«Лаборатория Касперского» опубликовала отчет о новом UEFI-бутките BlackX. В начале 2026 года его применяли в атаках на дипломатические ведомства Таджикистана, Узбекистана и Туркменистана. Буткит обходит Secure Boot через уязвимость Baton Drop, которую Microsoft исправила еще в январе 2022 года, хотя на атакованных компьютерах были установлены все обновления.
Отчет «Лаборатории Касперского» о бутките BlackX. Изображение: Comss.ru
Предположительно, за атакой стоит группировка APT41, которую связывают с Китаем. Буткит отключает механизмы защиты Windows, которые работают при запуске системы, мешает работе антивирусов и дает злоумышленникам долговременный скрытый доступ к зараженным компьютерам.
BlackX во многом повторяет BlackLotus – первый UEFI-буткит, который обходил Secure Boot на полностью обновленных компьютерах с Windows 11. Установленное обновление от него не защищает: исправление Baton Drop отзывает старый сертификат загрузчика только после ручных действий администратора, а в атакованных организациях их не выполнили.
Как BlackX связан с BlackLotus
В октябре 2022 года на хакерском форуме продавали UEFI-буткит BlackLotus, способный обходить Secure Boot, за 5000 долларов. Для такого инструмента цена была низкой, поэтому специалисты поначалу отнеслись к объявлению скептически. Проверить его было нельзя: образцов BlackLotus в реальных атаках не находили. В марте 2023 года компания ESET подтвердила, что буткит существует и обходит Secure Boot через уязвимость Baton Drop (CVE-2022-21894).
Объявление о продаже BlackLotus на хакерском форуме. Изображение: «Лаборатория Касперского»
Microsoft выпустила несколько обновлений против Baton Drop, и после этого публично известных атак с BlackLotus не было. В начале 2026 года «Лаборатория Касперского» нашла похожий образец в APT-кампании в Центральной Азии и назвала его BlackX.
Цепочка эксплуатации в BlackX реализована очень похоже на BlackLotus, но сами эксплойты различаются. Исходный код BlackLotus в интернете не публиковался, поэтому авторы BlackX либо провели реверс-инжиниринг буткита, либо купили исходный код у киберпреступников. Исследователи отмечают, что APT-группировки редко заимствуют идеи и код у киберпреступников.
Сам по себе буткит не дает доступа к компьютеру. Microsoft еще в 2023 году отмечала, что BlackLotus служит для закрепления в системе и обхода защиты. Развернуть его можно только на устройстве, к которому злоумышленник уже получил привилегированный или физический доступ.
Как устанавливается BlackX
Злоумышленники разворачивали BlackX после того, как проникали в сеть жертвы и получали права администратора. Как именно они попадали в сеть, в отчете не сказано. Для установки буткита на компьютер помещались два файла:
- inst.exe – исполняемый файл установщика.
- PVMDIJGKAX2 – файл без расширения, зашифрованный по алгоритму RC4. В нем лежат файлы и строки, необходимые для установки.
Установщик запускался командой, последний аргумент которой – ключ RC4 для расшифровки:
C:\ProgramData\Intel\inst.exe PVMDIJGKAX2 Q46F6MDLI3RX2KV1
В самом inst.exe нет ни вредоносных строк, ни встроенных данных: все компоненты буткита находятся в зашифрованном файле. Так специалистам, которые расследуют инцидент, сложнее их извлечь.
Установщик размещает в системном разделе и разделе UEFI набор файлов для эксплуатации Baton Drop. Как и в BlackLotus, цель эксплойта – установить собственные ключи владельца компьютера (Machine Owner Keys, MOK). С ними на компьютере можно загружать произвольные EFI-файлы и управлять работой Secure Boot.
Что делает буткит после установки
UEFI-модуль, который доставляется при эксплуатации Baton Drop, внедряет вредоносный драйвер в ядро Windows. Драйвер отличается от драйвера BlackLotus и подписан сертификатом организации Wenjiang District Mingyu Network Technology Service Studio. Сейчас этот сертификат отозван издателем.
