Буткит BlackX использовал уязвимость Baton Drop, известную с 2022 года, чтобы обходить Secure Boot даже на полностью обновлённых Windows. Проблема оказалась не в отсутствии патча, а в том, что критически важный отзыв сертификата администраторы должны включать вручную — неприятная деталь для любой компании, считающей «поставили обновления» достаточной защитой.
Кампания шпионажа была обнаружена в начале 2026 года и нацеливалась на дипломатические учреждения Таджикистана, Узбекистана и Туркменистана, сообщает BleepingComputer. Исследователи «Лаборатории Касперского» с умеренной уверенностью связывают операцию с китайской группировкой APT41, также известной как Brass Typhoon, Wicked Panda и Barium. Для русскоязычных ИБ-команд это не экзотика из чужого отчёта: такой сценарий показывает, почему инвентаризация UEFI-настроек, контроль отзывов Secure Boot и проверка загрузочной цепочки должны быть частью обычной эксплуатации, а не только расследования после инцидента.
Атакующие взяли за основу Baton Drop — CVE-2022-21894. Уязвимость позволяла использовать подписанные, но уязвимые UEFI-компоненты Windows для обхода Secure Boot. В 2023 году этот приём получил широкую известность благодаря BlackLotus: тогда ESET подтверждала, что буткит мог скомпрометировать даже актуальные на тот момент системы Windows 11. BlackX повторяет ключевую логику BlackLotus: добавляет собственные Machine Owner Keys, или MOK, и затем получает возможность загружать произвольные EFI-файлы, несмотря на штатную проверку доверенной загрузки.
Но это не просто переименование старого инструмента. После закрепления в загрузочной цепочке BlackX внедряет драйвер ядра Windows, подписанный сертификатом, выданным организации Wenjiang District Mingyu Network Technology Service Studio; сертификат впоследствии был отозван. Драйвер отключает связанные с безопасностью процессы и callback-механизмы реестра, вмешивается в поставщики Event Tracing for Windows (ETW) и тем самым мешает мониторингу. Часть процедур запускается только при обнаружении продуктов «Лаборатории Касперского» или Avast. Исследователи отдельно подчёркивают: этот механизм против их решений бесполезен, но сам факт продуктовой селекции говорит о попытке адаптировать вредоносный код под окружение цели.
Есть и более приземлённая функция — скрыть следы от пользователя. При попытке открыть файлы буткита драйвер перехватывает запрос и запускает «Калькулятор» Windows. Этот приём не делает систему невидимой для грамотного форензика, зато способен запутать сотрудника первой линии или замедлить поверхностную проверку. Основная ценность BlackX для операторов — не эффектный трюк с приложением, а привилегированное и раннее присутствие в системе: загрузочный компонент стартует раньше большинства защитных средств ОС.
Дальше в цепочке работают шпионские модули. Один из них представляет собой RAT с командным каналом через Google Drive, OneDrive или Yandex.Disk: он может исполнять .NET-нагрузки и передавать файлы в обе стороны. Другой компонент, OxiDLLRunner, использует DLL sideloading через googleupdate.exe. Он расшифровывает файл v8_context_snapshot.bin, запускает shellcode и Rust-нагрузку, а та забирает DLL-плагины с домена archivetj[.]com и выполняет их функции в отдельных потоках. Использование облачных дисков для управления заражённой машиной особенно неудобно для защитников: легитимный веб-трафик и популярные SaaS-сервисы требуют более аккуратной корреляции, чем блокировка одного подозрительного IP-адреса.
Самая важная деталь истории — статус жертв. По данным исследователей, на их системах стояли полностью пропатченные версии Windows. Исправление Baton Drop предусматривает отзыв сертификата «Windows Production PCA 2011», которым подписывались уязвимые UEFI-компоненты. Однако после установки обновления этот отзыв не применяется автоматически: его нужно активировать отдельно. Пока сертификат не добавлен в блок-лист, уязвимые бинарные файлы могут загружаться. Даже окончание срока действия сертификата 19 октября 2026 года само по себе не меняет этого поведения.
Для ИТ-директора здесь два вывода. Первый: статус обновлений ОС не равен состоянию защищённости платформы. В отчётность по патч-менеджменту стоит добавить проверку фактического применения Secure Boot revocations, а не ограничиваться отметкой об успешной установке KB-пакета. Второй: команды endpoint-защиты должны иметь процедуру проверки UEFI и загрузочных компонентов на подозрительные ключи, драйверы и аномалии в ранней загрузке. Это требует доступа к железу, зрелого EDR и понятного процесса эскалации, но цена игнорирования — постоянное закрепление ниже уровня Windows.
Сходство с BlackLotus тоже заслуживает внимания. Исходный код BlackLotus утёк в июле 2023 года, однако утечка была неполной. «Лаборатория Касперского» обнаружила в изученных образцах BlackLotus фрагменты, которых в публичном репозитории не было, но они присутствуют в BlackX. Это оставляет две реалистичные версии: операторы восстановили нужную часть через реверс-инжиниринг либо получили исходники из непубличного источника. В обоих случаях входной барьер для создания нового UEFI-буткита уже не выглядит непреодолимым.
Буткит BlackX напоминает о неудобной стороне Secure Boot: технология защищает только при актуальной политике доверия, а не по факту включённой галочки в BIOS. Следующий вопрос для корпоративных команд — сколько устройств в их парке уже получили патчи, но продолжают доверять отозванным компонентам загрузочной цепочки.
