Kaspersky meldde begin 2026 een BlackX-campagne tegen diplomatieke instanties in Tadzjikistan, Oezbekistan en Turkmenistan. Het bedrijf zegt dat de aanvallers de netwerken eerst hadden gecompromitteerd en beheerdersrechten hadden verkregen. Op de betrokken Windows-systemen waren relevante patches geïnstalleerd, maar die zetten de afzonderlijke Secure Boot-intrekking niet vanzelf aan.
BlackX werd ingezet na toegang tot het netwerk
Kaspersky beschrijft BlackX als een UEFI-bootkit die Baton Drop uitbuit, een fout in de Windows-bootmanager met identificatiecode CVE-2022-21894. De aanvallers gebruikten de bootkit volgens Kaspersky nadat ze al toegang hadden tot de netwerken en beheerdersrechten hadden verkregen. Hoe ze die eerste toegang kregen, is niet vermeld.
De bootkit gebruikt aangepaste Machine Owner Keys om EFI-bestanden van de aanvallers te kunnen laden. Kaspersky beschrijft ook een kernelstuurprogramma dat ingrijpt op beveiligingsfuncties en ETW-providers, die Windows gebruikt om gebeurtenissen vast te leggen. Het onderzoek meldt daarnaast een remote-access-trojan die cloudopslagdiensten voor communicatie gebruikt, en een aparte payload die een Rust-payload ontsleutelt.
Een geïnstalleerde patch voltooit de intrekking niet vanzelf
Een Windows-beveiligingsupdate installeren en verouderde, kwetsbare bootmanagers intrekken zijn afzonderlijke stappen. Kaspersky zegt dat de patches de intrekking van het oude certificaat niet automatisch activeerden. Het bedrijf beschrijft daarvoor een aparte wijziging in het Windows-register en de geplande taak Secure-Boot-Update.
Microsofts supportartikel van 22 oktober 2026 zegt dat particuliere gebruikers met Microsoft-beheerde Windows-updates geen actie hoeven te ondernemen voor de certificaat- en bootloaderupdates die in dat artikel worden behandeld. Kaspersky beschrijft daarnaast de afzonderlijke Baton Drop-intrekking; dat is een andere maatregel.
De certificaatvervaldatum blokkeert Windows niet bij het opstarten
Windows Production PCA 2011 verliep op 19 oktober 2026. Microsoft zegt dat het verlopen van het certificaat op zichzelf niet verhindert dat Windows-apparaten opstarten. Kaspersky schrijft dat kwetsbare bestanden door de vervaldatum alleen evenmin automatisch worden geblokkeerd: daarvoor moet het certificaat op de blokkeerlijst staan. Microsofts uitleg over de vervaldatum en bootloaderupdates.
Kaspersky en Ars Technica beschreven een andere afloop
In een persbericht van 21 oktober 2026 zei Kaspersky dat zijn beveiligingssoftware een aanval had tegengehouden en BlackX had verhinderd de endpointbeveiliging uit te schakelen. Ars Technica schreef op 3 november 2026 dat organisaties met BlackX waren geïnfecteerd. De verslagen maken niet duidelijk of ze over verschillende systemen of aanvalsstadia gaan.
