BlackX обходил Secure Boot на компьютерах с обновлённой Windows

«Лаборатория Касперского» обнаружила атаки на дипломатические организации Центральной Азии с новым буткитом BlackX. Буткит начинает действовать до загрузки Windows и позволяет злоумышленникам надолго сохранять доступ к устройству. Об этом сообщает «Код Дурова».

По оценке исследователей, BlackX представляет собой модернизированную версию BlackLotus, который продавался на подпольном рынке ещё в 2022 году.

Кампанию обнаружили в начале 2026 года. Её целями стали дипломатические организации Таджикистана, Узбекистана и Туркменистана. Исследователи со средней степенью уверенности связывают атаки с китайскоязычной группировкой APT41.

BlackX разворачивали после проникновения в сеть и получения прав администратора. Для обхода Secure Boot использовали уязвимость Baton Drop, CVE-2022-21894. На атакованных компьютерах стояли все необходимые обновления Windows. Для блокировки уязвимых загрузчиков требовалось дополнительно активировать отзыв сертификата Windows Production PCA 2011, чего администраторы не сделали.

После установки буткит пытался отключить защитное ПО. Решение для защиты конечных устройств заблокировало эту попытку, и атака была отражена. При успешном отключении защиты злоумышленники могли бы запустить шпионское ПО. Оно использует Google Drive, OneDrive и «Яндекс Диск» для обмена командами и передачи похищенных данных.

Компания рекомендует ограничивать права администратора и проверить выполнение дополнительных действий по инструкции Microsoft. Отзыв сертификата требует подготовки: старые носители восстановления после него могут перестать загружаться.

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.