BlackX: новий UEFI-буткит обходить Secure Boot через вразливість Baton Drop

У 2026 році в Центральній Азії зафіксовано шпигунську кампанію з UEFI-буткитом BlackX, який використовує вразливість Baton Drop, щоб оминути Secure Boot і завантажити шкідливий драйвер для протидії засобам захисту Kaspersky та Avast.

Що таке BlackX і кого він бив

За даними Kaspersky, операція націлювалася на дипломатичні установи в Таджикистані, Узбекистані та Туркменістані. Її з середньою впевненістю приписують APT41 (також відомій як Brass Typhoon, Wicked Panda, Barium).

Обхід Secure Boot через Baton Drop

Дослідники виявили, що реалізація BlackX «вражаюче схожа» на BlackLotus, який із 2022 року з’являвся на хакерських форумах і, як підтверджувала ESET у березні 2023-го, експлуатував Baton Drop навіть на повністю оновлених Windows 11.

BlackX дозволяє зреєструвати власні Machine Owner Keys (MOK) і завантажувати довільні EFI-файли для обходу Secure Boot. Водночас він застосовує інші драйвери ядра та наступні корисні навантаження, тож це не копія один в один.

Джерело коду: реверс BlackLotus чи купівля

Kaspersky зазначає, що попри неповний публічний витік вихідних кодів BlackLotus у липні 2023 року, окремі зразки BlackLotus містили фрагменти, відсутні в репозиторії, але наявні в BlackX. Це наштовхує на висновок, що автори BlackX або реверс-інженерили BlackLotus, або придбали його код.

Можливості BlackX

• Інжектить шкідливий драйвер Windows, підписаний нині відкликаним сертифікатом Wenjiang District Mingyu Network Technology Service Studio.
• Вимикає процеси безпеки та колбеки реєстру, втручається в Event Tracing for Windows (ETW), ускладнюючи моніторинг.
• Окремі маніпуляції активуються лише за наявності продуктів Kaspersky або Avast на хості; при цьому механізм неефективний проти рішень самої компанії-дослідника.
• Блокує доступ до файлів буткиту, перехоплюючи звернення і запускаючи Калькулятор Windows.
• Розгортає шпигунські навантаження: RAT з C2 через Google Drive, OneDrive або Yandex.Disk (виконання .NET, обмін файлами) та OxiDLLRunner — OLLVM-обфускований DLL, сайдлоудиться googleupdate.exe, розшифровує v8_context_snapshot.bin для запуску шелкоду та Rust-компонента, що тягне DLL-плагіни з archivetj[.]com і виконує їхні create_plugin у окремих потоках.

Чому захист не спрацював повністю

За словами Kaspersky, всі жертви мали повністю оновлені інсталяції Windows, але адміністратори не активували додаткові відкликання Secure Boot вручну. Патч для Baton Drop передбачає відкликання сертифіката «Windows Production PCA 2011», проте це не виконується автоматично — потрібна ручна дія.

Дослідники називають це прогалиною в процесі оновлень і вважають, що зловмисники використали її, інвестувавши час у вивчення BlackLotus і створення наслідувача.

Kaspersky також попереджає: завершення строку дії «Windows Production PCA 2011» 19 жовтня 2026 року саме по собі не блокує завантаження вразливих бінарників — якщо сертифікат не доданий адміністраторами до блоклиста.

Джерела

• BleepingComputer: BlackX UEFI bootkit exploits Baton Drop flaw to bypass Secure Boot