Kaspersky opisał kampanię z początku 2026 roku, w której BlackX, bootkit UEFI, wymierzono w agencje dyplomatyczne w Tadżykistanie, Uzbekistanie i Turkmenistanie. Według firmy napastnicy wdrożyli go po wcześniejszym przejęciu sieci i uzyskaniu uprawnień administratora. W przypadku Windows instalacja poprawek nie musi automatycznie uruchamiać odrębnego unieważnienia, które ma blokować podatne menedżery rozruchu.
Jak BlackX wykorzystuje Secure Boot
UEFI to oprogramowanie uruchamiające komputer przed systemem operacyjnym. Secure Boot sprawdza, czy pliki startowe pochodzą z zaufanego źródła. Kaspersky opisuje BlackX jako bootkit, który wykorzystuje lukę Baton Drop (CVE-2022-21894) w menedżerze rozruchu Windows, by ominąć ten mechanizm. Według raportu atakujący instalowali też niestandardowe klucze Machine Owner Keys, pozwalające uruchamiać przygotowane przez nich pliki EFI.
Kaspersky opisał również sterownik jądra zakłócający mechanizmy kontroli procesów, wątków i rejestru używane przez programy ochronne oraz manipulujący dostawcami ETW. Firma powiązała BlackX z BlackLotus przez podobieństwa w sposobie obchodzenia Secure Boot, wskazując zarazem na różnice w implementacji i sterowniku.
Aktualizacja Windows i unieważnienie to osobne działania
Zainstalowanie poprawki nie musi samo unieważniać zaufania do starszego certyfikatu. Kaspersky opisuje dodatkową aktywację, która obejmuje flagę w rejestrze Windows i utworzenie zaplanowanego zadania Secure-Boot-Update. To element odrębny od samego pobrania i zainstalowania aktualizacji.
Kaspersky podaje, że certyfikat Windows Production PCA 2011 wygasł 19 października 2026 roku, ale samo wygaśnięcie nie blokuje podatnych plików rozruchowych, jeśli certyfikat nie został dodany do listy blokowanych. Microsoft również informuje, że wygaśnięcie certyfikatu samo w sobie nie uniemożliwia uruchamiania urządzeń z Windows (wytyczne Microsoftu dotyczące certyfikatu i aktualizacji menedżera rozruchu).
Microsoft zaznacza w tych wytycznych, że użytkownicy domowi otrzymujący aktualizacje zarządzane przez firmę nie muszą wykonywać opisanych tam działań. Dotyczy to zmian przedstawionych na tej stronie; Kaspersky osobno opisuje aktywację unieważnienia związanego z Baton Drop.
Dwie relacje o wyniku kampanii
W komunikacie z 21 października 2026 roku Kaspersky poinformował, że jego produkty bezpieczeństwa zablokowały próbę wyłączenia ochrony urządzenia i powstrzymały atak (komunikat Kaspersky’ego). Z kolei opublikowany 3 listopada artykuł Ars Technica opisywał infekcje w organizacjach, których systemy miały zainstalowane poprawki. Są to różne relacje o przebiegu kampanii.
Kaspersky umiejscowił wdrożenie BlackX po przejęciu sieci i uzyskaniu uprawnień administratora, a nie na początku opisanego łańcucha ataku.
