BlackX UEFI bootkit zaobilazi Secure Boot preko stare Baton Drop ranjivosti

Novi UEFI bootkit BlackX otkriven je početkom 2026. u špijunskoj kampanji. Kaspersky je operaciju sa srednjom pouzdanošću pripisao grupi APT41. Meta su bile diplomatske agencije u Centralnoj Aziji, posebno u Tadžikistanu, Uzbekistanu i Turkmenistanu.

Istraživači Kasperskog su analizirali BlackX i našli da koristi staru Baton Drop ranjivost (CVE-2022-21894) da zaobiđe Secure Boot. Implementacija je, kako navode, izuzetno slična onoj u bootkitu BlackLotus, koji je istu ranjivost koristio od oktobra 2022. BlackX omogućava upis prilagođenih Machine Owner Keys i učitavanje proizvoljnih EFI datoteka.

BlackX se razlikuje od BlackLotus-a po drajveru jezgra i naknadnim komponentama. Deo koda nije u javnom izvornom kodu BlackLotus-a, pa istraživači veruju da je napadač reverzno inženjeringovao BlackLotus ili kupio njegov kod.

Bootkit ubacuje zlonamerni Windows drajver jezgra, potpisan opozvanim sertifikatom. Drajver onemogućava bezbednosne procese i povratne pozive u registru, a pojedine procedure se pokreću samo ako detektuje Kaspersky ili Avast.

Sve žrtve su imale potpuno zakrpljen Windows, ali je bootkit uspeo jer administratori nisu ručno aktivirali dodatne Secure Boot opozive. Zakrpa za Baton Drop opoziva sertifikat „Windows Production PCA 2011“, ali to ne radi automatski. Istek sertifikata 19. oktobra 2026. ne sprečava učitavanje ranjivih komponenti ako se sertifikat ne stavi na crnu listu.

Šta uraditi - Ručno aktivirati opoziv sertifikata „Windows Production PCA 2011“ prema Microsoftovom uputstvu za CVE-2022-21894. - Proveriti dodatne Secure Boot revokacije na svim Windows računarima, čak i ako su redovno ažurirani. - Dodati sertifikat na crnu listu i posle isteka.