Kaspersky ha riferito che nei primi mesi del 2026 BlackX, un bootkit UEFI, è stato usato contro enti diplomatici in Tagikistan, Uzbekistan e Turkmenistan. Secondo l’azienda, gli aggressori avevano già compromesso le reti e ottenuto privilegi di amministratore; inoltre, installare gli aggiornamenti di Windows non attivava automaticamente la distinta revoca di Secure Boot che avrebbe dovuto bloccare i componenti d’avvio vulnerabili.
La campagna ha preso di mira enti diplomatici in tre paesi
Kaspersky colloca BlackX in una campagna contro organizzazioni diplomatiche dell’Asia centrale. Il bootkit sarebbe stato distribuito dopo la compromissione delle reti e l’ottenimento dei privilegi di amministratore: non è quindi il metodo di accesso iniziale descritto dall’azienda.
Aggiornare Windows non attiva automaticamente la revoca
Secure Boot è la funzione del firmware che controlla l’affidabilità dei componenti caricati all’avvio. Kaspersky riferisce che i sistemi coinvolti avevano installato gli aggiornamenti pertinenti, ma che la revoca del certificato associato ai boot manager vulnerabili richiedeva anche un’attivazione separata. La procedura descritta comprende un flag nel Registro di sistema e l’attività pianificata Secure-Boot-Update.
La distinzione conta perché installare una patch e revocare la fiducia in un componente d’avvio sono operazioni diverse. Kaspersky attribuisce a BlackX lo sfruttamento di Baton Drop, la vulnerabilità del boot manager identificata come CVE-2022-21894.
BlackX sfrutta una falla del boot manager
Secondo l’analisi di Kaspersky, BlackX usa la catena di exploit Baton Drop e installa chiavi Machine Owner Key personalizzate, che consentono di caricare file EFI controllati dagli aggressori. L’azienda descrive inoltre un driver kernel che interferisce con i controlli impiegati dai software di sicurezza e altera i provider ETW, usati per il tracciamento degli eventi di Windows.
Kaspersky paragona BlackX a BlackLotus, ma descrive differenze nell’implementazione dell’exploit e nel driver. Il rapporto colloca inoltre l’installazione del bootkit dopo l’accesso amministrativo alle reti prese di mira.
I resoconti pubblicati descrivono esiti diversi
In un comunicato del 21 ottobre 2026, Kaspersky ha dichiarato che i suoi prodotti di sicurezza avevano bloccato il tentativo di BlackX di disattivare la protezione degli endpoint e che l’attacco era fallito. Un articolo di Ars Technica del 3 novembre ha invece descritto organizzazioni infettate da BlackX. I due resoconti non chiariscono se parlino di endpoint o fasi differenti della campagna.
La scadenza del certificato non impedisce l’avvio di Windows
Windows Production PCA 2011 è scaduto il 19 ottobre 2026. Microsoft afferma che la scadenza, da sola, non impedisce ai dispositivi Windows di avviarsi. Kaspersky aggiunge che la scadenza non blocca i binari vulnerabili se il certificato non viene inserito nell’elenco di revoca.
La guida Microsoft del 22 ottobre dice che gli utenti domestici i cui dispositivi ricevono gli aggiornamenti gestiti da Microsoft non devono eseguire le operazioni descritte in quella pagina, dedicata alla scadenza del certificato e agli aggiornamenti dei file d’avvio.
