Bootkit BlackX omija Secure Boot w Windows bez odwołania certyfikatu PCA 2011

Kaspersky opisał BlackX, bootkit UEFI uznany za zaktualizowaną wersję BlackLotus. Omija on Secure Boot także w Windows z zainstalowanymi poprawkami, jeśli nie wdrożono ręcznie odwołań certyfikatów. Na początku 2026 roku posłużył do ataków na placówki dyplomatyczne w Tadżykistanie, Uzbekistanie i Turkmenistanie. Według raportu Kaspersky'ego za kampanią stoi prawdopodobnie powiązana z Chinami grupa APT41.

BlackLotus wykorzystuje załataną podatność CVE-2022-21894 (CVSS 4,4, znaną jako Baton Drop), żeby uruchomić złośliwy kod przed startem systemu. Atakujący musi mieć uprawnienia administratora albo fizyczny dostęp do komputera. Według Microsoftu bootkit służy do utrzymania dostępu i obchodzenia zabezpieczeń, a nie do pierwszego włamania.

Kogo dotyczy

Komputery z Windows i Secure Boot, które mają aktualizacje, ale nie mają ręcznie wdrożonych odwołań Secure Boot. Opisane ataki objęły organizacje dyplomatyczne w Azji Środkowej.

Co zrobić

Sama aktualizacja nie wystarcza. Trzeba dodatkowo ręcznie wdrożyć odwołania Secure Boot udostępnione przez Microsoft, w tym dopisać certyfikat Windows Production PCA 2011 do listy zabronionych certyfikatów UEFI (DBX).