получать от них выходные данные. Исследователи отмечают, что часть вредоносных функций активируется только при обнаружении в системе продуктов «Лаборатории Касперского» или Avast.

При этом вредоносный драйвер защищает файлы буткита от вмешательства: перехватывает запросы ядра на открытие этих файлов и вместо дескриптора вредоносного файла возвращает дескриптор calc.exe.

Кроме того, драйвер отвечает за развертывание вредоносных нагрузок, работающих в пользовательском режиме. Так, на машину жертвы загружаются инструменты для кибершпионажа, включая троян удаленного доступа, который использует легитимные сервисы Google Drive, OneDrive или «Яндекс Диск», чтобы похищать конфиденциальную информацию и отслеживать действия жертв, а также запускает .NET-модули. Второй компонент — OxiDLLRunner —использует технику DLL sideloading, запускает Rust-пейлоад и загружает дополнительные плагины с управляющего сервера.

Эксперты подчеркивают: главная проблема заключалась в том, что все изученные зараженные системы были полностью обновлены. Хотя патч для проблемы Baton Drop должен отзывать сертификат Windows Production PCA 2011, которым подписаны уязвимые компоненты UEFI, этот процесс не запускается автоматически — администратор должен отдельно активировать защиту вручную. И даже несмотря на то, что проблемный сертификат истек 19 октября 2026 года, уязвимые бинарники продолжают загружаться, если сертификат не внесен в список блокировки.

Исследователи считают, что злоумышленники, стоящие за этой кампанией, понимали, что немногие организации знали о необходимости применять исправление вручную.

Эксперты со средней степенью уверенности связывают обнаруженную кампанию с китайской хак-группой APT41. На это указывают пересечения с ранее описанной аналитиками ESET активностью FishMonger, а также характерная для группы техника DLL sideloading и использование обфускатора OLLVM.