Драйвер вмешивается в работу защитных решений: отключает связанные с ними обратные вызовы процессов, потоков и реестра и нарушает работу поставщиков ETW, чтобы антивирус не получал от них данные. Часть этих процедур запускается, только если на компьютере установлены продукты «Лаборатории Касперского» или Avast. По данным компании, на работу ее продуктов они никак не влияют.
Кроме того, драйвер защищает файлы буткита: на запрос открыть их ядро получает дескриптор calc.exe вместо вредоносного файла.
Драйвер также запускает модули для кибершпионажа, которые работают в пользовательском режиме. В реальных атаках исследователи обнаружили два таких модуля:
- Троянец удаленного доступа (RAT). Он загружает модули следующего этапа, написанные на .NET, собирает сведения о системе, выгружает и загружает файлы. Для связи с командным сервером троянец использует облачные хранилища: встречались версии для Google Drive, OneDrive и Яндекс Диска.
- OxiDLLRunner. Это библиотека DLL, обфусцированная с помощью OLLVM. Ее загружает легитимный файл googleupdate.exe, который тоже доставляет буткит (техника DLL sideloading). Библиотека расшифровывает файл v8_context_snapshot.bin и запускает из него модуль на Rust. Модуль связывается с командным сервером archivetj[.]com и должен получать от него DLL-плагины, которые запускаются в отдельных потоках.
Почему обновления не защитили от BlackX
Сначала исследователи предположили, что на зараженных компьютерах не установлены исправления: Baton Drop исправлена еще в 2022 году. Однако расследование показало, что на атакованных компьютерах были установлены все обновления.
Проблема оказалась в самом исправлении. Оно должно отзывать сертификат Windows Production PCA 2011, которым подписаны уязвимые компоненты UEFI. Однако при установке обновления отзыв не происходит – его нужно запустить вручную. Для этого устанавливается флаг в разделе реестра:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot
Сам отзыв выполняет задача Secure-Boot-Update в «Планировщике заданий». Эти меры Microsoft начала развертывать в июле 2024 года в рамках KB5025885 против уязвимости CVE-2023-24932, связанной с BlackLotus.
Ручной порядок выбран намеренно: автоматический отзыв может, например, нарушить загрузку систем с двумя ОС, которым нужен сертификат Windows Production PCA 2011. Но если обновление установилось без ошибок, администраторы редко выполняют после него дополнительные действия. По оценке «Лаборатории Касперского», инструкции по включению исправления размещены на сайте Microsoft так глубоко, что рядовой ИТ-администратор вряд ли их заметит.
В графике Microsoft предусмотрен этап принудительного применения (Enforcement Phase), на котором сертификат отзывается автоматически, без участия пользователя. На момент публикации отчета этот этап не наступил. 19 октября 2026 года истек срок действия сертификата Windows Production PCA 2011, но это не мешает загружать уязвимые файлы, пока сертификат не внесен в список отзыва DBX.
По мнению исследователей, злоумышленники учли, что немногие организации знают о необходимости включать исправление вручную, и поэтому потратили время на изучение BlackLotus и создание его аналога.
Почему атаку связывают с APT41
На связь с APT41, по данным «Лаборатории Касперского», указывают три признака:
- В июне 2026 года ESET описала атаки группировки FishMonger, которую связывают с APT41. Путь к PDB-файлу описанного там импланта уровня ядра начинается с C:\Users\xdd\Desktop, а сама ESET допускала применение неизвестного UEFI-буткита, эксплуатирующего уязвимость CVE-2023-24932. Идентификатор xdd неоднократно встречается в модулях BlackX, поэтому в «Лаборатории Касперского» считают, что ESET писала именно о нем.
- Модули BlackX загружаются через легитимный исполняемый файл (DLL sideloading) вместе с зашифрованным файлом. Такая схема часто встречается у китаеязычных злоумышленников.
- OxiDLLRunner обфусцирован с помощью OLLVM. Этот обфускатор тоже часто используют китаеязычные злоумышленники.
По данным The Hacker News, FishMonger также известна как Aquatic Panda и Earth Lusca. В отчете ESET описано применение бэкдора SprySOCKS для Windows в атаках на государственные учреждения Гондураса, Тайваня, Таиланда и Пакистана в 2023–2024 годах.
