Kaspersky zufolge richtete sich eine BlackX-Kampagne Anfang 2026 gegen diplomatische Stellen in Tadschikistan, Usbekistan und Turkmenistan. Die Sicherheitsforscher beschreiben den Einsatz des UEFI-Bootkits nach einer Netzwerkkompromittierung und dem Zugriff auf Administratorrechte. Zugleich berichtet Kaspersky, dass installierte Windows-Patches die separate Secure-Boot-Widerrufung nicht automatisch aktivierten.
Warum ein Windows-Update die Widerrufung nicht automatisch erledigt
Ein UEFI-Bootkit setzt im Startprozess eines Rechners an, bevor Windows geladen wird. Secure Boot soll dabei sicherstellen, dass nur vertrauenswürdige Startkomponenten ausgeführt werden. Kaspersky zufolge nutzt BlackX die Schwachstelle Baton Drop (CVE-2022-21894) und kann mit eigens eingerichteten Machine-Owner-Schlüsseln Angreiferdateien im EFI-Startprozess laden.
Die Installation der relevanten Windows-Patches und die Sperrung älterer, verwundbarer Bootmanager sind laut Kaspersky getrennte Vorgänge. Für die zusätzliche Widerrufung beschreibt das Unternehmen eine Aktivierung mit einem Registry-Eintrag und der geplanten Aufgabe Secure-Boot-Update. Ein installiertes Update allein führte diesen Schritt demnach nicht automatisch aus.
Microsofts Hinweis für Privatgeräte, die Updates über Microsoft erhalten, bezieht sich auf die Maßnahmen im Supportartikel zu Zertifikats- und Bootloader-Aktualisierungen. Microsoft erklärt dort, dass Windows-Nutzer dafür nichts weiter unternehmen müssen. Kaspersky beschreibt die Baton-Drop-Widerrufung als separate Maßnahme.
Was Kaspersky über BlackX berichtet
Kaspersky beschreibt BlackX als dem Bootkit BlackLotus ähnlich, aber mit Unterschieden bei der Exploit-Implementierung und dem Treiber. Der von Kaspersky untersuchte Treiber beeinträchtigte Sicherheits-Callbacks und ETW-Provider, die Ereignisdaten für Überwachung und Analyse liefern. Das Unternehmen berichtet außerdem von weiteren Schadkomponenten, darunter einem Fernzugriffs-Trojaner, der Cloud-Speicher für die Kommunikation nutzte.
Die von Kaspersky beschriebene Angriffsstufe setzte bereits kompromittierte Netzwerke und Administratorrechte voraus. Der Bericht ordnet BlackX damit nicht als den ursprünglichen Zugang in ein Netzwerk ein.
Was über den Ausgang des Angriffs berichtet wurde
In einer Pressemitteilung vom 21. Oktober 2026 erklärte Kaspersky, sein Sicherheitsprodukt habe einen Angriff abgewehrt und BlackX daran gehindert, den Schutz des Endgeräts abzuschalten. Ein am 3. November veröffentlichter Bericht von Ars Technica schilderte dagegen Infektionen auf gepatchten Systemen. Die beiden Darstellungen klären nicht, ob sie unterschiedliche Geräte oder Phasen der Kampagne betreffen.
Was der Ablauf des Zertifikats bedeutet
Microsoft zufolge lief das Zertifikat Windows Production PCA 2011 am 19. Oktober 2026 ab. Der Ablauf allein verhindert laut Microsoft nicht, dass Windows-Geräte starten. Kaspersky zufolge blockiert das abgelaufene Zertifikat verwundbare Binärdateien auch nicht automatisch; dafür muss es gesperrt werden.
