BlackX: китайский буткит обходит Secure Boot на «пропатченных» Windows

«Лаборатория Касперского» опубликовала технический отчёт о новом UEFI-бутките BlackX, которым в начале 2026 года атаковали дипломатические структуры Таджикистана, Узбекистана и Туркменистана. За кампанией, по оценке исследователей, стоит связываемая с Китаем государственная группировка APT41.

Задача BlackX — не первичный взлом, а скрытое закрепление: он подрывает защиту загрузки Windows и сторонние средства безопасности, обеспечивая долгосрочный незаметный доступ. Буткит признан наследником печально известного BlackLotus, который рекламировался на форумах в конце 2022 года и был официально подтверждён ESET в марте 2023-го.

Старая дыра, которую не закрыли до конца

BlackLotus эксплуатирует уже закрытую уязвимость обхода Secure Boot — CVE-2022-21894, она же Baton Drop. Однако одного обновления недостаточно: нужно вручную применить меры отзыва сертификатов, в частности внести сертификат «Windows Production PCA 2011» в чёрный список Secure Boot (DBX). Многие организации этого шага не сделали — и именно на этом сыграли злоумышленники.

19 октября 2026 года сертификат истёк, но само по себе это не мешает загрузке уязвимых бинарников, пока сертификат не занесён в блок-лист. Исследователи полагают, что атакующие сознательно изучили устройство BlackLotus и создали его копию, рассчитывая, что мало кто довёл патч до конца.

Как устроена атака

Получив права администратора, злоумышленники сбрасывают установщик inst.exe и зашифрованный файл PVMDIJGKAX2, запуская установку из каталога C:\ProgramData\Intel с ключом RC4. Далее на системный и UEFI-разделы попадают файлы для эксплуатации уязвимости — «поразительно похоже» на BlackLotus. Цель прежняя: установить Machine Owner Keys и вмешаться в Secure Boot.

Примечательно, что исходный код BlackLotus так и не стал публичным — значит, авторы BlackX либо провели реверс-инжиниринг, либо купили код. В «Касперском» отмечают, что APT-группы редко заимствуют наработки у киберпреступников.

Полезная нагрузка

UEFI-пейлоад внедряет вредоносный драйвер в ядро Windows. Драйвер подписан отозванным ныне сертификатом компании Wenjiang District Mingyu Network Technology Service Studio и пытается нейтрализовать защитное ПО. Любопытный штрих: часть несанкционированных действий срабатывает лишь при наличии продуктов Kaspersky или Avast — впрочем, по данным аналитиков, эти процедуры неэффективны.

Далее сбрасываются шпионские модули: троян удалённого доступа, использующий Google Drive, OneDrive и «Яндекс.Диск» для управления, а также DLL OxiDLLRunner, подгружаемая легитимным googleupdate.exe и запускающая Rust-нагрузку с обращением к archivetj[.]com.

Связь с APT41 опирается на отчёт ESET июня 2026 года о подгруппе FishMonger и совпадение строки «xdd». По словам исследователей, искушённым противникам не нужно изобретать велосипед, чтобы установить устойчивый невидимый контроль над ценными сетями.

Источник: The Hacker News